CONSENSO

 Cosa cambia

• Per i dati “sensibili” (si veda art. 9 regolamento) il consenso deve essere “esplicito”; lo stesso dicasi per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione – art. 22).
• Non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è modalità idonea a configurare l’inequivocabilità del consenso e il suo essere “esplicito” (per i dati sensibili); inoltre, il titolare (art. 7.1) deve essere in grado di dimostrare che l’interessato ha prestato il consenso a uno specifico trattamento.
• Il consenso dei minori è valido a partire dai 16 anni; prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci.

 Cosa non cambia

• Deve essere, in tutti i casi, libero, specifico, informato e inequivocabile e non è ammesso il consenso tacito o presunto (no a caselle pre-spuntate su un modulo).
• Deve essere manifestato attraverso “dichiarazione o azione positiva inequivocabile” (per approfondimenti, si vedano considerando 39 e 42 del regolamento).

Raccomandazioni

Il consenso raccolto precedentemente al 25 maggio 2018 resta valido se ha tutte le caratteristiche sopra individuate. In caso contrario, è opportuno adoperarsi prima di tale data per raccogliere nuovamente il consenso degli interessati secondo quanto prescrive il regolamento, se si vuole continuare a fare ricorso a tale base giuridica. In particolare, occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato (art. 7.2), per esempio all’interno di modulistica. Prestare attenzione alla formula utilizzata per chiedere il consenso: deve essere comprensibile, semplice, chiara (art. 7.2). I soggetti pubblici non devono, di regola, chiedere il consenso per il trattamento dei dati personali (si vedano considerando 43, art. 9, altre disposizioni del Codice: artt. 18, 20).

INTERESSE LEGITTIMO PREVALENTE DI UN TITOLARE O DI UN TERZO

Cosa cambia

• Il bilanciamento fra legittimo interesse del titolare o del terzo e diritti e libertà dell’interessato non spetta all’Autorità ma è compito dello stesso titolare; si tratta di una delle principali espressioni del principio di “responsabilizzazione” introdotto dal nuovo pacchetto protezione dati.

Cosa non cambia

• L’interesse legittimo del titolare o del terzo deve prevalere sui diritti e le libertà fondamentali dell’interessato per costituire un valido fondamento di liceità.
• Il regolamento chiarisce espressamente che l’interesse legittimo del titolare non costituisce idonea base giuridica per i trattamenti svolti dalle autorità pubbliche in esecuzione dei rispettivi compiti.

Raccomandazioni

Il regolamento offre alcuni criteri per il bilanciamento in questione, e soprattutto appare utile fare riferimento al documento pubblicato dal Gruppo “Articolo 29” sul punto (WP217).

Si confermano, inoltre, nella sostanza, i requisiti indicati dall’Autorità nei propri provvedimenti in materia di bilanciamento di interessi, anche con riguardo all’utilizzo della videosorveglianza e con particolare riferimento agli esiti delle verifiche preliminari condotte dall’Autorità, con eccezione ovviamente delle disposizioni che il regolamento ha espressamente abrogato (per esempio: obbligo di notifica dei trattamenti). I titolari dovrebbero condurre la propria valutazione alla luce di tutti questi principi.

CONTENUTI DELL’INFORMATIVA

Cosa cambia

• I contenuti dell’informativa sono elencati in modo tassativo negli articoli 13, paragrafo 1, e 14, paragrafo 1, del regolamento e in parte sono più ampi rispetto al Codice. In particolare, il titolare deve sempre specificare i dati di contatto del RPD-DPO (Responsabile della protezione dei dati – Data Protection Officer), ove esistente, la base giuridica del trattamento, qual è il suo interesse legittimo se quest’ultimo costituisce la base giuridica del trattamento, nonché se trasferisce i dati personali in Paesi terzi e, in caso affermativo, attraverso quali strumenti (esempio: si tratta di un Paese terzo giudicato adeguato dalla Commissione europea; si utilizzano BCR di gruppo; sono state inserite specifiche clausole contrattuali modello, ecc.)
• Il regolamento prevede anche ulteriori informazioni in quanto “necessarie per garantire un trattamento corretto e trasparente”: in particolare, il titolare deve specificare il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo di conservazione, e il diritto di presentare un reclamo all’autorità di controllo.
• Se il trattamento comporta processi decisionali automatizzati (anche la profilazione), l’informativa deve specificarlo e deve indicare anche la logica di tali processi decisionali e le conseguenze previste per l’interessato.

TEMPI DELL’INFORMATIVA

Cosa cambia

• Nel caso di dati personali non raccolti direttamente presso l’interessato (art. 14 del regolamento), l’informativa deve essere fornita entro un termine ragionevole che non può superare 1 mese dalla raccolta, oppure al momento della comunicazione (non della registrazione) dei dati, a terzi o all’interessato (diversamente da quanto prevede attualmente l’art. 13, comma 4, del Codice).

