Studio Legale Giacopuzzi – Diritto d'Impresa – Studio Legale Giacopuzzi – Diritto dImpresa - LE SEMPLIFICAZIONI

Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d’Impresa - www.studiogiacopuzzi.it

LE SEMPLIFICAZIONI AGLI ADEMPIMENTI PRIVACY

INTRODOTTE DAL DECRETO SVILUPPO

D I R I T T O d’ I M P R E S A CIVILE, COMMERCIALE & NUOVE TECNOLOGIE

Avv. Luca Giacopuzzi – www.lucagiacopuzzi.itStudio Legale Giacopuzzi, Verona – Diritto d’Impresa

www.studiogiacopuzzi.it

PRIVACY: LE NOVITA’ DEL DECRETO SVILUPPOPRIVACY: LE NOVITA’ DEL DECRETO SVILUPPO

rilevanti modifiche

al Codice Privacy

Le modifiche, tutte immediatamente applicabili, realizzano una riforma della disciplina relativa al trattamento dei dati personali

effettuato dalle imprese

La L.12 luglio 2011 n.106, di conversione del D.L. 70/11, ha apportato

Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL DECRETO SVILUPPO: I TEMI OGGETTO D’INDAGINEIL DECRETO SVILUPPO: I TEMI OGGETTO D’INDAGINE

• la (ri)definizione delle “finalità amministrativo-contabili”• la deroga all’applicazione del Codice per i trattamenti di dati nei rapporti B2B per finalità amministrativo-contabili• l’esonero dal consenso per lo scambio informativo infragruppo• l’esclusione dall’obbligo dell’informativa e del consenso in caso di ricezione di curricula vitae trasmessi spontaneamente• l’allineamento del marketing postale al tele-marketing• l’estensione del campo di applicazione dell’autocertificazione sostitutiva del DPS

NOVITA’


IL DECRETO SVILUPPO: GUIDA ALLA LETTURAIL DECRETO SVILUPPO: GUIDA ALLA LETTURA

Per comprenderne ratio e portata applicativa,le modifiche di recente introduzione

vanno considerate “tessere di un mosaico”

il sistema-privacy, unitariamente considerato


LA “CHIAVE DI LETTURA” DELLA TEMATICA IN ESAMELA “CHIAVE DI LETTURA” DELLA TEMATICA IN ESAME

UN’AVVERTENZA PRELIMINARE:“La privacy” è una materia

complessa e di non immediata decifrazione, atteso chele regole normative vanno lette unitamente alle indicazioni del

Garante

Vi sono adempimenti da porre in essere e precetti da osservare,pena l’applicazione di sanzioni (amministrative e/o penali).

Il tutto fermo l’obbligo di risarcire il danno eventualmente arrecato.

Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d’Impresa – www.lucagiacopuzzi.it

LE SANZIONILE SANZIONI

Il quadrodell’impianto sanzionatorio

Qualche esempio, senza alcuna pretesa di esausitivitàInidonea informativa: sino ad € 36.000,00Violazione misure di cui all’art. 33: sino ad € 120.000,00Incompleta notificazione: sino ad € 120.000,00Inosservanza provv. Garante ex art. 154.c: sino ad € 180.000,00Ipotesi aggravate: sino ad € 300.000,00

Artt. 161 - 172D.Lgs. 196/03


““I PROVVEDIMENTI” DEL GARANTEI PROVVEDIMENTI” DEL GARANTE

ATTENZIONE:Un identico nome (id est “provvedimenti”)

per indicazioni differenti

QUALE PORTATA GIURIDICO-FORMALE?

mere indicazioni a carattere divulgativo (154.1.h)

prescrizioni impartite con efficacia vincolante (154.1.c)(sanzione per l’inosservanza: € 30.000,00 -180.000,00, ex art. 162.2-ter)


LO “STATO DELL’ARTE” IN PUNTO PRIVACYLO “STATO DELL’ARTE” IN PUNTO PRIVACY

Da tale prassi conseguono adempimenti

superflui o ripetuti inutilmente

In tema di privacy, alcune modalità applicative sono ancora basate su approcci prettamente burocratici

e di ordine puramente formale

Si pone, dunque, la necessità di “rileggere” la materia


PRIVACY: QUALI INDICAZIONI?PRIVACY: QUALI INDICAZIONI?

nozioni fondamentali

Giova recuperare alcune

da cui muovere

Le definizioni e gli istituti essenziali della disciplina ci sono noti?

