L’accesso alla documentazione, previsto dal Gdpr, sia da parte di soggetti autorizzati che di esterni, è un tema raramente approfondito; pertanto si desidera condividere alcune riflessioni riguardanti specificamente il Registro dei trattamenti e la Valutazione dei rischi.
La Corte di Cassazione ha statuito che gli eredi a cui sia negato il diritto di accesso ai dati personali riferibili al terzo beneficiario di una polizza vita possano adire le vie legali ottenendone l’ostensione. In parole povere, la riservatezza dei dati personali deve cedere il passo rispetto all’esercizio di difesa in giudizio. In linea di principio, non si può che convenire con quanto statuito dalla Corte di Cassazione nella sentenza 13 dicembre 2021 n. 39531.Osservazioni di natura critica, però, riguardano lo strumento che secondo la Corte sarebbe disponibile agli eredi per tutelare i propri diritti in giudizio.
L’eliminazione di un trattamento di dati personali è una delle componenti del “ciclo di vita del trattamento”, spesso trascurata; essa si compone di due fasi: l’interruzione del trattamento vero e proprio, ovvero il Titolare non raccoglie più dati afferenti a quel trattamento; e l’eliminazione definitiva ed irreversibile dei dati che il Titolare conserva, afferenti a quel trattamento. In questo articolo, si presenta un esempio di estratto della procedura “Privacy by design” (principio previsto dall’art.25 del Gdpr) che riguarda l’interruzione e l’eliminazione del trattamento in un’organizzazione che dispone di un sistema di gestione della protezione dei dati ed in cui è presente la figura del DPO.
Una recente sentenza del TAR della Sardegna (sentenza 7 dicembre 2021 - 14 febbraio 2022, n. 99) ha statuito che una comunicazione inviata via pec alla pubblica amministrazione che non va a buon fine perché risulta piena la casella, il cittadino deve attivarsi al fine di far pervenire la propria comunicazione mediante altri strumenti come, ad esempio, l’utilizzo di una raccomandata.
Quando si tratta il tema dei fornitori che devono essere inquadrati come “Responsabili del trattamento” si analizzano le problematiche relative alla documentazione contrattuale; più raramente si affrontano i criteri di prequalifica (valutazione inziale prima dell’avvio del rapporto contrattuale) e di qualifica nel tempo (valutazione dinamica). Il presente articolo tratta i criteri necessari per valutare un potenziale Responsabile, prima di affidargli uno o più trattamenti, ponendo l’accento sugli aspetti afferenti alla protezione dei dati personali.
Come noto, ogni trattamento di dati personali deve avvenire nel rispetto dei principi fissati all’articolo 5 del Regolamento UE 2016/679 (Gdpr), e tra questi troviamo il principio di integrità e riservatezza secondo il quale i dati personali devono essere trattati in maniera da garantire un'adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali. Il tema della sicurezza dei trattamenti è strettamente connesso con quello della information security.