MODALITÀ DELL’INFORMATIVA

Cosa cambia 

• Il regolamento specifica molto più in dettaglio rispetto al Codice le caratteristiche dell’informativa, che deve avere forma concisa, trasparente, intelligibile per l’interessato e facilmente accessibile; occorre utilizzare un linguaggio chiaro e semplice, e per i minori occorre prevedere informative idonee (si veda anche considerando 58).
• L’informativa è data, in linea di principio, per iscritto e preferibilmente in formato elettronico (soprattutto nel contesto di servizi online: si vedano art. 12, paragrafo 1, e considerando 58), anche se sono ammessi “altri mezzi”, quindi può essere fornita anche oralmente, ma nel rispetto delle caratteristiche di cui sopra (art. 12, paragrafo 1). Il regolamento ammette, soprattutto, l’utilizzo di icone per presentare i contenuti dell’informativa in forma sintetica, ma solo “in combinazione” con l’informativa estesa (art. 12, paragrafo 7); queste icone dovranno essere identiche in tutta l’Ue e saranno definite prossimamente dalla Commissione europea.
• Sono inoltre parzialmente diversi i requisiti che il regolamento fissa per l’esonero dall’informativa (si veda art. 13, paragrafo 4 e art. 14, paragrafo 5 del regolamento, oltre a quanto previsto dall’articolo 23, paragrafo 1, di quest’ultimo), anche se occorre sottolineare che spetta al titolare, in caso di dati personali raccolti da fonti diverse dall’interessato, valutare se la prestazione dell’informativa agli interessati comporti uno sforzo sproporzionato (si veda art. 14, paragrafo 5, lettera b) ) – a differenza di quanto prevede l’art. 13, comma 5, lettera c) del Codice.

Cosa non cambia

• L’informativa (disciplinata nello specifico dagli artt. 13 e 14 del regolamento) deve essere fornita all’interessato prima di effettuare la raccolta dei dati (se raccolti direttamente presso l’interessato – art. 13 del regolamento). Se i dati non sono raccolti direttamente presso l’interessato (art. 14 del regolamento), l’informativa deve comprendere anche le categorie dei dati personali oggetto di trattamento. In tutti i casi, il titolare deve specificare la propria identità e quella dell’eventuale rappresentante nel territorio italiano, le finalità del trattamento, i diritti degli interessati (compreso il diritto alla portabilità dei dati), se esiste un responsabile del trattamento e la sua identità, e quali sono i destinatari dei dati.

NOTA: ogni volta che le finalità cambiano il regolamento impone di informarne l’interessato prima di procedere al trattamento ulteriore.

Raccomandazioni

È opportuno che i titolari di trattamento verifichino la rispondenza delle informative attualmente utilizzate a tutti i criteri sopra delineati, con particolare riguardo ai contenuti obbligatori e alle modalità di redazione, in modo da apportare le modifiche o le integrazioni eventualmente necessarie prima del 25 maggio 2018.

Il regolamento supporta chiaramente il concetto di informativa “stratificata”, più volte esplicitato dal Garante nei suoi provvedimenti. I titolari potranno, dunque, una volta adeguata l’informativa nei termini sopra indicati, continuare o iniziare a utilizzare queste modalità per la prestazione dell’informativa, comprese le icone che l’Autorità ha in questi anni suggerito nei suoi provvedimenti (videosorveglianza, banche, ecc.) – in attesa della definizione di icone standardizzate da parte della Commissione.

Dovranno essere adottate anche le misure organizzative interne idonee a garantire il rispetto della tempistica: il termine di 1 mese per l’informativa all’interessato è chiaramente un termine massimo, e occorre ricordare che l’art. 14, paragrafo 3, lettera a), del regolamento menziona in primo luogo che il termine deve essere “ragionevole”.

Poiché spetterà al titolare valutare lo sforzo sproporzionato richiesto dall’informare una pluralità di interessati, qualora i dati non siano stati raccolti presso questi ultimi, e salva l’esistenza di specifiche disposizioni normative nei termini di cui all’art. 23, paragrafo 1, del regolamento, sarà utile fare riferimento ai criteri evidenziati nei provvedimenti con cui il Garante ha riconosciuto negli anni l’esistenza di tale sproporzione.

DIRITTI DEGLI INTERESSI

MODALITÀ PER L’ESERCIZIO DEI DIRITTI

Le modalità per l’esercizio di tutti i diritti da parte degli interessati sono stabilite, in via generale, negli artt. 11 e 12 del regolamento.

Cosa cambia 

• Il termine per la risposta all’interessato è, per tutti i diritti (compreso il diritto di accesso), di 1 mese, estendibile fino a 3 mesi in casi di particolare complessità; il titolare deve comunque dare un riscontro all’interessato entro 1 mese dalla richiesta, anche in caso di diniego.
• Spetta al titolare valutare la complessità del riscontro all’interessato e stabilire l’ammontare dell’eventuale contributo da chiedere all’interessato, ma soltanto se si tratta di richieste manifestamente infondate o eccessive, anche ripetitive (art.12, paragrafo 5), a differenza di quanto prevedono gli art. 9, comma 5, e 10, commi 7 e 8, del Codice, ovvero se sono chieste più “copie” dei dati personali nel caso del diritto di accesso (art. 15, paragrafo 3); in quest’ultimo caso il titolare deve tenere conto dei costi amministrativi sostenuti. Il riscontro all’interessato di regola deve avvenire in forma scritta anche attraverso strumenti elettronici che ne favoriscano l’accessibilità; può essere dato oralmente solo se così richiede l’interessato stesso (art. 12, paragrafo 1; si veda anche art. 15, paragrafo 3).
• La risposta fornita all’interessato non deve essere solo “intelligibile”, ma anche concisa, trasparente e facilmente accessibile, oltre a utilizzare un linguaggio semplice e chiaro.

