Ricostruzione ed analisi del decreto legislativo del 10 agosto 2018 n. 101 recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679

1. Decreto legislativo 10 agosto 2018 n. 101 recante disposizioni
per l’adeguamento della normativa nazionale alle
disposizioni del Regolamento (UE) 2016/679
RICOSTRUZIONE ED ANALISI
Realizzato da Agostino Pedone

2. DECRETO LEGISLATIVO DI ADEGUAMENTO
Il decreto legislativo del 10 agosto 2018 n. 101 è adottato in attuazione della
delega contenuta nell’articolo 13 della legge n. 163 del 2017 (legge di
delegazione europea 2016-2017).

3. Nell’esercizio della delega il Governo è stato chiamato a rispettare, oltre ai principi e criteri direttivi generali
di cui all'articolo 32 della legge n. 234 del 2012, anche i seguenti:
 abrogare espressamente le disposizioni del Codice della privacy incompatibili con quelle del
Regolamento (UE) n. 2016/679;
 modificare il Codice della privacy limitatamente a quanto necessario per dare attuazione alle
disposizioni non direttamente applicabili contenute nel Regolamento (UE);
 coordinare le disposizioni vigenti in materia di protezione dei dati personali con le
disposizioni recate dal Regolamento (UE);
 prevedere la possibilità di affidare al Garante l’adozione di specifici provvedimenti attuativi e
integrativi previsti dal Regolamento;
 adeguare, nell’ambito delle modifiche al Codice della privacy, il sistema sanzionatorio penale e
amministrativo vigente alle disposizioni del Regolamento (UE) con previsione di sanzioni penali e
amministrative efficaci, dissuasive e proporzionate alla gravità della violazione delle disposizioni stesse.

4. LE MODIFICHE AL CODICE DELLA PRIVACY (ARTT. 1-16 DEL
DECRETO LEGISLATIVO 101)
Il decreto legislativo n. 101 è suddiviso in sei Capi e si compone di 27 articoli.
Gli articoli da 1 a 16 e 27 del decreto legislativo novellano il Codice della privacy (D.lgs. n. 196 del
2003), che è stata la fonte principale della disciplina sul trattamento dei dati personali nel nostro
ordinamento e che, invece, per effetto dell’applicazione diretta delle norme del Regolamento perde
questa centralità.
La nuova disciplina dei dati personali risulterà quindi:
- dal Regolamento UE;
- dal Codice, come novellato dall’atto in esame.
L’attuale partizione del Codice della privacy non viene modificata dalla riforma. Il Codice continua
dunque a comporsi di 3 parti:
I. Disposizioni generali, modificate dal capo II del decreto (art. 2);
II. Disposizioni specifiche per i trattamenti necessari per adempiere ad un obbligo
legale o per l’esecuzione di un compito di interesse pubblico, modificate dal capo III del
decreto (artt. 3-12);
III. Tutela dell’interessato e sanzioni, modificata dal capo IV del decreto (artt. 13-16).

5. DECRETO LEGISLATIVO 101: PRINCIPALI NOVITÁ RISPETTO
AL CODICE PRIVACY
Il decreto legislativo riporta una serie dettagliata di regole.
La principale novità rispetto al Codice Privacy 196/2003 è che il trattamento collegato ad un
interesse pubblico (art. 2-ter) non viene più inquadrato dal punto di vista soggettivo, ossia
con riferimento all’appartenenza dei Titolari alla categoria di soggetti pubblici, bensì da
quello oggettivo con riferimento alla finalità del trattamento, che può appunto essere
considerata diretta a soddisfare un interesse pubblico anche qualora il trattamento sia effettuato
da un soggetto privato.
BASE GIURIDICA: esclusivamente norma di legge o, nei casi previsti dalla legge, di
regolamento.
Una specifica disciplina, più restrittiva, viene introdotta per il trattamento delle particolari
categorie di dati di cui all’art. 9 GDPR, il cui trattamento è consentito qualora necessario per
il perseguimento di un interesse pubblico rilevante (art. 2-sexies).