La Cass. 21839/2011 qualifica il numero di un’utenza telefonica mobile come “dato sensibile” (errore grave)


IL SISTEMA DEI DATI PERSONALIIL SISTEMA DEI DATI PERSONALI

DATI PERSONALI

COMUNI

SENSIBILI

GIUDIZIARI

SEMI-SENSIBILI


GLIGLI ADEMPIMENTI PRIVACY, IN ESTREMA SINTESI ADEMPIMENTI PRIVACY, IN ESTREMA SINTESI

• Informativa• Consenso• Notificazione


LE (PRINCIPALI) DESIGNAZIONILE (PRINCIPALI) DESIGNAZIONI

Il Titolare del trattamento deve individuare formalmente, con atto scritto,

i soggetti che hanno titolo per trattare i dati

DESIGNAZIONI

Responsabile: interno ed esternoDetta figura, la cui designazione è facoltativa (*),ricorre frequentemente in presenza di articolazioni interne delle realtà produttiveovvero in presenza di servizi in outsourcing[(*) v., tuttavia, Pr. Garante 16.06.2011]

IncaricatoDetta figura, la cui designazione è obbligatoria,individua le pers.fisiche che materialmentecompiono operazioni di trattamento dei dati


L’INFORMATIVAL’INFORMATIVA

E’il primo “obbligo-privacy”

nei confronti dell’interessato

che cos’è?Deve rappresentare agli interessati, senza inutili formalità,

le caratteristiche essenziali dei trattamenti effettuati


L’INFORMATIVA/2L’INFORMATIVA/2

L’utente deve anzitutto ricevere unachiara e completa informativa

in ordine al trattamento dei dati raccolti

Formule sintetiche o colloquiali?

Ammissibili, purchè inequivoche

Necessaria la presenzadegli elementi di cui

all’art. 13 D.Lgs.196/06

Auspicata la redazione diuna prima informativa breve,

che rinvia ad altra


IL CONSENSOIL CONSENSO

Salvo ricorra una delle ipotesi di cui all’art.24, è NECESSARIO affinchè i privati e gli enti pubblici economici

possano TRATTARE i dati personali

espresso libero

informato revocabile

specifico

preventivo


IL CONSENSO/2IL CONSENSO/2

Nello svolgimento dell’ordinaria attività d’impresa, il consenso NON è richiesto

se:• il trattamento viene posto in essere per dare esecuzione ad un obbligodi legge (art.24, 1 comma, lett.a)• i dati vengono trattati nell’esecuzione di un contratto o in faseprecontrattuale (art.24, 1 comma, lett.b)• i dati provengono da registri ed elenchi pubblici (art.24, 1 comma, lett.c)• i dati sono relativi allo svolgimento di attività economiche (art. 24,1 comma, lett.d)• se i dati sono comunicati “inter-company”per finalità amministrativo-contabili (NOVITA’ portata dal Decreto Sviluppo!)

DATI SENSIBILI? REGOLE ULTERIORI (art.26)

NOVITA’


INFORMATIVA + CONSENSOINFORMATIVA + CONSENSO

è necessario uno specifico consensoper ciascuna finalità del trattamento dati

(Provv. 23 marzo 2011)

Il consenso: libero, informato e specifico

Con la precisazione che il consenso che l’interessato “debba” prestare per poter fruire

della prestazione richiesta non può definirsi libero, essendo piuttosto “indebitamente necessitato”

Ove l’art. 24 del Codice non possa trovare applicazione,

IL “DECRETO SVILUPPO”IL “DECRETO SVILUPPO”


Che accade in concreto?