Cosa non cambia

• Il titolare del trattamento deve agevolare l’esercizio dei diritti da parte dell’interessato, adottando ogni misura (tecnica e organizzativa) a ciò idonea. Benché sia il solo titolare a dover dare riscontro in caso di esercizio dei diritti (art. 15-22), il responsabile è tenuto a collaborare con il titolare ai fini dell’esercizio dei diritti degli interessati (art. 28, paragrafo 3, lettera e) ).
• L’esercizio dei diritti è, in linea di principio, gratuito per l’interessato, ma possono esservi eccezioni. Il titolare ha il diritto di chiedere informazioni necessarie a identificare l’interessato, e quest’ultimo ha il dovere di fornirle, secondo modalità idonee (si vedano, in particolare, art. 11, paragrafo 2 e art. 12, paragrafo 6).
• Sono ammesse deroghe ai diritti riconosciuti dal regolamento, ma solo sul fondamento di disposizioni normative nazionali, ai sensi dell’articolo 23 nonché di altri articoli relativi ad ambiti specifici (si vedano, in particolare, art. 17, paragrafo 3, per quanto riguarda il diritto alla cancellazione/”oblio”, art. 83 – trattamenti di natura giornalistica e art. 89 – trattamenti per finalità di ricerca scientifica o storica o di statistica). In questo senso, in via generale, possono continuare a essere applicate tutte le deroghe previste dall’art. 8, comma 2, del Codice in quanto compatibili con le disposizioni citate. Al riguardo, il Garante sta valutando la piena rispondenza delle disposizioni citate in tale articolo del Codice con i requisiti fissati per la legislazione nazionale dall’articolo 23, paragrafo 2, del regolamento.

Raccomandazioni

È opportuno che i titolari di trattamento adottino le misure tecniche e organizzative eventualmente necessarie per favorire l’esercizio dei diritti e il riscontro alle richieste presentate dagli interessati, che – a differenza di quanto attualmente previsto – dovrà avere per impostazione predefinita la forma scritta (anche elettronica). Potranno risultare utili le indicazioni fornite dal Garante nel corso degli anni con riguardo all’intelligibilità del riscontro fornito agli interessati e alla completezza del riscontro stesso.

Quanto alla definizione eventuale di un contributo spese da parte degli interessati, che il regolamento rimette al titolare del trattamento, l’Autorità intende valutare l’opportunità di definire linee-guida specifiche, di concerto con le altre autorità Ue, alla luce di quanto prevede l’art. 70 del regolamento con riguardo ai compiti del Board.

DIRITTO DI ACCESSO (ART. 15)

Cosa cambia

• Il diritto di accesso prevede in ogni caso il diritto di ricevere una copia dei dati personali oggetto di trattamento.
• Fra le informazioni che il titolare deve fornire non rientrano le “modalità” del trattamento, mentre occorre indicare il periodo di conservazione previsto o, se non è possibile, i criteri utilizzati per definire tale periodo, nonché le garanzie applicate in caso di trasferimento dei dati verso Paesi terzi.

Raccomandazioni

• Oltre al rispetto delle prescrizioni relative alla modalità di esercizio di questo e degli altri diritti, i titolari possono consentire agli interessati di consultare direttamente, da remoto e in modo sicuro, i propri dati personali.

DIRITTO DI CANCELLAZIONE O DIRITTO ALL’OBLIO (ART.17)

Cosa cambia

• Il diritto cosiddetto “all’oblio” si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari (se hanno “reso pubblici” i dati personali dell’interessato: ad esempio, pubblicandoli su un sito web) di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione” (si veda art. 17, paragrafo 2).
• Ha un campo di applicazione più esteso di quello di cui all’art. 7, comma 3, lettera b), del Codice, poiché l’interessato ha il diritto di chiedere la cancellazione dei propri dati, per esempio, anche dopo revoca del consenso al trattamento (si veda art. 17, paragrafo 1).

DIRITTO DI LIMITAZIONE DEL TRATTAMENTO (ART. 18)

Cosa cambia

• Si tratta di un diritto diverso e più esteso rispetto al “blocco” del trattamento di cui all’art. 7, comma 3, lettera a), del Codice: in particolare, è esercitabile non solo in caso di violazione dei presupposti di liceità del trattamento (quale alternativa alla cancellazione dei dati stessi), bensì anche se l’interessato chiede la rettifica dei dati (in attesa di tale rettifica da parte del titolare) o si oppone al loro trattamento ai sensi dell’art. 21 del regolamento (in attesa della valutazione da parte del titolare).
• Esclusa la conservazione, ogni altro trattamento del dato di cui si chiede la limitazione è vietato a meno che ricorrano determinate circostanze (consenso dell’interessato, accertamento diritti in sede giudiziaria, tutela diritti di altra persona fisica o giuridica, interesse pubblico rilevante).

Raccomandazioni

Il diritto alla limitazione prevede che il dato personale sia “contrassegnato” in attesa di determinazioni ulteriori; pertanto, è opportuno che i titolari prevedano nei propri sistemi informativi (elettronici o meno) misure idonee a tale scopo.

DIRITTO ALLA PORTABILITÀ DEI DATI (ART. 20)

Cosa cambia

• Si tratta di uno dei nuovi diritti previsti dal regolamento, anche se non è del tutto sconosciuto ai consumatori (si pensi alla portabilità del numero telefonico).
• Non si applica ai trattamenti non automatizzati (quindi non si applica agli archivi o registri cartacei) e sono previste specifiche condizioni per il suo esercizio; in particolare, sono portabili solo i dati trattati con il consenso dell’interessato o sulla base di un contratto stipulato con l’interessato (quindi non si applica ai dati il cui trattamento si fonda sull’interesse pubblico o sull’interesse legittimo del titolare, per esempio), e solo i dati che siano stati “forniti” dall’interessato al titolare.
• Inoltre, il titolare deve essere in grado di trasferire direttamente i dati portabili a un altro titolare indicato dall’interessato, se tecnicamente possibile.