6. COSA RIENTRA NELL’INTERESSE PUBBLICO
RILEVANTE
Il decreto legislativo contiene anche un elenco di ciò che è considerato
rientrante nell’interesse pubblico rilevante (art. 2-sexies),
includendo una serie di finalità che spaziano dall’accesso ai documenti
amministrativi, ad attività sanzionatorie, allo svolgimento di
compiti del servizio sanitario nazionale e dei soggetti operanti in
ambito sanitario.
In tale elenco sono ricomprese le attività legate all’instaurazione, gestione
ed estinzione di rapporti di lavoro per soggetti che svolgono compiti di
interesse pubblico o connessi all’esercizio di pubblici poteri.

7. REGOLE DEONTOLOGICHE, MISURE DI GARANZIA E
PROVVEDIMENTI GENERALI
Il decreto legislativo prevede vari tipi di strumenti che il Garante può
utilizzare negli ambiti pocanzi descritti dei trattamenti per lo svolgimento di
compiti di interesse pubblico e delle particolari categorie di dati:
 le REGOLE DEONTOLOGICHE (art. 2-quater);
 le MISURE DI GARANZIA per specifiche tipologie di dati
(genetici, biometrici e relativi alla salute) (art. 2-septies);
 PROVVEDIMENTI GENERALI per trattamenti che sarebbero
soggetti a valutazione di impatto (art. 2-quinquiesdecies)

8. REGOLE DEONTOLOGICHE
L’art. 2-quater promuove l’adozione di “regole deontologiche” il cui
rispetto, in seguito all’approvazione e pubblicazione, diviene condizione
essenziale per la liceità e la correttezza del trattamento.
REGOLE DEONTOLOGICHE ≠ Codici di condotta di cui all’art. 40
GDPR, (volti probabilmente a salvaguardare l’esistenza dei codici già
adottati, i quali però dovrebbero essere aggiornati alle previsioni del GDPR).

9. MISURE DI GARANZIA
Oltre alle regole deontologiche, ed esclusivamente qualora si tratti di dati genetici,
biometrici e relativi alla salute, il legislatore italiano intende anche esercitare l’opzione
consentita dall’art. 9, 4° comma GDPR di far emanare apposite misure di garanzia da
parte del Garante (art. 2-septies).
Provvedimento simile a quelli già adottati nel vigore del Codice Privacy, con cui sono state
indicate particolari misure di sicurezza o accorgimenti che i Titolari devono osservare nel
trattare tali particolari categorie di dati.
La modularità della nuova norma, che stabilisce la possibilità di emanare tale tipologia di
provvedimento per ogni singola diversa finalità di trattamento, ricorda lo schema delle
autorizzazioni generali.

10. PROVVEDIMENTI GENERALI
Infine, come ulteriore provvedimento del Garante, l’art. 2-quinquiesdecies prevede che per
trattamenti nell’esecuzione di un compito di interesse pubblico che possono
presentare rischi particolarmente elevati, di cui all’art. 35 GDPR, ossia per quei
trattamenti per i quali sarebbe necessaria una valutazione di impatto, il Garante può
adottare d’ufficio provvedimenti a carattere generale prescrivendo misure ed
accorgimenti a garanzia dell’interessato.
Per tali ultimi, non potendo sicuramente il provvedimento generale del Garante sopprimere
l’obbligo di effettuare la valutazione di impatto sarà quindi necessario lo svolgimento della
stessa e l’adozione comunque degli accorgimenti e garanzie previste in tali tipologie di
provvedimenti.

11. CONSENSO DEL MINORE
Il nuovo articolo art. 2-quinquies concerne specificamente il consenso
del minore in relazione ai servizi della società dell’informazione,
non regolato dal Codice Privacy del 2003.
Si applicano le condizioni di cui all’art. 8, par. 1 GDPR:
 trattamento di dati personali basato sul consenso;
 offerta diretta di servizi della società dell’informazione ai
minori;
 limite dei 14 anni di età.