Delineati, seppur per cenni, iprincipi fondamentali,

è ora possibile prendere in esame le novità del Decreto Sviluppo


LA DEROGA ALL’APPLICAZIONE DEL CODICELA DEROGA ALL’APPLICAZIONE DEL CODICE

Il comma 3-bis dell’art. 5 (introdotto dal Decreto Sviluppo) esonera dall’applicazione del Codice

SOLAMENTEi trattamenti di dati personali di

persone giuridiche, imprese, enti o associazioni effettuati dalle predette per fini amministrativo-contabili

E’necessario delimitare con precisione il perimetro applicativodella semplificazione normativa


LE FINALITA’ AMMINISTRATIVO-CONTABILILE FINALITA’ AMMINISTRATIVO-CONTABILI

PRELIMINARE è chiarire cosa si intendaper finalità amministrativo-contabili

Il Garante, già nel 2008, si era sul punto così pronunciato:

“Diverse realtà trattano dati, anche in relazione a obblighi contrattuali,precontrattuali o di legge, esclusivamente per finalità di ordine amministrativoe contabile (gestione di ordinativi, buste paga e ordinaria corrispondenza conClienti, fornitori, realtà esterne di supporto anche in outsourcing, dipendenti)”(Provv. 16.06.2208)


LE FINALITA’ AMMINISTRATIVO-CONTABILILE FINALITA’ AMMINISTRATIVO-CONTABILI

Ed ancora, sempre nel 2008, il Garante aveva definito cometrattamenti aventi finalità amministrativo-contabili i seguenti:

“trattamenti con strumenti elettronici finalizzati alla gestione dell’autoparcoaziendale, alle procedure di acquisto dei materiali di consumo, alla manutenzionedegli immobili sociali”(Provv. 27.11.2208, in tema di amministratori di sistema: FAQ 24)

Con il Decreto Sviluppo si introduce una definizione normativa

(art. 34, comma 1-ter)

L’ART. 34, COMMA 1-L’ART. 34, COMMA 1-TERTER

Art. 34, c. 1-ter, primo periodo:“I trattamenti sono quelli connessi allo svolgimento delle attività di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati”

Trattasi di una definizione di carattere generale, richiamatain diversi ambiti (P.19.06.08, Inf.Cons. – P.27.11.08, Misure minime sicurezza,P.27.11.08, Amministratori di sistema)

Art. 34, c. 1-ter, secondo periodo:“Perseguono tali finalità le attività organizzative interne, quelle funzionali all’adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilità e all’applicazione delle norme in materia fiscale, sindacale, previdenziale-assistenziale, di salute, igiene e sicurezza sul lavoro”

Trattasi di un’elencazione non esaustiva


LE FINALITA’ AMMINISTRATIVO-CONTABILI: LE FINALITA’ AMMINISTRATIVO-CONTABILI: COSA NON SONOCOSA NON SONO

• scopi di comunicazione o promozione commerciale (i.e.: marketing)

• analisi delle abitudini o scelte di consumo (i.e.: profilazione)

• valutazione e monitoraggio circa la solvibilità economica di controparti commerciali (cl.-forn.)

• finalità organizzative “esterne” (es.: trattamento di dati all’estero)


LA DEROGA ALL’APPLICAZIONE DEL CODICELA DEROGA ALL’APPLICAZIONE DEL CODICE

Trattamento“B2B”

Dati relativiai soggetti

predetti

La deroga di cui all’art.5, comma 3-bis, opera in presenzadelle seguenti condizioni:

Il tr. è effettuato nell’ambito di rapporti tra personegiuridiche, imprese, enti e associazioniN.B.: anche con soggetti pubblici (es. P.A. o impreseche svolgono un pubblico servizio pur se aventi formagiuridica privata)

Es.: dati anagrafici, marchi e altri segni distintivi, riferimenti del legale rappresentante o di soggettiche rivestono cariche sociali

Finalitàammin.-cont.