Raccomandazioni

Il Gruppo “Articolo 29” ha pubblicato recentemente linee-guida specifiche dove sono illustrati e spiegati i requisiti e le caratteristiche del diritto alla portabilità con particolare riguardo ai diritti di terzi interessati i cui dati siano potenzialmente compresi fra quelli “relativi all’interessato” di cui quest’ultimo chiede la portabilità.

Al riguardo, si ricordano i numerosi provvedimenti con cui l’Autorità ha indicato criteri per il bilanciamento fra i diritti e le libertà fondamentali di terzi e quelli degli interessati esercitanti i diritti di cui all’art. 7 del Codice.

Poiché la trasmissione dei dati da un titolare all’altro prevede che si utilizzino formati interoperabili, i titolari che ricadono nel campo di applicazione di questo diritto dovrebbero adottare sin da ora le misure necessarie a produrre i dati richiesti in un formato interoperabile secondo le indicazioni fornite nel considerando 68 e nelle linee-guida del Gruppo “Articolo 29”.

TITOLARE, RESPONSABILITÀ, INCARICATO DEL TRATTAMENTO

Cosa cambia

• Il regolamento disciplina la contitolarità del trattamento (art. 26) e impone ai titolari di definire specificamente (con un atto giuridicamente valido ai sensi del diritto nazionale) il rispettivo ambito di responsabilità e i compiti con particolare riguardo all’esercizio dei diritti degli interessati, che hanno comunque la possibilità di rivolgersi indifferentemente a uno qualsiasi dei titolari operanti congiuntamente;
• il regolamento inoltre fissa più dettagliatamente (rispetto all’art. 29 del Codice) le caratteristiche dell’atto con cui il titolare designa un responsabile del trattamento attribuendogli specifici compiti: deve trattarsi, infatti, di un contratto (o altro atto giuridico conforme al diritto nazionale) e deve disciplinare tassativamente almeno le materie riportate al paragrafo 3 dell’art. 28 al fine di dimostrare che il responsabile fornisce “garanzie sufficienti” – quali, in particolare, la natura, durata e finalità del trattamento o dei trattamenti assegnati, le categorie di dati oggetto di trattamento, le misure tecniche e organizzative adeguate a consentire il rispetto delle istruzioni impartite dal titolare e, in via generale, delle disposizioni contenute nel regolamento;
• il regolamento consente poi la nomina di sub-responsabili del trattamento da parte di un responsabile (si veda art. 28, paragrafo 4), per specifiche attività di trattamento, nel rispetto degli stessi obblighi contrattuali che legano titolare e responsabile primario; quest’ultimo risponde dinanzi al titolare dell’inadempimento dell’eventuale sub-responsabile, anche ai fini del risarcimento di eventuali danni causati dal trattamento, salvo dimostri che l’evento dannoso “non gli è in alcun modo imputabile” (si veda art. 82, paragrafo 1 e paragrafo 3);
• infine, il regolamento prevede obblighi specifici in capo ai responsabili del trattamento, in quanto distinti da quelli pertinenti ai rispettivi titolari. Ciò riguarda, in particolare, la tenuta del registro dei trattamenti svolti (ex art. 30, paragrafo 2); l’adozione di idonee misure tecniche e organizzative per garantire la sicurezza dei trattamenti (ex art. 32 regolamento); la designazione di un RPD-DPO, nei casi previsti dal regolamento o dal diritto nazionale (si veda art. 37 del regolamento). Si ricorda, inoltre, che anche il responsabile non stabilito nell’Ue dovrà designare un rappresentante in Italia quando ricorrono le condizioni di cui all’art. 27, paragrafo 3, del regolamento – diversamente da quanto prevede oggi l’art. 5, comma 2, del Codice.

Cosa non cambia

• Il regolamento definisce caratteristiche soggettive e responsabilità di titolare e responsabile del trattamento negli stessi termini di cui alla direttiva 95/46/CE e, quindi, al Codice italiano. Pur non prevedendo espressamente la figura dell’ “incaricato” del trattamento (ex art. 30 Codice), il regolamento non ne esclude la presenza in quanto fa riferimento a “persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile” (si veda, in particolare, art. 4, n. 10, del regolamento).

Raccomandazioni

I titolari di trattamento dovrebbero valutare attentamente l’esistenza di eventuali situazioni di contitolarità, essendo obbligati in tal caso a stipulare l’accordo interno di cui parla l’art. 26, paragrafo 1, del regolamento. Sarà necessario, in particolare, individuare il “punto di contatto per gli interessati” previsto dal suddetto articolo ai fini dell’esercizio dei diritti previsti dal regolamento.

I titolari di trattamento dovrebbero verificare che i contratti o altri atti giuridici che attualmente disciplinano i rapporti con i rispettivi responsabili siano conformi a quanto previsto, in particolare, dall’art. 28, paragrafo 3, del regolamento. Dovranno essere apportate le necessarie integrazioni o modifiche entro il 25 maggio 2018, in particolare qualora si intendano designare sub-responsabili nei termini sopra descritti. La Commissione e le autorità nazionali di controllo (fra cui il Garante) stanno valutando la finizione di clausole contrattuali modello da utilizzare a questo scopo.

