ITALIA OGGI SETTE

Nuove regole e qualche agevolazione nel regolamento Ue 2016/679 sulla protezione dati
Studi, la privacy cambia volto
Legali esonerati dall’onere di valutazione di impatto

Lun.5 – Protezione dei dati più semplice per gli avvocati. Almeno per un punto: non dovranno fare la valutazione di impatto privacy. Il regolamento Ue 2016/679 interessa anche i professionisti legali, che godono di qualche agevolazione. Anche gli studi devono cominciare a studiare la normativa dell’Unione, che sarà direttamente applicabile agli stati nazionali. Ecco come.
Ci sono adempimenti cui gli avvocati saranno sicuramente tenuti. Ci si riferisce, in particolar modo, all’informativa rivolta ai propri clienti. Quanto al consenso per i dati comuni, questo è da escludersi con riferimento al cliente, poiché siamo nel campo dell’esecuzione del contratto (art. 6, paragrafo 1, lett. b del regolamento); con riferimento a dati di terzi, ricorre una ipotesi di legittimo interesse, che non necessita l’acquisizione del consenso (art. 6,paragrafo 1, lettera f).
Per i dati sensibili, come dati sanitari, politici, sindacali, religiosi, e altri (nel regolamento europeo si chiamano «particolari categorie», l’esercizio del diritto di difesa giustifica il trattamento e di questa regola potranno giovarsi gli studi legali (articolo 9, paragrafo 2, lettera f del regolamento).
Gli studi degli avvocati dovranno, però, garantire il rispetto delle misure di sicurezza, con conseguente applicazione dell’obbligo di garantire misure idonee a preservare l’integrità dei dati trattati (comprese precauzioni di back up e ripristino).
In questo campo si registra, però, una agevolazione. Il regolamento esclude per i legali l’obbligo di osservare l’adempimento previsto in generale per l’ipotesi di rischio elevato per la sicurezza dei dati: si chiama valutazione di impatto sulla protezione dei dati (art. 35).
Spiegano le premesse (i «considerando») al regolamenti che la valutazione d’impatto si applica ai trattamenti su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato.
Il rischio elevato è agganciato alla natura del dato, al fatto che si usi una nuova tecnologia su larga scala.
Secondo il regolamento, la valutazione d’impatto sulla protezione dei dati va fatta anche per la sorveglianza di zone accessibili al pubblico su larga scala, in particolare se effettuata mediante dispositivi optoelettronici, o per altri trattamenti che l’autorità di controllo competente ritiene possano presentare un rischio elevato per i diritti e le libertà degli interessati, specialmente perché impediscono a questi ultimi di esercitare un diritto o di avvalersi di un servizio o di un contratto, oppure perché sono effettuati sistematicamente su larga scala. Altre ipotesi, interessate dall’adempimento, sono rappresentate dai casi in cui i dati personali sono trattati per adottare decisioni riguardanti determinate persone fisiche in seguito a una valutazione sistematica e globale di aspetti personali, basata sulla profilazione di tali dati, o in seguito al trattamento di categorie particolari di dati personali, dati biometrici o dati relativi a condanne penali e reati o a connesse misure di sicurezza.
Con riferimento, soprattutto, a quest’ultima casistica verrebbe da dire che anche gli avvocati sono obbligati alla valutazione di impatto. A questo proposito interviene il considerando n. 91 che afferma che il trattamento di dati personali non dovrebbe essere considerato un trattamento su larga scala qualora riguardi dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato. In tali casi non sarà obbligatorio procedere a una valutazione d’impatto sulla protezione dei dati. D’altra parte il regolamento ha un occhio di riguardo per alcune categorie di titolari del trattamento. Anche per le pmi, per esempio, si prevedono minori adempimenti e particolare attenzione nella stesura di provvedimenti attuativi. Antonio Ciccia Messina