Unica finalità contemplata dalla norma in esame


LO SCAMBIO INFORMATIVO INFRAGRUPPOLO SCAMBIO INFORMATIVO INFRAGRUPPO

L’art. 24, lett. i-ter, individua una nuova ipotesi di esonero dal consensoper le comunicazioni di dati a fini amministrativo-contabili

In sostanza, vi è l’esonero dal consenso per le comunicazionieffettuate nell’ambito di gruppi o di altre forme organizzatedi esercizio dell’attività d’impresa, a fini amminist.-contab.

tra società, enti o associazioni con società controllanti, controllate, collegateo sottoposte a comune controllo, nonché tra consorzi, reti di imprese, raggruppamenti e associazioni temporanee di imprese con gli aderenti

LA GESTIONE DEI LA GESTIONE DEI CURRICULA VITAECURRICULA VITAE


l’art. 13, comma 5-bis, elimina l’obbligo di fornire l’informativa.Cade anche la necessità di acquisire il consenso dell’interessato.

E’sollecitata la raccolta di CV a mezzo delle form sul sito web aziendale?

In relazione ai curriculainviati spontaneamente

da chi si candida all’instaurazione di un rapportodi lavoro o di collab.profess.


CHE FARE, IN CONCRETO?CHE FARE, IN CONCRETO?

Sul piano pratico, la mera consultazione di un CV non sollecitato può avvenire senza una previa informativa

CV

NON INTERESSA VIENE CONSERVATO

Chi lo riceve deve distruggere i dati,cessandone il tratt., come per legge(art. 16)

Al momento del primo contatto, ilcanditato riceverà dal Titolare, ancheoralmente, un’informativa breve,a“contenuto predeterminato”


LE NOVITA’ IN TEMA DI DPSLE NOVITA’ IN TEMA DI DPS

Il Decreto Sviluppo ha abrogato l’obbligo di redigere il DPS?

E’stato (semplicemente) esteso il campo di applicazionedell’autocertificazione sostitutiva del DPS, già prevista

NO


IL PUNTO SULLE SEMPLIFICAZIONIIL PUNTO SULLE SEMPLIFICAZIONI

• Quando i dati trattati sono non sensibili o gli unici dati sensibili e giudiziari attengono a dipendenti, collaboratori e familiari

Autocertificazione Misure minime di sicurezza semplificate

• Quando il trattamento di dati, per finalità amministrativo-contabili, è effettuato da Pmi, professionisti ed artigiani

Misure minime di sicurezza semplificate

NOVITA’


DPS: SI’ O NO?DPS: SI’ O NO?

Non vi è una risposta valida in assoluto: si deve valutare

la situazione concreta

la redazione del DPSE’ COMUNQUE OPPORTUNA

IN MOLTI CASI, tuttavia, a prescindere dall’obbligatorietà


IL DECRETO SVILUPPO E IL MARKETINGIL DECRETO SVILUPPO E IL MARKETING

Il Decreto Sviluppo ha modificato l’art. 130, comma 3-bis

attività pubblicitarie o promozionali mediante posta cartacea

Ove il destinatario non si sia iscritto nel Registro Pubblico delleopposizioni (la cd. Robinson List), l’impresa può utilizzare gli

indirizzi contenuti negli elenchi telefonici pubblici per effettuare


IL DECRETO SVILUPPO E IL MARKETINGIL DECRETO SVILUPPO E IL MARKETING

Il Decreto Sviluppo ha esteso al marketing postale, in precedenza fondato sull’opt-in (“scelgo di farne parte”),

il regime in tema di telemarketing, che si basa sull’opt-out (“scelgo di stare fuori”)

