Legislazione, Semplificazione e Diritto d'Impresa

Stamattina sul sito del Garante privacy è stato pubblicato l'aggiornamento 2018 della Guida all'applicazione del Regolamento UE 2016/679 in materia di protezione dei dati personali.

L'aggiornamento tiene contro dell'evoluzione della riflessione a livello nazionale ed europeo sul Regolamento e fornisce indicazioni operative per una corretta implementazione.

In allegato, il file con la Guida.

Guida Garante privacy all'applicazione del GDPR.pdf

Ieri sul sito istituzionale del Garante privacy sono state pubblicate le FAQ sul DPO in ambito privato.

Le FAQ fanno seguito al documento "Data Protection Officer (DPO): alcuni dubbi del mondo imprenditoriale" che Confindustria ha inviato agli Uffici dell'Autorità lo scorso mese di dicembre e contengono alcuni chiarimenti in merito alle questioni in esso sollevate.

Di seguito, i punti di maggior interesse affrontati dall'Autorità:

• requisiti del DPO (v. FAQ n. 2): ribadita la necessità che il DPO sia in possesso di una conoscenza approfondita della disciplina privacy e delle norme e delle procedure amministrative che caratterizzano il settore in cui opera il titolare ovvero il responsabile del trattamento. A tal fine, le FAQ specificano - in linea con quanto già affermato dal WP29 e dalla stessa Autorità - che non sono richieste specifiche attestazioni formali o l'iscrizione in appositi albi;
• nomina obbligatoria (v. FAQ n. 3): le FAQ richiamano le condizioni prescritte dal GDPR (soggetti la cui attività core consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di dati "sensibili" e giudiziari). Sul punto, le FAQ riportano un elenco esemplificativo e non esaustivo di soggetti che, ove ricorrano le citate condizioni, sono tenuti alla nomina del DPO: istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle "utilities" (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento;
• nomina non necessaria (v. FAQ n. 4): le FAQ indicano una serie di casi in cui la nomina del DPO, benchè raccomandata, non è necessaria: in relazione a trattamenti effettuati da liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti;
• DPO interno (v. FAQ n. 6 e 7): le FAQ ribadiscono come il ruolo di DPO possa essere ricoperto da un dipendente del titolare o del responsabile del trattamento (non in conflitto di interessi) che conosca la realtà operativa in cui avvengono i trattamenti. Il DPO scelto all'interno deve essere nominato mediante uno specifico atto di designazione, avente forma scritta e in cui siano indicarti espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento. Quanto all'assenza di conflitto di interessi, le FAQ suggeriscono di evitare di assegnare il ruolo di DPO a soggetti con incarichi di alta direzione (amministratore delegato; membro del consiglio di amministrazione; direttore generale; ecc.), ovvero nell'ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (direzione risorse umane, direzione marketing, direzione finanziaria, responsabile IT ecc.). Da valutare, in assenza di conflitti di interesse e in base al contesto di riferimento, l'eventuale assegnazione di tale incarico ai responsabili delle funzioni di staff (ad esempio, il responsabile della funzione legale);
• DPO monocratico o collegiale (v. FAQ n. 8): in caso di DPO interno, questo può essere un "dipendente". Tuttavia, nelle realtà organizzative di medie e grandi dimensioni, il DPO, da individuarsi comunque in una persona fisica, può essere supportato da un apposito ufficio dotato delle competenze necessarie ai fini dell'assolvimento dei propri compiti. In caso di DPO esterno, questo può essere anche una persona giuridica. Tuttavia, le FAQ raccomandano di procedere a una chiara ripartizione di competenze, individuando una sola persona fisica atta a fungere da punto di contatto con gli interessati e l'Autorità di controllo.

Infine, contestualmente alle FAQ è stato pubblicato il modello per la comunicazione al Garante privacy dei dati del DPO.

L’Autorità Garante della Concorrenza e del Mercato (AGCM) ha rivalutato le due soglie di fatturato al di sopra delle quali la comunicazione preventiva delle operazioni di concentrazione tra imprese diviene obbligatoria.

La rivalutazione, effettuata annualmente sulla base della variazione dell’indice del deflatore dei prezzi del PIL, ha comportato un aumento della prima soglia mentre ha lasciato invariata la seconda. Infatti, ai fini della notifica preventiva, il fatturato totale realizzato a livello nazionale dall'insieme delle imprese interessate dovrà essere superiore 495 - non più 492 - milioni di euro e il fatturato totale realizzato individualmente a livello nazionale da almeno due delle imprese interessate dovrà essere superiore - sempre - a 30 milioni di euro.

