GDPR e trattamento dei dati personali - 24 maggio 2018

1. Privacy e regolamento europeo
A cura di Simone Chiarelli
simone@chiarelli.eu
24 maggio 2018

2. CHI E’ SIMONE CHIARELLI?

3. A CHE PUNTO SIAMO?

4. A CHE PUNTO SIAMO?

5. A CHE PUNTO SIAMO?
Il miur è latitante, le scuole sono state lasciate allo sbando
Abbiamo sottovalutato l’impatto
Sono stanca di nuove acrobazie senza la presenza di competenze che possano semplificare gli
adempimenti
come al solito poco informati
Troppo rumore per nulla
come per il cad nessuna sensibilità né competenze dalla dirigenza in particolare, poi aggiungiamo
anche le stesse cose per la parte politica
L'offerta di servizi sul mercato è vastissima ed incentiva a spendere risorse per adeguarsi,
ponendo poca attenzione alle questioni di sostanza
Aiuto!
poca capacità programmatoria della dirigenza.
Non si ha alcuna consapevolezza della normativa e delle sue ricadute nell'ente
non riesco per mia limitazione a comprendere il regolamento europeo x come è scritto e per la
confusione di ruoli ct.
Troppi adempimenti
spero arrivino le sanzioni
Se tutto Va bene siamo rovinati

6. DI COSA PARLIAMO?
Regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali
dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione
dei dati)

7. ACRONIMI e Inglesismi
GDPR DPO
RPD
By default
By designRGPD
Data breach
Accountability Responsabilizzazione
Violazione dati
P.I.A. Valutazione di impatto protezione dati
Anonimizzazione
Pseudonimizzazione

8. GDPR e soggetti
TITOLARE
CON-
TITOLARI
RESPONSABILE
RESPONSABILE
RESPONSABILE
“Designati”
Designati
“Designati”
“Designati”
Designati
Designati
Designati
RESPONSABILE
DPO

9. Dato personale (art. 4)
«dato personale»: qualsiasi informazione
riguardante una persona fisica identificata o identificabile
(«interessato»); si considera identificabile la persona fisica
che può essere identificata, direttamente o indirettamente,
con particolare riferimento a un identificativo come il nome,
un numero di identificazione, dati relativi all'ubicazione, un
identificativo online o a uno o più elementi caratteristici della
sua identità fisica, fisiologica, genetica, psichica, economica,
culturale o sociale

10. Trattamento (art. 4)
«trattamento»: qualsiasi operazione o insieme di
operazioni, compiute con o senza l'ausilio di processi
automatizzati e applicate a dati personali o insiemi di dati
personali, come la raccolta, la registrazione,
l'organizzazione, la strutturazione, la conservazione,
l'adattamento o la modifica, l'estrazione, la consultazione,
l'uso, la comunicazione mediante trasmissione, diffusione o
qualsiasi altra forma di messa a disposizione, il raffronto o
l'interconnessione, la limitazione, la cancellazione o la
distruzione;

11. Quesiti trasmessi al relatore

12. Quesiti trasmessi al relatore
1. La differenza tra registro delle
attività di trattamento e registro delle
categorie delle attività;

13. Quesiti trasmessi al relatore
2. La differenza tra titolare,
responsabile e incaricato del
trattamento dei dati.

14. Quesiti trasmessi al relatore
3. Per il Comune quando è necessario
raccogliere il consenso per il
trattamento dei dati?

15. Quesiti trasmessi al relatore
4. Quali sono le differenze tra
contitolare e responsabile? i loro dati
vanno sempre indicati nel registro dei
trattamenti?

16. Quesiti trasmessi al relatore
5. Presso il Servizio tributi è tuttora in corso lo sportello front-office su appuntamento per la
liquidazione/calcolo imposte dovute Imu e Tasi acconto (o unico) 2018, che prevede il rilascio
del modello F24 precompilato completo dei dati anagrafico/tributari del contribuente
richiedente.
E' molto frequente che i contribuenti chiedano e ricevano personalmente tale liquidazione
(prospetto report + F24) non solo per se stessi, ma anche per parenti e/o affini, più
raramente per altri soggetti (es. amici o vicini impossibilitati al ritiro).
Finora tale servizio, che si realizza molto anche tramite corrispondenza mail (soprattutto per i
non residenti), viene erogato anche SENZA LA TASSATIVA RICHIESTA DI DELEGHE
SOTTOSCRITTE e ATTESTATE DA DOCUMENTO DI IDENTITA' del delegante. Nel Registro
dei Trattamenti base - ELENCO ATTIVITA' DI TRATTAMENTO DATI PERSONALI -AMBITO
RISORSE- Area Tributi - è stata inserita la seguente attività: ……….
Chiedo se e quali interventi debbano essere adottati per garantire questo apprezzato servizio
front-office (anche mail), nel rispetto del Nuovo Reg.EU 679/2016.