Attraverso l’adesione a codici deontologici ovvero l’adesione a schemi di certificazione il responsabile può dimostrare le “garanzie sufficienti” di cui all’art. 28, paragrafi 1 e 4. Il Garante sta valutando i codici deontologici attualmente vigenti per alcune tipologie di trattamento nell’ottica dei requisiti fissati nel regolamento (art. 40), mentre per quanto concerne gli schemi di certificazione occorrerà attendere anche l’intervento del legislatore nazionale che dovrà stabilire alcune modalità di accreditamento dei soggetti certificatori (se diversi dal Garante: si veda art. 43). In ogni caso, il Gruppo “Articolo 29” sta lavorando sui temi e sarà opportuno tenere conto degli sviluppi che interverranno in materia nei prossimi mesi.

Le disposizioni del Codice in materia di incaricati del trattamento sono pienamente compatibili con la struttura e la filosofia del regolamento, in particolare alla luce del principio di “responsabilizzazione” di titolari e responsabili del trattamento che prevede l’adozione di misure atte a garantire proattivamente l’osservanza del regolamento nella sua interezza. In questo senso, e anche alla luce degli artt. 28, paragrafo 3, lettera b), 29, e 32, paragrafo 4, in tema di misure tecniche e organizzative di sicurezza, si ritiene opportuno che titolari e responsabili del trattamento mantengano in essere la struttura organizzativa e le modalità di designazione degli incaricati di trattamento così come delineatesi negli anni anche attraverso gli interventi del Garante.

RESPONSABILIZZAZIONE

Cosa cambia

• Il regolamento pone con forza l’accento sulla “responsabilizzazione” (accountability nell’accezione inglese) di titolari e responsabili, ossia, sull’ adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento (si vedano artt. 23-25, in particolare, e l’intero Capo IV del regolamento). Si tratta di una grande novità per la protezione dei dati, in quanto viene affidato ai titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali, nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel regolamento.
• Il primo fra tali criteri è sintetizzato dall’espressione inglese “data protection by default and by design” (si veda art. 25), ossia dalla necessità di configurare il trattamento prevedendo fin dall’inizio le garanzie indispensabili “al fine di soddisfare i requisiti” del regolamento e tutelare i diritti degli interessati, tenendo conto del contesto complessivo ove il trattamento si colloca e dei rischi per i diritti e le libertà degli interessati. Tutto questo deve avvenire a monte, prima di procedere al trattamento dei dati vero e proprio (“sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”, secondo quanto afferma l’art. 25, paragrafo 1 del regolamento) e richiede, pertanto, un’analisi preventiva e un impegno applicativo da parte dei titolari che devono sostanziarsi in una serie di attività specifiche e dimostrabili.
• Fondamentali fra tali attività sono quelle connesse al secondo criterio individuato nel regolamento rispetto alla gestione degli obblighi dei titolari, ossia il rischio inerente al trattamento. Quest’ultimo è da intendersi come rischio di impatti negativi sulle libertà e i diritti degli interessati; tali impatti dovranno essere analizzati attraverso un apposito processo di valutazione (si vedano artt. 35-36) tenendo conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative (anche di sicurezza) che il titolare ritiene di dover adottare per mitigare tali rischi. All’esito di questa valutazione di impatto il titolare potrà decidere in autonomia se iniziare il trattamento (avendo adottato le misure idonee a mitigare sufficientemente il rischio) ovvero consultare l’autorità di controllo competente per ottenere indicazioni su come gestire il rischio residuale; l’Autorità non avrà il compito di “autorizzare” il trattamento, bensì di indicare le misure ulteriori eventualmente da implementare a cura del titolare e potrà, ove necessario, adottare tutte le misure correttive ai sensi dell’art. 58: dall’ammonimento del titolare fino alla limitazione o al divieto di procedere al trattamento.
• Dunque, l’intervento delle autorità di controllo sarà principalmente “ex post”, ossia si collocherà successivamente alle determinazioni assunte autonomamente dal titolare; ciò spiega l’abolizione, a partire dal 25 maggio 2018, di alcuni istituti previsti dalla direttiva del 1995 e dal Codice italiano, come la notifica preventiva dei trattamenti all’autorità di controllo e il cosiddetto prior checking (o verifica preliminare: si veda art. 17 Codice), sostituiti da obblighi di tenuta di un registro dei trattamenti da parte del titolare/responsabile e, appunto, di effettuazione di valutazioni di impatto in piena autonomia..

REGISTRO DEI TRATTAMENTI

Cosa cambia

• Tutti i titolari e i responsabili di trattamento, eccettuati gli organismi con meno di 250 dipendenti ma solo se non effettuano trattamenti a rischio (si veda art. 30, paragrafo 5), devono tenere un registro delle operazioni di trattamento i cui contenuti sono indicati all’art. 30. Si tratta di uno strumento fondamentale non soltanto ai fini dell’eventuale supervisione da parte del Garante, ma anche allo scopo di disporre di un quadro aggiornato dei trattamenti in essere all’interno di un’azienda o di un soggetto pubblico – indispensabile per ogni valutazione e analisi del rischio. Il registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.

Raccomandazioni

La tenuta del registro dei trattamenti non costituisce un adempimento formale bensì parte integrante di un sistema di corretta gestione dei dati personali. Per tale motivo, si invitano tutti i titolari di trattamento e i responsabili, a prescindere dalle dimensioni dell’organizzazione, a compiere i passi necessari per dotarsi di tale registro e, in ogni caso, a compiere un’accurata ricognizione dei trattamenti svolti e delle rispettive caratteristiche – ove già non condotta I contenuti del registro sono fissati, come detto, nell’art. 30; tuttavia, niente vieta a un titolare o responsabile di inserire ulteriori informazioni se lo si riterrà opportuno proprio nell’ottica della complessiva valutazione di impatto dei trattamenti svolti.