I nuovi importi sono applicabili a decorrere dal 12 marzo scorso, data di pubblicazione degli stessi sul sito dell’AGCM.

Con la sentenza n. 58/2018 la Corte costituzionale ha dichiarato l’illegittimità di alcune disposizioni (art. 3 del decreto-legge 4 luglio 2015, n. 92; artt. 1, comma 2, e 21-octies della legge 6 agosto 2015, n. 132), che consentivano la prosecuzione dell’attività di impresa degli stabilimenti dell'ILVA, in quanto di interesse strategico nazionale, nonostante il sequestro disposto dall’autorità giudiziaria per reati inerenti alla sicurezza dei lavoratori.

Le questioni di legittimità costituzionale erano state sollevate dal Giudice per le indagini preliminari del Tribunale di Taranto a seguito dell’infortunio mortale di un lavoratore dell’ILVA nell’area di un altoforno dello stabilimento di Taranto, che era stato sequestrato dall’autorità giudiziaria ma il cui funzionamento era proseguito in base alle norme censurate.

In particolare, secondo la disciplina in esame, la prosecuzione dell’attività d’impresa veniva subordinata esclusivamente alla predisposizione unilaterale di un “piano” - che doveva recare “misure e attività aggiuntive, anche di tipo provvisorio” - da parte dell’impresa colpita dal sequestro, senza alcuna forma di partecipazione di altri soggetti pubblici o privati.

Infatti, come ha osservato la Consulta, nella formazione del piano non era prevista alcuna partecipazione di autorità pubbliche, le quali dovevano essere informate solo successivamente, attribuendo soltanto un generico potere di monitoraggio e ispezione a INAIL, ASL e Vigili del Fuoco.

Peraltro, la disciplina in esame non imponeva nel piano alcun riferimento a specifiche disposizioni delle leggi in materia di sicurezza sul lavoro o ad altri modelli organizzativi e di prevenzione.

Tale scelta del legislatore, secondo la Corte costituzionale, “ha finito col privilegiare in modo eccessivo l’interesse alla prosecuzione dell’attività produttiva, trascurando del tutto le esigenze di diritti costituzionali inviolabili legati alla tutela della salute e della vita stessa (artt. 2 e 32 Cost.), cui deve ritenersi inscindibilmente connesso il diritto al lavoro in ambiente sicuro e non pericoloso (art. 4 e 35 Cost.)”.

Infatti, già in occasione della sentenza n. 85 del 2013 sempre sul caso ILVA, la Consulta aveva evidenziato come il bilanciamento dei vari interessi costituzionali dovesse “rispondere a criteri di proporzionalità e di ragionevolezza, in modo tale da non consentire né la prevalenza assoluta di uno dei valori coinvolti, né il sacrificio totale di alcuno di loro, in modo che sia sempre garantita una tutela unitaria, sistemica e non frammentata di tutti gli interessi costituzionali implicati”.

Più in dettaglio - nel caso delle misure oggetto della sentenza n. 58/2018 - il legislatore non avrebbe bilanciato in modo ragionevole e proporzionato tutti gli interessi costituzionali rilevanti, “per non aver tenuto in adeguata considerazione le esigenze di tutela della salute, sicurezza e incolumità dei lavoratori, a fronte di situazioni che espongono questi ultimi a rischio della stessa vita”.

Secondo il Commissario straordinario dell’ILVA, Enrico Laghi, la sentenza in esame non ha alcun impatto sulla continuità dell’attività produttiva, in quanto la restituzione dell’Altoforno 2 è stata ottenuta dall’ILVA nel settembre 2015 non in base al decreto oggi dichiarato illegittimo, ma in forza di un provvedimento della Procura che, in accoglimento di un’istanza presentata dalla società, ha restituito l’impianto condizionatamente all’adempimento di determinate prescrizioni in materia di sicurezza, poi attuate.

Sul provvedimento, di attuazione dell'art. 13 della Legge di Delegazione europea 2016 - 2017,  occorrerà acquisire:

• i pareri delle competenti Commissioni parlamentari e del Garante privacy;
• il concerto dei Ministri degli affari esteri e della cooperazione internazionale, dell'economia e delle finanze, dello sviluppo economico e per la semplificazione e la pubblica amministrazione.