OPT-INL’operatore ha l’oneredi ottenere il consenso

dell’interessato

OPT-OUTE’l’utente a doversi fare carico

di opporsiall’uso dei suoi recapiti

Il perno è il registro pubblico delle opposizioni (cd. Robinson List),

Studio Legale Giacopuzzi – Verona Bolzano – www.lucagiacopuzzi.it

TELEMARKETINGTELEMARKETING E E MAIL MARKETINGMAIL MARKETING

Il regime di legge: l’OPT-OUT

D.P.R. 178/10 PROVV. GARANTE PRIVACYn.16 del 19.01.2011

La Robinson List mette l’abbonato al riparo dalle chiamate indesideratedei soli operatori che utilizzano come fonte dei propri contatti

gli elenchi telefonici pubblici e si avvalgono di addetti persone fisiche

La raccolta dei dati da fonti diverse e il relativo utilizzo deve avvenire a norma di legge

I RECENTI INTERVENTI DI SEMPLIFICAZIONEI RECENTI INTERVENTI DI SEMPLIFICAZIONE

Le semplificazioni in tema di marketing

Telemarketing e

Mail marketingL’e-mail marketing soggiace ancora ad una

rigorosa disciplina normativa, la cui portata viene precisata, altresì, da

Provvedimenti del Garante Privacy

hanno avuto ad oggetto unicamente

Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d’Impresa – www.studiogiacopuzzi.it

MKT & PRIVACYMKT & PRIVACY

In tema di marketing

• TELEMARKETING• MAIL MARKETING

• E-MAIL MARKETING• FAX MARKETING

• MMS-SMS MARKETING• MESSAGGI REGISTRATI

• opt-out (v. la cd. “Robinson List”) • opt-in, salvo ipotesi residuali

per l’e-mail marketing (v. art. 130, comma 4)


E-MAILE-MAIL MARKETING: NON SOLO PRIVACY MARKETING: NON SOLO PRIVACY

Una disciplina composita

REGOLAMENTAZIONE NORMATIVA

- art. 130 Codice privacy- art. 9 D.Lgs. 70/03


E-MAIL MKTE-MAIL MKT

O B B L I G H I P E R L’ I M P R E S A:

a) Acquisire il previo consenso, informato, del destinatario

b) Esplicitare che la comunicazione ha carattere commerciale

c) Informare sulla facoltà di non ricevere ulteriori e-mails

d) Fornire un recapito, reale, per l’esercizio dei diritti ex art. 7 C.Pr.

N.B.: Quanto precede ferme le eccezioni di cui all’art. 130

Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it

LE SANZIONILE SANZIONI

• Sanzioniamministrative

• Sanzionipenali

Informativa: da 6 a 36.000 euroConsenso: da 10 a 120.000 euro

Reclusione da 6 a 18 mesi

Attenzione: il tutto fermo l’obbligo di risarcire il danno, anche di natura non patrimoniale

ART. 15

Per casi di maggiore gravità: aumento sino al doppio.Per banche dati di particolare rilevanza: da 50 a 300.000 euro.


DAL GARANTE PRIVACYDAL GARANTE PRIVACY

• Il Titolare che acquista le “liste” risponde in prima persona

del contenuto delle stesse (rectius: dell’idoneità delle predette)

• Il ricorso ad outsourcers non è “deresponsabilizzazione”

Indicazioni utili si ricavano, altresì, da un’attenta letturadei provvedimenti del Garante Privacy.