17. Quesiti trasmessi al relatore
6. Si può individuare come Titolare del
trattamento esclusivamente il Sindaco e
come Responsabili i Dirigenti dei singoli
settori, nominati con decreto del Sindaco? In
caso affermativo quali sarebbero le
incombenze operative a carico degli Uffici
del Sindaco ?

18. Quesiti trasmessi al relatore
7. Se invece il Sindaco delega la funzione di titolari ai
Dirigenti dei singoli settori ci sarebbe una
sovrapposizione fra le due funzioni titolare -
responsabile, identificazione di ruoli che mi sembra
non possa avvenire. Quindi in questo caso mi sembra di
capire che i responsabili dovrebbero essere le P.O. dei
vari settori Ma la nomina delle PO deve essere a firma
del sindaco o del dirigente titolare ?

19. Quesiti trasmessi al relatore
8. Una soluzione potrebbe essere
l'individuazione del Segretario generale quale
titolare che a sua volta nomina i dirigenti quali
responsabili ? In caso affermativo quali sarebbero
le incombenze operative a carico degli Uffici del
Segretario ? La nomina dei dirigenti è a firma del
Sindaco o del Segretario Generale, individuato
quale titolare ?

20. Quesiti trasmessi al relatore
9. Fermo restando che il Responsabile della
Protezione dei Dati è unico per tutto il Comune
(a questo proposito mi torna utile capire
concretamente se, dati i tempi ristretti, in prima
facie può essere un dipendente del CED o se
espressamente previsto che occorre andare
all'esterno), un problema mi si pone sugli
incaricati della sicurezza informatica, garantita
centralmente dal Ced

21. Quesiti trasmessi al relatore
10. Avrei bisogno di sapere se la scadenza del 25
maggio è perentoria.
Nello specifico il Comune di [..] provvederà a convocare il
Consiglio Comunale entro il 25 unitamente al rendiconto.
Nell'attesa gli adempimenti necessari saranno comunque
approvati in Giunta e poi ratificati in Consiglio al fine di
rispettare la scadenza ed evitare eventuali sanzioni. Le
chiedo di verificare se ciò è possibile trattandosi di un
piccolo ente.

22. Quesiti trasmessi al relatore
11. Precisamente quali sono i passaggi
che vanno fatti entro il 25 Maggio (es.
approvazione Regolamento, nomina
DPO, ecc. ) e cosa invece può essere
fatto dopo?

23. Quesiti trasmessi al relatore
12. In quale sezione di
Amministrazione Trasparente vanno
pubblicati i dati del DPO e in quale
l’incarico?

24. Quesiti trasmessi al relatore
13. LE CARTE DI IDENTITA'
ALLEGATE AD ATTI: DETERMINE,
LIQUIDAZIONI, ECC. POSSONO
ESSERE PUBBLICATE SULL'ALBO
PRETORIO ON LINE ?

25. Quesiti trasmessi al relatore
14. Indicazioni in merito al trattamento
riferito all'utilizzo dei social media nel
Comune

26. Principi del GDPR

27. Liceità, correttezza e
trasparenza
I dati personali sono trattati in
modo lecito, corretto e
trasparente nei confronti
dell'interessato

28. limitazione della finalità
I dati personali sono raccolti per finalità
determinate, esplicite e legittime, e
successivamente trattati in modo che non sia
incompatibile con tali finalità …..