12. DIRITTI DELL’INTERESSATO
La disciplina dei diritti dell’interessato dal trattamento dei dati è ora integralmente
contenuta nel Regolamento, che consente agli Stati membri di limitare, in presenza di
specifiche circostanze, l’esercizio dei diritti stessi (art. 23 Reg. UE 2016/679).
CASI DI RESTRIZIONE DEI DIRITTI DELL’INTERESSATO:
 art. 2-undecies: Limitazioni ai diritti dell’interessato;
 art. 2-duodecies: Limitazioni per ragioni di giustizia
CONDIZIONI PER LA LIMITAZIONE DEI DIRITTI:
- comunicazione motivata e tempestiva all’interessato;
- misura necessaria e proporzionata;
- non in contrasto con i diritti fondamentali e i legittimi interessi dell’interessato

13. DIRITTI DELLE PERSONE DECEDUTE
Il tema dei diritti delle persone decedute (non affrontato dal Regolamento UE) è attualmente trattato
dall’art. 9, comma 3, del Codice vigente (abrogato dall’art. 27).
Il decreto legislativo introduce una nuova e più ampia disciplina.
In particolare, si prevede che i diritti di cui agli articoli da 15 a 22 del Regolamento, concernenti
persone decedute, possano essere esercitati (art. 2-terdecies):
- da chi ha un interesse proprio;
- da colui che agisce a tutela dell’interessato in qualità di suo mandatario;
- da colui che agisce per ragioni familiari meritevoli di protezione.
LIMITI ALL’ESERCIZIO DEI DIRITTI: solo nei casi previsti dalla legge o, limitatamente
all’offerta diretta di servizi della società dell’informazione, in caso di divieto espresso
dell’interessato.

14. I SOGGETTI DESIGNATI
Definizioni, compiti e obblighi dei titolari e dei responsabili dei trattamenti sono
contenuti nelle disposizioni del Regolamento, direttamente applicabili.
Il decreto legislativo si limita ad introdurre il concetto di «soggetti designati», ossia
coloro a cui vengono attribuiti specifici compiti e funzioni connessi al trattamento dei
dati personali nell’ambito dell’assetto organizzativo del titolare o del responsabile,
rimettendo a questi ultimi l’individuazione delle modalità di autorizzazione (art. 2-
quaterdecies).
La disposizione attua in particolare quanto previsto dall’articolo 29 del Regolamento e
sostanzialmente sostituisce l’articolo 30 del Codice della privacy (abrogato
dall’art. 27).
FIGURA DELL’«INCARICATO»  ASSENTE NELL’ORDINAMENTO EUROPEO

15. DISPOSIZIONI IN SETTORI SPECIFICI
Il decreto contiene poi una serie di disposizioni tese a regolare settori specifici.
(artt. 3-12 del decreto legislativo).
- trattamenti di particolari categorie di dati in determinati ambiti (accesso ai
documenti amministrativi, ambito sanitario);
- regolamentazione di particolari trattamenti, come quello inerente ai dati degli
studenti, dei professionisti iscritti in albi, per archiviazione nel pubblico
interesse, di ricerca storica, a fini statistici e ricerca scientifica, compresa
quella medica e biomedica, nonché, infine, per i trattamenti nell’ambito del
rapporto di lavoro con il rinvio all’adozione di regole deontologiche e la disciplina
dei curricula spontanei.

16. TRATTAMENTO DI DATI PERSONALI IN AMBITO
SANITARIO
L’articolo 6 del decreto detta disposizioni specifiche per il trattamento dei dati personali in ambito sanitario,
intervenendo sugli articoli da 75 a 94 del Codice della privacy.
CONDIZIONI per il trattamento dei dati effettuato per finalità di tutela della salute e incolumità
fisica dell’interessato o di terzi o della collettività:
 il trattamento sia necessario per finalità di medicina preventiva o di medicina del lavoro, di valutazione
della capacità lavorativa del dipendente, di diagnosi, assistenza o terapia sanitaria o sociale ovvero
gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati
membri o conformemente al contratto con un professionista della sanità;
 il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica;
 rispetto delle misure di garanzia per i dati genetici, biometrici e relativi alla salute dettati dall’articolo 2-
septies.
In presenza di queste condizioni, il consenso dell’interessato NON è richiesto.
In tali casi, l’interessato non può esercitare il diritto all’oblio e il diritto alla portabilità dei dati  BASE
NORMATIVA di tale limitazione di diritti = art. 23 del Regolamento (SALVAGUARDIA DELLA SANITÁ
PUBBLICA).