Successivamente, lo schema di decreto tornerà all'esame del Consiglio dei Ministri per l'approvazione definitiva (si ricorda che la delega scadrà il prossimo 21 maggio 2018).

Nella sezione documenti è disponibile una nota di commento a una recente sentenza del Consiglio di Stato, in linea con le recenti riforme ispirate alla semplificazione e alla trasparenza dell’attività amministrativa.

La legge n. 5/2018 ha modificato la disciplina sul funzionamento del Registro pubblico delle opposizioni, vale a dire il registro nel quale iscrivere una numerazione telefonica affinché la stessa non sia utilizzata per finalità di marketing diretto (invio di materiale pubblicitario, vendita diretta, compimento di ricerche di mercato, comunicazioni commerciali).

In particolare, la Legge ha ampliato la tipologia delle numerazioni iscrivibili nel Registro (fisse e mobili, a prescindere dalla loro pubblicazione negli elenchi), ha potenziato gli effetti dell’iscrizione, ha rinforzato gli obblighi di trasparenza a carico degli operatori e ha ridefinito l’impianto sanzionatorio. Inoltre, la Legge ha subordinato il funzionamento del nuovo Registro e l’operatività di molte disposizioni all’emanazione di un apposito DPR - da adottarsi entro il 5 maggio 2018 - e ha affidato al MiSE il compito di dettare - entro il 4 agosto 2018 - i criteri per l’aggiornamento delle tariffe di consultazione.

La Legge presenta diversi profili di criticità, sia in ordine all’operatività delle nuove norme, che in ordine alla loro portata, che rischiano di esporre le imprese che svolgono attività di telemarketing a un’inesatta applicazione della Legge e di indebolire o ingessare il mercato di riferimento.

Pertanto, al fine di chiarire la portata delle nuove norme e avviare i lavori per la loro attuazione, su sollecitazione di Confindustria, il MiSE ha costituito un tavolo tecnico, composto dalle Istituzioni coinvolte (Garante privacy e AGCOM), dalla Fondazione Ugo Bordoni, che gestisce il citato Registro, e dai principali stakeholders.

In allegato, il documento che Confindustria ha predisposto per offrire un contributo ai lavori del tavolo e rappresentare il punto di vista delle imprese.

Riforma del RPO - Il punto di vista delle imprese.pdf

Nella sezione Documenti sono disponibili le schede di approfondimento delle proposte presentante alle Assise di Verona.

L'Autorità Garante della Concorrenza e del Mercato ha avviato la consultazione pubblica per la revisione del Regolamento in materia di rating di legalità, che si concluderà il prossimo 11 aprile. 

I correttivi proposti sono diretti in via principale a migliorare la gestione delle numerose istanze ricevute dall'Autorità e, pertanto, riguardano soprattutto la semplificazione del procedimento per l'attribuzione, la modifica e il rinnovo del rating stesso.

Si allega la bozza di Regolamento in consultazione.

Bozza Regolamento rating - consultazione.pdf|Visualizza dettagli

Nella sezione Documenti è disponibile una nota sulla recente riforma del Regolamento del Senato.

Nella sezione Documenti è disponibile una breve rassegna della giurisprudenza costituzionale del 2017 in materia di iniziativa economica privata.

Ieri, l’Autorità Garante per la protezione dei dati personali ha pubblicato sul proprio sito istituzionale il piano ispettivo per il primo semestre 2018.

L’attività ispettiva, svolta anche in collaborazione con il Nucleo speciale privacy della Guardia di Finanza, si concentrerà prioritariamente su:

• i trattamenti di dati effettuati dalle ASL e poi trasferiti a terzi per il loro utilizzo a fini di ricerca;
• il telemarketing;
• l'attività delle società che si occupano di valutare il rischio e la solvibilità delle imprese;
• il rilascio dell'identità digitale ai cittadini italiani (SPID);
• il Sistema Integrato di Microdati (SIM) dell'Istat.

I controlli si concentreranno altresì su:

• l'adozione delle misure di sicurezza da parte di imprese e PA che trattano dati sensibili;
• la liceità e la correttezza dei trattamenti di dati personali, con particolare riferimento al rispetto dell'obbligo di informativa, alla pertinenza e non eccedenza nel trattamento, alla libertà e validità del consenso - nei casi in cui questo è necessario – e alla durata della conservazione dei dati dei dati da parte di soggetti pubblici e privati.

Infine, l'attività ispettiva verrà svolta anche in riferimento a segnalazioni, reclami e ricorsi, con particolare attenzione alle violazioni più gravi.