Nello specifico, si richiama l’attenzione sulla sostanziale coincidenza fra i contenuti della notifica dei trattamenti di cui all’art. 38 del Codice e quelli che devono costituire il registro dei trattamenti ex art. 30 regolamento; l’Autorità sta valutando di mettere a disposizione un modello di registro dei trattamenti sul proprio sito, che i singoli titolari potranno integrare nei modi opportuni.

MISURE DI SICUREZZA 

 Cosa cambia

• Le misure di sicurezza devono “garantire un livello di sicurezza adeguato al rischio” del trattamento (art. 32, paragrafo 1); in questo senso, la lista di cui al paragrafo 1 dell’art. 32 è una lista aperta e non esaustiva (“tra le altre, se del caso”). Per lo stesso motivo, non potranno sussistere dopo il 25 maggio 2018 obblighi generalizzati di adozione di misure “minime” di sicurezza (ex art. 33 Codice) poiché tale valutazione sarà rimessa, caso per caso, al titolare e al responsabile in rapporto ai rischi specificamente individuati come da art. 32 del regolamento. Si richiama l’attenzione anche sulla possibilità di utilizzare l’adesione a specifici codici di condotta o a schemi di certificazione per attestare l’adeguatezza delle misure di sicurezza adottate. Tuttavia, facendo anche riferimento alle prescrizioni contenute, in particolare, nell’Allegato “B” al Codice, l’Autorità potrà valutare la definizione di linee-guida o buone prassi sulla base dei risultati positivi conseguiti in questi anni; inoltre, per alcune tipologie di trattamenti (quelli di cui all’art. 6, paragrafo 1, lettere c) ed e) del regolamento) potranno restare in vigore (in base all’art. 6, paragrafo 2, del regolamento) le misure di sicurezza attualmente previste attraverso le disposizioni di legge volta per volta applicabili: è il caso, in particolare, dei trattamenti di dati sensibili svolti dai soggetti pubblici per finalità di rilevante interesse pubblico nel rispetto degli specifici regolamenti attuativi (ex artt. 20 e 22 Codice), ove questi ultimi contengano disposizioni in materia di sicurezza dei trattamenti.

NOTIFICA DELLE VIOLAZIONI DI DATI PERSONALI

 Cosa cambia

• A partire dal 25 maggio 2018, tutti i titolari – e non soltanto i fornitori di servizi di comunicazione elettronica accessibili al pubblico, come avviene oggi – dovranno notificare all’Autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 ore e comunque “senza ingiustificato ritardo”, ma soltanto se ritengono probabile che da tale violazione derivino rischi per i diritti e le libertà degli interessati (si veda considerando 85). Pertanto, la notifica all’Autorità dell’avvenuta violazione non è obbligatoria, essendo subordinata alla valutazione del rischio per gli interessati che spetta, ancora una volta, al titolare. Se la probabilità di tale rischio è elevata, si dovrà informare delle violazione anche gli interessati, sempre “senza ingiustificato ritardo”; fanno eccezione le circostanze indicate al paragrafo 3 dell’art. 34, che coincidono solo in parte con quelle attualmente menzionate nell’art. 32-bis del Codice.
• I contenuti della notifica all’Autorità e della comunicazione agli interessati sono indicati, in via non esclusiva, agli art. 33 e 34 del regolamento. Su questo e su tutta la disciplina in materia, il Comitato europeo della protezione dati (si veda art. 70, paragrafo 1, lettere g) e h) ) è chiamato a formulare linee-guida specifiche, alle quali sta già lavorando il Gruppo “Articolo 29”. Si ricorda, inoltre, che l’Autorità ha messo a disposizione un modello per la notifica dei trattamenti da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico, che intende rielaborare al fine di renderlo utilizzabile da tutti i titolari di trattamento secondo quanto prevede il regolamento.

Raccomandazioni

Tutti i titolari di trattamento dovranno in ogni caso documentare le violazioni di dati personali subite, anche se non notificate all’autorità di controllo e non comunicate agli interessati, nonché le relative circostanze e conseguenze e i provvedimenti adottati (si veda art. 33, paragrafo 5); tale obbligo non è diverso, nella sostanza, da quello attualmente previsto dall’art. 32-bis, comma 7, del Codice. Si raccomanda, pertanto, ai titolari di trattamento di adottare le misure necessarie a documentare eventuali violazioni, essendo peraltro tenuti a fornire tale documentazione, su richiesta, al Garante in caso di accertamenti.

RESPONSABILE DELLA PROTEZIONE DEI DATI 

 Cosa cambia

• Anche la designazione di un “responsabile della protezione dati” (RPD, ovvero DPO se si utilizza l’acronimo inglese: Data Protection Officer) riflette l’approccio responsabilizzante che è proprio del regolamento (si veda art. 39), essendo finalizzata a facilitare l’attuazione del regolamento da parte del titolare/ responsabile. Non è un caso, infatti, che fra i compiti del RPD rientrino “la sensibilizzazione e la formazione del personale” e la sorveglianza sullo svolgimento della valutazione di impatto di cui all’art. 35. La sua designazione è obbligatoria in alcuni casi (si veda art. 37), e il regolamento tratteggia le caratteristiche soggettive e oggettive di questa figura.

Lo Studio legale a cui l’amministratore (condominio) si rivolge provvede a riscuotere il credito secondo la seguente procedura:

1. Come primo atto d’intimazione lo Studio legale, a seguito del colloquio informativo con l’amministratore, ingiunge al condòmino inadempiente di estinguere il proprio debito entro un dato termine, di regola 7 giorni, inviandogli una raccomandata a/r ed avvertendolo che in difetto si procederà al recupero del credito per via giudiziaria.