17. RIUTILIZZO DI DATI A FINI DI RICERCA SCIENTIFICA
O A FINI STATISTICI
Il decreto, infine, sostituisce l’articolo 110-bis del Codice, relativo al possibile riutilizzo dei dati particolari
nell’ambito di esigenze di ricerca scientifica o a fini statistici.
Rispetto alla formulazione originaria della disposizione, la riforma:
- mantiene la necessaria autorizzazione preventiva del Garante per il riutilizzo dei dati solo quando
rendere l’informativa agli interessati sia impossibile o implichi uno sforzo sproporzionato o
pregiudichi le finalità della ricerca;
- prevede che l’autorizzazione preventiva del Garante non possa comportare comunque il riutilizzo dei dati
genetici;
- circoscrive il possibile riutilizzo ai soggetti che svolgano principalmente attività di ricerca a fini
statistici o scientifici;
- conferma la necessità di adottare misure appropriate a tutela dei diritti degli interessati, comprese forme di
minimizzazione e anonimizzazione dei dati;
- aggiunge un comma per escludere che il trattamento dei dati raccolti nell’ambito dell’attività
clinica a fini di ricerca rientri nella disciplina dettata per il riutilizzo.

18. SERVIZI DI COMUNICAZIONE ELETTRONICA
Il nuovo articolo 132-ter del Codice attua l’art. 32 del Regolamento prescrivendo ai fornitori di servizi di
comunicazione elettronica accessibili al pubblico:
- l’adozione di misure tecniche e organizzative adeguate al rischio esistente e l’attuazione di una politica
di sicurezza;
- l’accessibilità ai dati del solo personale autorizzato per fini legalmente autorizzati;
- la protezione dei dati personali archiviati o trasmessi dalla distruzione anche accidentale, dalla perdita o
alterazione anche accidentale e dall’archiviazione, dal trattamento, accesso o divulgazione non autorizzati o
illeciti;
- la cooperazione con il fornitore della rete pubblica di comunicazioni quando la sicurezza richieda
l’adozione di misure che riguardano la rete; in caso di mancato accordo, su richiesta di uno dei fornitori, la
controversia è definita dall’Autorità per le garanzie nelle comunicazioni.
Il nuovo articolo 132-quater riguarda invece le informazioni sui rischi e prescrive al fornitore di un
servizio di comunicazione elettronica accessibile al pubblico di informare gli abbonati e, ove possibile, gli
utenti, circa il rischio di violazione della sicurezza della rete, indicando i possibili rimedi e i relativi costi
presumibili.
Il fornitore dovrà altresì informare di tali rischi il Garante e l’Autorità per le garanzie nelle comunicazioni.

19. PROCEDURE E POTERI DEL GARANTE
 RECLAMO;
 SEGNALAZIONE;
 POTERI DI ACCERTAMENTO DELL’AUTORITÁ

20. RECLAMO E SEGNALAZIONE
Il decreto modifica in parte le procedure di tutela per l’interessato.
Il RECLAMO innanzi al Garante può essere proposto se non sia già pendente un
procedimento innanzi all’autorità giudiziaria per il medesimo oggetto e tra le stesse parti, così come
la proposizione del reclamo renderebbe improponibile la medesima domanda in sede giudiziaria.
I tempi di decisione del reclamo sono fissati in NOVE MESI, ma il Garante può nelle more emanare
i provvedimenti di cui all’art. 58 GDPR (correttivi e di indagine).
Diversa dal reclamo è la SEGNALAZIONE che può essere proposta da chiunque e sulla base della quale il
Garante emana d’ufficio i suddetti provvedimenti di cui all’art. 58.
COMPETENZA DELL’AUTORITÀ GIUDIZIARIA  magistratura ordinaria.
Nei poteri del Garante, elencati nel nuovo art. 154, rientra anche quello di denunciare i fatti configurabili
come reati perseguibili di ufficio, oltre a quelli già previsti in via generale dal GDPR e dalle altre normative
richiamate nella disposizione.
Il Garante, inoltre, ha anche facoltà di esercizio dell’azione in giudizio nei confronti dei
titolari o dei responsabili del trattamento nel caso di violazione della normativa.

