Le ispezioni del garante della privacy

Il corso di formazione sulla privacy, si propone di trasferire ai professionisti e, in primis, Avvocati e consulenti legali il regolamento, le nozioni e informazioni più aggiornate sulla disciplina che attiene alla protezione dei dati personali e privacy, con particolare attenzione alla attività di consulenza in fase di ispezione Privacy.
L’attività ispettiva è prevista e disciplinata al Capo III – Accertamenti e controlli – del Codice privacy, in particolare gli artt. 157 (richiesta di informazioni e documenti) e 158 (accertamenti) del codice privacy.
Dal corso sulla privacy, deve tenersi conto che le attività ispettive e di controllo in materia di privacy, così come previste e disciplinate dal GDPR, hanno abbandonato l’obsoleto carattere di “staticità” tipizzato in una mera spunta della c.d. “check-list privacy” e hanno assunto il carattere della “dinamicità” che contraddistingue la ricerca continua e pro-attiva di compliance rispetto al GDPR, alla normativa nazionale e ai provvedimenti delle Autorità di controllo.
In pratica: in fase di attività ispettiva potrà anche emergere la mancata adozione di una “misura” di protezione dei dati personali (per esempio, la nomina del DPO) tuttavia, non automaticamente ne scaturirà la contestazione e la sanzione.
Determinante sarà – sulla base del principio di accountability – la condotta del titolare del trattamento sottoposto al controllo, che potrà comprovare sulla base della ricostruzione logico-giuridica, che non si tratti di un mancato adempimento, bensì del legittimo risultato di una attenta valutazione.
I poteri del Garante consentono l’accesso a banche dati, archivi nei luoghi in cui si svolge il trattamento o nei quali è necessario effettuare verifiche utili al controllo del rispetto della normativa sul trattamento dei dati personali. Inoltre, il Garante privacy GDPR, può chiedere al titolare, al responsabile, al rappresentante del titolare o del responsabile nominati, all’interessato o anche a terzi di fornire informazioni o di esibire documenti anche in relazione a banche dati.
Se l’ispezione disposta dal Garante deve svolgersi in una abitazione o un altro luogo di dimora privata, è necessario “l’assenso informato del titolare o del responsabile, oppure previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell’accertamento, il quale provvede con decreto motivato senza ritardo, al più tardi entro tre giorni dal ricevimento della richiesta del Garante quando è documentata l’indifferibilità dell’accertamento” (consenso privacy GDPR).
In caso di rifiuto gli accertamenti sono comunque eseguiti e le spese eventuali, saranno a carico del titolare con il provvedimento che definisce il procedimento.
Il discente, tramite la modalità di fruizione in e-learning, potrà frequentare il corso gestendo in autonomia il proprio tempo, scegliendo liberamente se seguire il corso da casa, dal luogo di lavoro o di vacanza: avendo la possibilità di interrompere e riprendere la frequenza del corso in qualsiasi momento.
Al termine del corso, il professionista disporrà di conoscenze aggiornate, utili a svolgere al meglio la propria professione e adempiere correttamente agli obblighi in materia di privacy, in conformità a quanto previsto dalla normativa di settore.
Programma:
Il corso di aggiornamento in materia di protezione dei dati personali – la normativa – analizza l’evoluzione legislativa e giurisprudenziale in materia, approfondendo i temi della accountability e dell’approccio basato sul rischio, anche in fase di trattamento dei dati personali della clientela.
Vedremo che sul piano dell’operatività, al titolare o responsabile del trattamento nei cui confronti si sta svolgendo l’ispezione, potrà risultare particolarmente utile chiedere di esercitare la facoltà di farsi assistere da consulenti di fiducia (avvocato esperto in materia di privacy o consulente tecnico informatico).
Diamo per scontata la presenza del DPO, dato che tra i suoi doveri, vi è quello di fungere da interfaccia con l’Autorità di controllo.
Saranno analizzate le problematiche inerenti alla applicazione della normativa privacy , approfondendo gli obblighi posti dal legislatore a carico dei professionisti: come la conservazione dei dati personali del cliente, nonché l’esercizio dei diritti da parte degli stessi.
Particolare attenzione è dedicata alla attività di ispezione e a quella che dovrà svolgere il consulente legale in tale contesto, saranno quindi esaminati i riferimenti normativi con l’opportunità di beneficiare di consigli tecnico-operativi messi a disposizione dal docente esperto.
Nel corso saranno affrontati anche casi pratici in materia di diritto all’oblio e saranno offerti consigli e conoscenze adeguate alla istituzione del presidio privacy da attuare all’interno dello studio professionale.
La parte di più faticosa applicazione per un professionista regolamentato che operi sul mercato italiano e che debba lavorare per la conformità normativa del proprio studio professionale, sta proprio nella struttura stessa della normativa. Ne discende quel principio di accountability ormai entrato nel lessico comune degli operatori che abbiano a che fare con la riservatezza: una grande difficoltà per l’operatore pratico, tradizionalmente abituato a ritenere la compliance come una serie di adempimenti che scaturivano dal vecchio codice.
Il GDPR con il suo apparato sanzionatorio è in vigore anche per i professionisti che dovranno tradurre nella realtà dei loro studi, la normativa in azioni concrete, anche senza necessariamente far ricorso a uffici compliance delle grandi aziende, ovvero costosi consulenti esterni.
Un titolare del trattamento, nel nostro caso il professionista, è infatti il primo garante della regolarità del trattamento. L’aderenza al GDPR comporta infatti la comprensione di tutta la serie di regole di condotta che il titolare deve all’interessato in cambio del conferimento dei suoi dati, a cominciare dalla preventiva predisposizione del materiale da sottoporre allo stesso, non tanto al fine di farsi sottoscrivere un foglio di carta per un’eventuale esclusione di responsabilità, ma perché la consapevolezza che si sta lavorando basandosi su una proprietà altrui che viene conferita al professionista, sia esso titolare o responsabile del trattamento, per l’espletamento di un mandato, e che quindi l’interessato avrà il pieno diritto di conoscere e controllare tipologia, esiti e finalità del trattamento.