2. In caso di mancato pagamento nel termine assegnato, lo Studio procede per via giudiziaria, inoltrando al Giudice di Pace o al Tribunale (a seconda dell’entità del credito preteso) un “Ricorso per decreto ingiuntivo”: questo ricorso consente all’amministratore di ottenere nell’arco di breve tempo – di regola 15/20 giorni. – un provvedimento giudiziario, che prende appunto il nome di “Decreto ingiuntivo”, col quale s’ingiunge al debitore di pagare la somma dovuta oltre le spese legali, i diritti e gli onorari, avvertendolo che in difetto si procederà nei suoi confronti esecutivamente, ossia al recupero coattivo del credito.

3. I documenti che si rendono necessari per ottenere il decreto ingiuntivo di pagamento sono: il riconoscimento del debito attraverso il verbale di approvazione del bilancio preventivo, la ripartizione delle spese o il verbale del consuntivo con la relativa ripartizione.

4. Ottenuto questo provvedimento, lo Studio provvede a notificarlo al debitore, il quale ha 40 giorni di tempo dall’avvenuta notifica per proporre “opposizione”, procedura questa facoltativa. Per cui, può accadere che il debitore paghi immediatamente dopo la notifica del decreto non ritenendo opportuno impugnarlo.

5. Se il decreto ingiuntivo non viene opposto nei suddetti 40 giorni dalla notifica ed il debitore persiste nel non pagare, lo Studio provvede a notificargli un secondo atto di intimazione, detto “atto di precetto”, a mezzo del quale si ingiunge nuovamente al debitore il pagamento del quantum dovuto, oltre le spese legali, entro 10 giorni dalla notifica.

6. Se, trascorsi i 10 giorni, il debitore non ha ancora estinto il proprio debito, lo Studio procede al recupero del credito coattivamente chiedendo un pignoramento mobiliare e la successiva vendita giudiziale dei beni del debitore.

7. Nel caso, invece, in cui il debitore proponga “opposizione” contro il decreto ingiuntivo, s’instaura un ordinario processo, il cui scopo è quello di accertare la fondatezza del credito azionato dall’amministratore e le motivazioni di contrasto sollevate dal debitore. Nel corso del processo può accadere che le parti in causa concilino e che si arrivi ad un accordo transattivo; diversamente, se non si riesce ad addivenire ad un accordo, il processo si chiude con la sentenza del Giudice. Le spese legali del processo, in caso di vittoria dell’amministratore (condominio), vengono interamente addebitate al debitore. L’entità delle spese processuali varia in funzione del valore della controversia. La durata del processo dipende dalla complessità della controversia e dalla consistenza probatoria delle rispettive posizioni: infatti, più certo e provato è il credito azionato dal condominio, più rapida sarà la definizione del processo.

Oltre all’obbligo di registrazione, con la Legge di Stabilità 2016 sono previsti ulteriori cambiamenti per quanto riguarda gli affitti in nero: dovrà infatti essere considerato nullo qualsiasi accordo volto a stabilire un canone di locazione superiore a quello previsto nel contratto scritto e registrato. La nullità di questo accordo era già prevista nella normativa vigente; la novità consiste nel fatto che l’inquilino potrà richiedere la restituzione di quanto versato in più rispetto a quanto stabilito nel contratto che è stato registrato. La richiesta di rimborso dell’inquilino deve essere presentata entro 6 mesi dalla restituzione dell’immobile.
Tutte le misure in materia di affitto inserite nella Legge di Stabilità 2016 sono volte, dunque, alla battaglia contro la pratica degli affitti in nero: va comunque ricordato che tali misure non possono essere applicate alle situazioni pregresse.

Il ministro dell’ambiente, Gian Luca Galletti, ha affermato che l’ecobonus é stato uno strumento che ha “funzionato e che quindi bisogna continuare ad applicare. È stata un’esperienza molto positiva, dobbiamo continuarla, sia per l’efficienza energetica sia perché dimostra come le buone pratiche ambientali siano un volano per l’economia del Paese, mettendo in moto investimenti per le piccole e medie imprese sul territorio”.
È stata confermata ancora per un anno anche la detrazione del 50% per l’acquisto dei mobili e di grandi elettrodomestici in classe A+ (A per i forni), per un importo massimo complessivo di 10.000 euro e in 10 rate annuali.
Inoltre, la detrazione del 65% coinvolge le schermature solari, gli interventi antisismici e di bonifica dell’amianto.
Gli avanzi di amministrazione degli enti locali, poi, potranno essere utilizzati per interventi contro le frane, per la pulizia dei fiumi e contro il dissesto idrogeologico.

La targa energetica sarà una vera e propria targa  (nella foto una targa della regione Lombardia) da collocare in evidenza all’ingresso del condominio e che prevede 10 classi di efficienza energetica contraddistinte da una lettera da A a G. Inoltre la prima classe prevede 4 livelli da segnalare con un numero, ad esempio A4 è più efficiente di A1. La classe verrà assegnata in base alla prestazione energetica invernale ed estiva dell’involucro dell’edificio per quanto riguarda l’utilizzo di energia non rinnovabile. In altre parole, come per la classe energetica di un’abitazione singola, si misura la capacità dell’intero condominio di non disperdere il calore, riducendo così il consumo di energia. Per quanto riguarda i condomini che prevedono l’utilizzo di pannelli solari o altre fonti energetiche rinnovabili, saranno previsti altri parametri. L’APE Unico dev’essere richiesto entro 90 giorni dall’entrata in vigore dal costruttore dell’edificio, se l’edificio è nuovo, o dal condominio. Lo può richiedere anche un singolo condomino, ma in questo caso il costo per l’individuo è ovviamente maggiore. Si occupano dei rilevamenti i tecnici qualificati, l’ESCO (Energy Service Company) o gli organismi nazionali accreditati, mentre il rilascio della targa è di competenza del Comune.

