La nuova era della Data Protection è iniziata il 25 maggio scorso, con la piena entrata in vigore del GDPR, il regolamento Ue che impatta sull’attività del Garante Privacy. Basti pensare che nei primi quattro mesi dopo il “d-day” del 25 maggio è aumentato del 42% il numero di segnalazioni pervenute, ben a 2.547 nel periodo 25 maggio-25 settembre 2018, a fronte di 1.795 giunte nello stesso periodo dello scorso anno.
Tutte le scadenze del Garante Privacy
- Dal 25 maggio 2018 hanno cessato di applicarsi le disposizioni contenute in provvedimenti generali del Garante, che non siano compatibili con il Regolamento e il decreto 101.
- Dal 19 settembre 2018, le violazioni commesse in materia di misure di sicurezza minime non ancora definite entro questa data con ordinanza-ingiunzione del Garante possono essere pagate nella misura dei due quinti del minimo edittale. A partire da questa data si interrompono i termini di prescrizione per la riscossione delle sanzioni interessate dalla “sanatoria”.
- Da questa data cessano di produrre effetti le autorizzazioni generali diverse da quelle sottoposte a procedura di aggiornamento da parte del Garante.
- A partire da questa data alle vecchie violazioni penali si applicano le nuove sanzioni amministrative, sempre che il procedimento penale non sia stato definito.
- Entro il 3 ottobre 2018, il Garante dà notizia attraverso il proprio sito e con avviso pubblicato sulla Gazzetta Ufficiale delle modalità di trattazione del contenzioso pregresso.
- Entro il 2 dicembre 2018, chi ha presentato reclami, segnalazioni e richieste di verifica preliminare può presentare al Garante richiesta di trattazione di quel contenzioso. In caso contrario, quei procedimenti diventano improcedibili.
- Entro questa data, l’autorità giudiziaria trasmette all’autorità amministrativa competente gli atti dei procedimenti penali relativi ai reati trasformati in illeciti amministrativi.
- Il 2 dicembre 2018 è il termine ultimo per effettuare il pagamento delle sanzioni in misura ridotta previsto dalla “sanatoria”.
- Entro il 18 dicembre 2018, il Garante verifica la compatibilità con il GDPR dei codici deontologici in materia di giornalismo, ricerca storica, statistica in ambito Sistan, statistica e scopi scientifici, investigazioni difensive e pubblica le disposizioni ritenute compatibili, che sono ridenominate regole deontologiche e sottoposte a consultazione pubblica, sulla Gazzetta Ufficiale. Sino a quel momento continuano a produrre effetti i vecchi codici.
- Entro il 18 dicembre il Garante verifica la compatibilità con il GDPR delle autorizzazioni generali, se necessario le aggiorna e sottopone il nuovo testo a consultazione pubblica. Le nuove autorizzazioni generali devono essere adottate entro 60 giorni dalla chiusura della consultazione pubblica e pubblicate sulla Gazzetta Ufficiale. Da quel momento cessano di produrre effetti le vecchie autorizzazioni generali.
- Il 16 febbraio 2019 è il termine per effettuare il pagamento nel caso non si sia aderito alla “sanatoria”.
- Entro il 18 marzo 2019 le associazioni e gli altri organismi rappresentativi sottopongono al Garante entro questa data il codice deontologico in materia dei sistemi informativi sul credito al consumo e quello sulle informazioni commerciali. Entro sei mesi dalla presentazione degli schemi di codice al Garante si deve completare la procedura di approvazione del nuovo codice deontologico. Sino a quel momento continuano a produrre effetti i vecchi codici.
- 17 maggio 2019: Fine del “periodo di rispetto” durante il quale il Garante tiene conto, nell’applicazione delle sanzioni amministrative, della novità dei nuovi obblighi sulla privacy.
- 31 dicembre 2019: Il registro dei trattamenti è accessibile fino a questa data.
- 12 marzo 2020: Entro questa data il ministero della Giustizia deve adottare un decreto che, in mancanza di una legge o di un regolamento, autorizza il trattamento dei dati personali relativi a condanne penali e a reati.
- Con cadenza almeno biennale, Il Garante predispone misure di garanzia (tra le altre, le misure di sicurezza, quelle di accesso alle informazioni e di tutela dei diritti degli interessati) per il trattamento dei dati genetici, biometrici e relativi alla salute. Le misure di garanzia sono adottate dopo essere state sottoposte a procedura di consultazione pubblica.
Altri adempimenti senza scadenza prefissata
C’è poi tutta una serie di adempimenti che non hanno una scadenza definita, ma che non per questo sono meno urgenti. Ecco quali sono.
- Senza scadenza. Con uno o più regolamenti, adottati con decreto del Presidente del consiglio su proposta dei ministri competenti, vanno individuate le modalità per il trattamento dei dati personali relativi alla sicurezza e di difesa nazionale da parte del Dis (Dipartimento delle informazioni per la sicurezza), dell’Aise (Agenzia informazioni e sicurezza esterna) e dell’Aisi (Agenzie e sicurezza interna).
- Senza scadenza. Il Garante individua, in cooperazione con l’Autorità per le comunicazioni, le modalità di inserimento e di utilizzo dei dati personali negli elenchi telefonici pubblici oltre alle modalità per il consenso a fini di telemarketing e marketing diretto.
- Senza scadenza. Il Garante adotta linee guida relative alle misure organizzative e tecniche di attuazione del GDPR. Nelle linee guida il Garante promuove anche modalità semplificate di adempimento dei nuovi obblighi della privacy da parte delle piccole e medie imprese.
- Senza scadenza. Il Garante definisce con propri regolamenti l’organizzazione e il funzionamento del proprio ufficio.
- Senza scadenza. Il Garante definisce le modalità del procedimento per l’adozione dei provvedimenti e delle sanzioni amministrative.
- Senza scadenza. Il Garante promuove regole deontologiche per i trattamenti di cui a 6(1) lett. c) ed e), 9(4) e Capo IX Regolamento + consultazione pubblica (60 giorni) + approvazione e pubblicazione su GU e allegazione a Codice.
- Senza scadenza. Il Garante disciplina con proprio regolamento la trattazione di reclami, anche in forma semplificata e con termini abbreviati per reclami attinenti violazione artt. 15-22 Regolamento (diritto di accesso dell’interessato, diritto di rettifica, diritto all’oblio, diritto di limitazione di trattamento, Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento, Diritto alla portabilità dei dati, Diritto di opposizione, Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione).