Pubblicato, sulla G.U. n. 205 del 4.08.2018, il D.Lgs.10.08.2018 n. 101, contenente le disposizioni per l’adeguamento del Codice della Privacy ( D.Lgs. 196/2003 ) alle disposizioni del Reg. UE 2016/679 – GDPR relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).
Il Decreto legislativo, per il quale è previsto un periodo transitorio con l’entrata in vigore dal 19 settembre 2018, abroga un grosso numero di articoli del Codice della Privacy ( D.Lgs. 196/2003 ). Provvedimenti del Garante, Codici deontologici continueranno dunque ad essere efficaci e saranno oggetto di una successiva revisione.
Tra le novità di particolare interesse si segnalano sommariamente:
- E’ stabilita a 14 anni l’eta a partire dalla quale è possibile esprimere il consenso al trattamento.
- E’ sancita l’inutilizzabilità dei dati quando il trattamento avviene in violazione del codice, salvo l’utilizzo in sede giudiziale.
- Nella precedente formulazione del Codice venivano considerate le figure dei responsabili e degli incaricati. Nella più recente formulazione del D.Lgs. si parla di soggetti “designati”.
- Per soddisfare le esigenze di semplificazione delle piccole e medie imprese verranno previste delle modalità semplificate di adempimento degli obblighi.
- Rispetto alla vecchia formulazione del codice non sono state modificate le disposizioni sulle comunicazioni elettroniche, in attesa del regolamento europeo in materia di e-privacy.
- In ambito giustizia, tutti gli organi giudiziari dovranno obbligatoriamente nominare il DPO. Previste anche limitazioni ai diritti degli interessati per ragioni di giustizia e il rafforzamento del divieto di pubblicazione dei dati dei minori per il quale è prevista una specifica sanzione penale.
- In merito ai reati, vengono introdotti i seguenti reati: trattamento illecito di dati (art. 167), comunicazione (art. 167-bis), diffusione illecita di dati (art.167-bis), acquisizione fraudolenta di dati (art. 167-ter), false dichiarazioni al Garante e inosservanza dei provvedimenti (art.168). Per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati terrà conto, ai fini dell'applicazione delle sanzioni amministrative e nei limiti di compatibile con le disposizioni del Reg. UE 2016/679, della fase di prima applicazione (art. 22, comma 13).
- Nel complesso si regista un inasprimento delle sanzioni amministrative e l’abrogazione delle sanzioni penali sovrapponibili a quelle amministrative. Inoltre le disposizioni che sostituiscono le sanzioni penali con le sanzioni amministrative previste dal Regolamento si applicheranno anche alle violazioni commesse anteriormente alla data di entrata in vigore del decreto stesso, sempre che il procedimento penale non sia stato definito con sentenza divenuta irrevocabile ( art. 24, comma 1 )
- Come forma di tutela, il ricorso viene sostituito dal reclamo.
NOVITA' PER IL DIRITTO DEL LAVORO:
Nell'ambito giuslavoristico, risaltano le modifiche apportate dal GDPR al Codice della Privacy in tema di controlli a distanza. I controlli, già regolati dagli art. 4 e 8 dello Statuto dei Lavoratori, l'art. 113 fa un espresso richiamo all'art. 10 del d.lgs. 276/2003 che vieta ai datori indagini su opinioni e trattamenti discriminatori dei lavoroatori. Da ultimo è da segnalare l'aggiunta nell'art. 115 del COdice, della previsione dei lavoratori agili quali destinatari delle tutele.
Di particolare interesse l'art. 9 che modifica alcune parti del Titolo VIII° del Codice, rubricato ora " Trattamenti nell'ambito del rapporto di lavoro ". In merito alle regole deontologiche, adottabili previa consultazione pubblica ( pre-condizione di liceità del trattamento dei dati), vengono espressamente richiamate le finalità dell'art. 88 del regolamento UE, più ampie rispetto a quelle originariamente previste all'art. 111 del Codice ( parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, finalità di cessazione del rapporto di lavoro.... ).
Il trattamento dei dati conseguenti alla ricezione di curricula non necessita del consenso (art. 111-bis). Inoltre è interamente riformulata la disposizione la disposizione dedicata alle finalità di rilevante interesse pubblico ( nuovo art. 2-sexies ).