È importante che venga richiesta la targa energetica per il condominio, e che essa venga rilasciata in maniera non fraudolenta, perché verranno effettuati dei controlli a campione e le sanzioni previste vanno da un minimo di 700 euro ad un massimo di 4200 euro. Inoltre, in caso di certificazione non corretta, il professionista che l’avrà rilasciata verrà segnalato al suo ordine di appartenenza. Le multe per la mancata certificazione degli edifici nuovi va da 3 mila a 18 mila euro; quella per la mancata certificazione in atto di compravendita sempre da 3 mila a 18 mila euro, in caso di locazione da 300 a 1800 euro. La targa energetica condominiale ha validità 10 an

Il condominio ogni qual volta corrisponda somme e valori a terzi soggetti, deve operare all’atto del pagamento una ritenuta a titolo di acconto dell’imposta sul reddito delle persone fisiche (cfr art. 23 e ss. del DPR 600/1973). Nei confronti dell’amministratore di condominio, ad esempio, la misura della ritenuta stabilita dalla legge è pari al 20 per cento a titolo di acconto dell’imposta sul reddito delle persone fisiche dovuta dai percipienti, con l’obbligo di rivalsa (art. 28 del testo citato).

Sui corrispettivi dovuti per prestazioni relative a contratti di appalto di opere o servizi, anche se rese a terzi o nell’interesse di terzi, effettuate nell’esercizio di impresa opera invece una ritenuta del 4 per cento a titolo di acconto dell’imposta sul reddito dovuta dal percipiente (Art. 25 ter del testo citato)

Se fino a tutto il 2014, il condominio ha denunciato al fisco il pagamento delle trattenute operate sugli emolumenti corrisposti ai soggetti (sostituiti) tramite l’utilizzo del Modello 770 e nei confronti dei soli lavoratori dipendenti tramite il CUD, da quest’anno tutto cambia.

Sarà, dunque, il sostituto d’imposta a utilizzare il CU2015 per certificare i redditi di lavoratori dipendenti e autonomi al fine di procedere all’elaborazione della famosa “dichiarazione precompilata” (730 precompilato), che dovrebbe essere emessa già dall’anno prossimo dall’Agenzia delle Entrate.

Il CU 2015, riguarda:

redditi da lavoro dipendente e assimilati;

• redditi da lavoro autonomo;
• provvigioni (anche occasionali o da vendita a domicilio assoggettate a ritenuta) e redditi diversi
• indennità per cessazione di rapporti di agenzia o di funzioni notarili o dell’attività sportiva di natura autonoma;
• tutte le relative ritenute d’accontoe detrazioni effettuate

In caso di omesso invio. Ancorché non siano state previste delle sanzioni in capo al “sostituto d’imposta”in caso di omesso invio della nuova CU ai contribuenti di riferimento; ben differentemente,il legislatore ha invece disposto l’applicazione di una sanzione pecuniaria – alquanto“generosa” -nel caso di errori nella compilazione e nell’invio all’Agenzia delle Entrate, secondo la tempistica ivi prevista.

Le sanzioni. L’,articolo 2 del decreto legislativo 175/2014 intitolato “Trasmissione all’Agenzia delle entrate” ha precisato che “… Le certificazioni di cui al comma 6-ter sono trasmesse in via telematica all’Agenzia delle entrate entro il 7 marzo dell’anno successivo a quello in cui le somme e i valori sono stati corrisposti. Per ogni certificazione omessa, tardiva o errata si applica la sanzione di cento euro in deroga a quanto previsto dall’articolo 12, del decreto legislativo 18 dicembre 1997, n. 472. Nei casi di errata trasmissione della certificazione, la sanzione non si applica se la trasmissione della corretta certificazione è effettuata entro i cinque giorni successivi alla scadenza indicata nel primo periodo ”.

Ciò vuol significare che il sostituto d’imposta e/o chi per esso (l’amministratore), al fine di evitare di incorrere nelle sanzioni previste dall’articolo 2 del decreto legislativo 175/2014, potrà correggere gli errori commessi nella trasmissione delle certificazioni uniche, inoltrando ex post una nuova certificazione corretta, purché ciò avvenga entro i cinque giorni successivi alla scadenza prevista (che, secondo l’Agenzia delle Entrate slitta al successivo lunedì 9 marzo”, risposta Telefisco del 29 gennaio 2015). In altri termini: per il nuovo CU2015 non è previsto l’istituto del ravvedimento operoso.

http://www.caf-cia.it/images/CU_2015_modello.pdf 

http://www.agenziaentrate.gov.it/wps/content/nsilib/nsi/home/cosadevifare/dichiarare/dichiarazionisostitutiimposta/certificazione+unica+2015/risposte+quesiti+frequenti+cu+2015/compilazione+cu+2015

http://www.agenziaentrate.gov.it/wps/content/nsilib/nsi/home/cosadevifare/dichiarare/dichiarazionisostitutiimposta/certificazione+unica+2015/risposte+quesiti+frequenti+cu+2015/invio+e+ricevute+cu+2015

tabella_confedilizia_ripartizione_spese_inquilino_proprietario