Ecco le principali previsioni e il testo del decreto legislativo numero 101/2018 di adeguamento della normativa italiana al Gdpr
di Valeria Zeppilli – Il decreto legislativo numero 101 del 10 agosto 2018 (qui sotto allegato) è stato finalmente pubblicato nella Gazzetta Ufficiale dello scorso 4 settembre e, con esso, la normativa nazionale in materia di privacy si è adeguata alle disposizioni del Gdpr. Quanto in esso previsto entrerà in vigore dal prossimo 19 settembre 2018.
Ecco, in breve, le principali novità previste dal provvedimento:
- Sanzioni penali
- Sanzioni amministrative
- Consenso sui social
- Micro, piccole e medie imprese
- Curriculum vitae
- Persone decedute
Sanzioni penali
Innanzitutto, il decreto contiene delle importanti precisazioni circa le conseguenze dell’omesso rispetto della disciplina in materia di privacy, dedicando delle apposite previsioni alle sanzioni amministrative e a quelle penali.
Partendo proprio da queste ultime, il provvedimento ha recuperato alcune fattispecie penali, irrigidendo l’alleggerimento sanzionatorio operato dal regolamento europeo, che aveva optato per un maggior numero di sanzioni amministrative, sebbene dal contenuto severo.
Così rientrano, ad esempio, i reati di trattamento illecito di dati personali, di acquisizione fraudolenta e di false dichiarazioni rese al Garante.
Sanzioni amministrative
Per quanto riguarda invece le sanzioni amministrative, le imprese che violano gli obblighi privacy specificati dal decreto rischiano di essere assoggettate a sanzioni amministrative che vanno da 10milioni a 20milioni di euro o che sono ricomprese tra il 2% e il 4% del fatturato mondiale annuo.
Il compito di applicare le sanzioni – dietro apposito reclamo, su autonoma iniziativa o in conseguenza di accessi o ispezioni della guardia di finanza – è del Garante della privacy.
Una volta ricevuto il provvedimento sanzionatorio, all’impresa sono concessi 30 giorni di tempo per inviare le proprie difese o chiedere di essere sentita.
Consenso sui social
Il decreto prevede, poi, che il consenso al trattamento dei propri dati personali in relazione all’offerta diretta di servizi della società dell’informazione possa essere validamente espresso in prima persona dal soggetto che ha compiuto quattordici anni. Per i minori di età inferiore a tale soglia è necessario il consenso di chi esercita su di loro la responsabilità genitoriale.
Micro, piccole e medie imprese
Il testo del nuovo provvedimento prende in particolare considerazione le esigenze di semplificazione delle micro, piccole e medie imprese, affidando al Garante per la protezione dei dati personali il compito di promuovere delle modalità semplificate di adempimento degli obblighi di trattamento, nel rispetto delle disposizioni del Gdpr e del nuovo codice privacy.
Curriculum vitae
Tra le novità di primario rilievo vi è inoltre la specificazione delle regole alle quali deve attenersi il titolare del trattamento in caso di ricezione di CV inviati spontaneamente e finalizzati all’instaurazione di un rapporto di lavoro. In particolare, il decreto stabilisce che le informazioni di cui all’articolo 13 del Gdpr vanno fornite solo al momento del primo contatto utile successivo all’invio del curriculum. Nei limiti delle finalità stabilite dall’articolo 6, paragrafo 1) lettera b) del Regolamento UE, il consenso al trattamento dei dati personali contenuti nei CV non è richiesto.
Persone decedute
Merita infine di essere menzionata la norma che si occupa dei diritti delle persone decedute.
In essa, nel dettaglio, si stabilisce che i diritti in materia di privacy dettati dal Gdpr e riferiti ai dati personali di soggetti deceduti possono essere esercitati da chi ha un interesse proprio o agisce a tutela dell’interessato in qualità di suo mandatario o per ragioni familiari meritevoli di protezione.Ciò tranne che nei casi previsti dalla legge o, limitatamente all’offerta diretta di servizi della società dell’informazione, se l’interessato lo ha vietato espressamente, in maniera inequivoca, specifica, libera e informata, con una dichiarazione scritta presentata o comunicata al titolare del trattamento.