21. I POTERI DI ACCERTAMENTO DELL’AUTORITÁ
I POTERI DI ACCERTAMENTO DELL’AUTORITÀ vengono ampliati, dato che la
richiesta di esibizione oggi viene estesa anche al contenuto di banche dati, con possibilità di
accesso alle stesse, agli archivi e facoltà di ispezionare e verificare i luoghi in cui è effettuato il
trattamento o nei quali occorre effettuare rilevazioni comunque utili al controllo del rispetto
della disciplina.
Gli accertamenti, inoltre, possono anche riguardare reti di comunicazioni
accessibili al pubblico potendo procedersi all’acquisizione di dati ed
informazioni online.
Infine, per i trattamenti aventi riguardo esigenze di sicurezza nazionale gli accertamenti
devono essere svolti da un componente designato del Garante, senza possibilità di delega.

22. LA DISCIPLINA SANZIONATORIA
Nel decreto legislativo 101/2018 si rinviene un’articolata disciplina
sanzionatoria che regola sia l’applicazione delle sanzioni
amministrative sia le fattispecie di reato per il GDPR.

23. SANZIONI AMMINISTRATIVE PECUNIARIE
Art. 166:
 Comma 1 - Fattispecie di sanzione «modesta»  sanzione
amministrativa pecuniaria fino a 10.000.000 di Euro, o per le
imprese, fino al 2 % del fatturato mondiale totale annuo
dell’esercizio precedente, se superiore (art. 83, par. 4 GDPR);
 Comma 2 – Fattispecie di sanzione «pesante»  sanzione
amministrativa pecuniaria fino a 20.000.000 di Euro, o per le
imprese, fino al 4 % del fatturato mondiale totale annuo
dell’esercizio precedente, se superiore (art. 83, par. 5 GDPR).

24. SANZIONI PENALI
SPECIFICHE FATTISPECIE DI REATO:
 Art. 167 – Trattamento illecito di dati;
 Art. 167-bis – Comunicazione e diffusione illecita di dati personali
riferibili a un rilevante numero di persone;
 Art. 167-ter – Acquisizione fraudolenta di dati personali;
 Art. 168 – Falsità nelle dichiarazioni al Garante e interruzione
dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante;
 Art. 171 – Violazioni delle disposizioni in materia di controlli a distanza e
indagini sulle opinioni dei lavoratori.

25. LA DISCIPLINA TRANSITORIA
I Codici di deontologia e buona condotta già approvati conservano la loro validità sino alla
definizione della procedura di approvazione, e purché entro sei mesi vengano sottoposti nuovi Codici di
condotta ai sensi dell’art. 40 GDPR.
Per le autorizzazioni generali emanate, e relative alle previsioni di cui all’art. 6, par. 1, lettere c) ed e) ed
all’art. 9 par. 4 ed al capo IX del GDPR, il Garante dovrebbe individuare, entro 90 giorni dalla
pubblicazione del decreto legislativo in esame, le prescrizioni di dette autorizzazioni che risultano
compatibili con il GDPR, provvedendo nel caso all’aggiornamento.
I provvedimenti del Garante continueranno ad applicarsi successivamente alla data di entrata
in vigore del decreto in quanto compatibili con il GDPR e con le disposizioni del decreto stesso.
Infine, la procedura di previa comunicazione dei trattamenti effettuati sulla base giuridica del legittimo
interesse del Titolare, di cui ai commi 1022 e 1023 dell’art. 1 della Legge di Bilancio 2018, cesserà di
avere efficacia generale, e sarà applicabile solamente all’ipotesi di dati del minore raccolti online.

26. INDICE DEI DOCUMENTI

27.  Decreto legislativo 10 agosto 2018, n. 101 recante disposizioni per
l’adeguamento della normativa nazionale alle disposizioni del
Regolamento (UE) 2016/679 relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonché alla
libera circolazione di tali dati e che abroga la direttiva 95/46/CE
(Regolamento generale sulla protezione dei dati);
 Parere sullo schema di decreto legislativo recante disposizioni per
l’adeguamento della normativa nazionale alle disposizioni del
Regolamento (UE) 2016/679 – 22 maggio 2018;
 Dossier delle Camere «L’adeguamento della disciplina sulla
protezione dei dati personali al Regolamento (UE) 2016/679» – 21
maggio 2018.