Senza pretesa di esaustività, si ricorda che:

Provv. 16.06.2011: il Garante prescrive, ai sensi dell’art. 154.1.c,di designare gli outsourcers come “responsabili”


IL TRATTAMENTO DEI DATI DEI IL TRATTAMENTO DEI DATI DEI CLIENTICLIENTI

Non solo marketing:

ambiti ulteriori rispetto alle ordinarieipotesi di trattamento

Un complesso regime normativo:

1. Fidelizzazione in senso stretto2. Profilazione della clientela3. E-mail marketing

consenso non necessario

consenso informato e distinto

consenso informato e distinto,salve ipotesi particolari

NOTIFICAZIONE per profilazione; sanzione: € 20.000,00-120.000,00


Dati clientiI principali

adempimenti,

in sintesi

Fidelizzazione in senso stretto

Profilazione

della clientela

E-mail

marketing

SI’ NO SI’ NO SI’ NO

Informativa X X XConsenso X X X(1)

Notificazione X X XTempi di conservazione X X XMisure di sicurezza X X XDesignazioni dei soggetti X X X(1) Vedasi, tuttavia, anche l’art. 130 D.Lgs. 196/03 (per le eccezioni), nonché il diverso regime per il telemarketing e marketing “postale” (DPR 178/10, P.Garante 19.01.2011 – D.L. 70/2011, cd. “Decreto Sviluppo”)


LA PRIVACY IN AZIENDA: CONCLUSIONILA PRIVACY IN AZIENDA: CONCLUSIONI

In ambito privacy si deve tendere a semplificazioni e a razionalizzazioni di sistema

• la chiave per decifrare una materia complessa• un obiettivo, cogente, evincibile da norme

La semplificazione rappresenta


LO STATO DELL’ARTELO STATO DELL’ARTE

La materia, disomogenea e di non facile decifrazione,non deve essere l’alibi per non muovere

verso il rispetto delle indicazioni di legge e del Garante

Dal PROBLEMA

alla SOLUZIONE

COSA FARE, IN CONCRETO?COSA FARE, IN CONCRETO?

ADEGUAMENTO

TRATTAMENTI

“ORDINARI”

TRATTAMENTI

“PARTICOLARI”

N.B.: Il trattamento dei datinei diversi soggetti non è maiuguale l’uno all’altro, perchési deve tener conto dellespecificità proprie dei titolari.• modulistica• policy• varie ed eventuali (Decreto Sviluppo)

Tra gli altri:• marketing, on-line e cartaceo• telemarketing (Robinson list)• profilazione cliente• fidelizzazione cliente• videosorveglianza• biometria• trasferimento dati all’estero• web• amministratore di sistema

COSA FARE, IN CONCRETO?COSA FARE, IN CONCRETO?

UNA POSSIBILE SOLUZIONE PERESSERE IMMUNI DA

COMPLICAZIONI

ORGANIZZATIVE

SANZIONI

La soluzione proposta dallo Studio Legale Giacopuzzi:• servizio-privacy “a canone annuo” (Privacy “Gold” – Privacy “Platinum”)*

ESTERNALIZZARE LE INCOMBENZE-PRIVACY!

[* a richiesta, lo Studio è lieto di illustrarVi i contenuti di detti servizi]


DISCLAIMER - REGIME DI UTILIZZO DELLE SLIDESDISCLAIMER - REGIME DI UTILIZZO DELLE SLIDES

Le presenti slides vanno considerate qualemera esemplificazione delle materie trattate.

Il materiale è, pertanto, propedeutico all’attività di consulenza e/odi assistenza legale fornita dallo Studio al Cliente.

Nessuna responsabilità legata ad una decisione assunta sulla base delle informazioni qui contenute potrà, quindi, essere attribuitaal professionista o allo Studio.

© Studio Legale Giacopuzzi, 2011 DIRITTO D’IMPRESA

Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it

www.studiogiacopuzzi.it

[email protected]

PER APPROFONDIMENTI:

37121 Verona,Stradone San Fermo n.21Tel.: 045.8011287Fax: 045.8039787Numero verde: 800-148791

D I R I T T O d’ I M P R E S A CIVILE, COMMERCIALE & NUOVE TECNOLOGIE

Documents

Studio Legale Giacopuzzi – Diritto d'Impresa – Studio Legale Giacopuzzi – Diritto dImpresa - LE SEMPLIFICAZIONI