29. limitazione della finalità
…. un ulteriore trattamento dei dati personali a fini
di archiviazione nel pubblico interesse, di ricerca
scientifica o storica o a fini statistici non è,
conformemente all'articolo 89, paragrafo 1,
considerato incompatibile con le finalità iniziali

30. Minimizzazione dei dati
I dati personali sono adeguati,
pertinenti e limitati a quanto
necessario rispetto alle finalità per le
quali sono trattati;

31. Esattezza
I dati personali sono esatti e, se necessario,
aggiornati; devono essere adottate tutte le
misure ragionevoli per cancellare o
rettificare tempestivamente i dati inesatti
rispetto alle finalità per le quali sono trattati

32. Limitazione della
conservazione
I dati personali sono conservati in una
forma che consenta l'identificazione
degli interessati per un arco di tempo
non superiore al conseguimento delle
finalità per le quali sono trattati

33. Limitazione della
conservazione
… i dati personali possono essere
conservati per periodi più lunghi a
condizione che siano trattati
esclusivamente a fini di archiviazione
nel pubblico interesse, di ricerca
scientifica o storica o a fini statistici ...

34. Limitazione della
conservazione
… fatta salva l'attuazione di misure
tecniche e organizzative adeguate
richieste dal presente regolamento a
tutela dei diritti e delle libertà
dell'interessato

35. Integrità e riservatezza
I dati personali sono trattati in maniera
da garantire un'adeguata sicurezza dei
dati personali, compresa la protezione
…...

36. Integrità e riservatezza
…. mediante misure tecniche e
organizzative adeguate, da trattamenti
non autorizzati o illeciti e dalla perdita,
dalla distruzione o dal danno
accidentali.

37. Responsabilizzazione
Il titolare del trattamento è
competente per il rispetto dei principi e
in grado di comprovarlo.

38. Privacy by design
Tenendo conto dello stato dell'arte e dei costi di
attuazione, nonché della natura, dell'ambito di
applicazione, del contesto e delle finalità del
trattamento ….

39. Privacy by design
…. come anche dei rischi aventi
probabilità e gravità diverse per i diritti e le
libertà delle persone fisiche costituiti dal
trattamento

40. Privacy by design
sia al momento di determinare i mezzi
del trattamento sia all'atto del
trattamento stesso il titolare del
trattamento

41. Privacy by design
… mette in atto misure tecniche e
organizzative adeguate, quali la
pseudonimizzazione, volte ad attuare
in modo efficace i principi di protezione
dei dati….

42. Privacy by default
Il titolare del trattamento mette in atto misure
tecniche e organizzative adeguate per
garantire che siano trattati, per
impostazione predefinita, solo i dati
personali necessari per ogni specifica
finalità del trattamento.

43. Privacy by default
Tale obbligo vale per la quantità dei dati personali
raccolti, la portata del trattamento, il periodo di
conservazione e l'accessibilità.
… non siano resi accessibili dati personali a un
numero indefinito di persone fisiche senza
l'intervento della persona fisica.

44. DECALOGO

45. Registro dei trattamenti
Contenuto
Modalità di approvazione
Aggiornamento
Collegamento con informativa
Collegamento con DPIA

46. Designazione del DPO/RPD
Interno/Esterno
Segretario/Dirigente/PO
Gestione associata
Nomina?
Competenze ulteriori
Compenso

47. Registro delle attività
Accountability
Iso 9001
Condivisione
Programmazione
Condivisione
Sensibilizzazione

48. Valutazione d’impatto (DPIA)
Collegamento a registro
Misure di sicurezza
Valutazione complessiva
Valutazione specifica
Software (francese)

49. Titolare/Designati/Responsabili
Titolare (definizione)
Contitolari
Designati responsabili
Designati dipendenti
Ruolo e gerarchia
Responsabili esterni

50. Informativa e consenso
Aggiornamento modulistica
Collegamento con registro
Consenso “eccezionale”
Sito
Moduli
Cartelli

51. Formazione e informazione
Formazione generale a tutti
Formazione puntuale
Formazione dinamica
Informazione
Siti istituzionali e servizi free

52. Regolamento Privacy
Necessità?
Forma
Istruzioni operative
Funzioni del DPO
Responsabilizzazione

53. Videosorveglianza
Notifica
Aggiornamento informativa
Misure di sicurezza
Linee guida
Cartellonistica
Sensibilizzazione

54. Procedure interne
Accesso e informazioni
Esercizio diritti
Reclamo al DPO
Nomina/Designazione
Aggiornamento registri
Aggiornamento formazione

55. Saluti e contatti
A cura di Simone Chiarelli
simone@chiarelli.eu - Cell. 3337663638
DPO in rete
https://www.dpoinrete.it/
Gruppo FB “GDPR e privacy”
https://www.facebook.com/groups/569951550054710/
Youtube (videocommenti)
https://www.youtube.com/channel/UCKFy8G9piKMNZSWHPT06I-Q