Il Garante europeo della protezione dei dati

e

la protezione dei dati personali nelle istituzioni e negli organismi comunitari

Ogni istituzione tratta dati personali.

Potrebbero essere i vostri ...

European Data Protection Supervisor

www.edps.europa.eu

Perché la protezione dei dati è importante?

Ogni giorno l’amministrazione dell’UE tratta informazioni di carattere personale.

Le attività in materia di assunzione, la valutazione del personale, la raccolta di dati relativi alla salute nei fascicoli medici, la creazione di sistemi di gestione del tempo e la videosorveglianza sono soltanto alcuni esempi.

Sebbene nella maggior parte dei casi le informazioni personali conservate su di voi serviranno soltanto a fini legittimi senza ulteriori conseguenze, ciò comporta ugualmente dei rischi. Se tali informazioni sono inesatte, scadute o comunicate alla persona sbagliata, il danno arrecatovi può essere piuttosto grave. Potreste vedervi rifiutato ingiustamente un contratto professionale, potreste essere scambiati per qualcun altro, potrebbe esservi negato l’accesso ad un edificio, potreste essere accusati della divulgazione non autorizzata di informazioni, o persino essere vittime di un’ usurpazione o furto di identità.

Tutti i membri del personale dell’UE sono pertanto interessati e debbono essere consapevoli dei propri diritti e obblighi in materia di protezione dei dati. In aggiunta, anche il pubblico in generale può essere interessato se affida informazioni personali alle istituzioni e agli organismi comunitari.

La protezione dei dati è un diritto fondamentale, tutelato non soltanto dalla legislazione nazionale, ma anche dal diritto europeo. Esso è sancito dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea.

La promozione di una “cultura della protezione dei dati” nelle istituzioni e negli organismi, contribuisce a migliorare il buon governo. In aggiunta l’integrazione delle garanzie in materia di protezione dei dati nella normativa e nelle politiche dell’UE, ove opportuno, è una condizione di base per il loro successo.

Che cosa si intende per ‘dati personali’?

Tutte le informazioni su una persona fisica possono essere considerate dati personali se la persona è identificata o identificabile.

La persona è o identificata direttamente mediante il cognome o è identificabile tramite un mezzo d’identificazione (ad es. un numero di riferimento) o tramite una combinazione di caratteristiche specifiche dell’identità della persona (ad es. l’età, la nazionalità, la funzione). Esempi di dati personali sono i cognomi, le date di nascita, le fotografie, gli indirizzi di posta elettronica, i numeri di telefono e i numeri di matricola.

Altri dettagli come i dati relativi alla salute, i dati utilizzati a fini di valutazione, i dati del traffico sull’uso di Internet sono anch’essi considerati come dati personali.

Chi è il GEPD?

Il GEPD è un’autorità indipendente. Peter Hustinx e Giovanni Buttarelli sono membri dell’istituzione. Sono stati nominati Garante europeo della protezione dei dati (GEPD) e Garante aggiunto da una decisione comune del Parlamento europeo e del Consiglio. Incaricati per un periodo di cinque anni hanno assunto la loro funzione nel gennaio 2009.

La loro missione è assicurare che il diritto fondamentale alla protezione dei dati personali sia rispettato dalle istituzioni e dagli organismi comunitari.

Peter Hustinx

Garante europeo della protezione dei dati

Peter Hustinx ha svolto la funzione di Garante dal gennaio 2004, contribuendo alla creazione della nuova autorità di controllo e sviluppandone il ruolo a livello comunitario. E’ stato nominato nuovamente per un secondo periodo di cinque anni nel gennaio 2009.

Prima della sua nomina a Garante dal 1991 il sig. Hustinx ha ricoperto la carica di presidente dell’autorità olandese della protezione dei dati. Tra il 1996 e il 2000 è stato presidente del Gruppo dell’articolo 29, un organo consultivo dell’UE composto delle autorità nazionali per la protezione dei dati.

Giovanni Buttarelli

Garante aggiunto

Giovanni Buttarelli ha assunto l’incarico di Garante aggiunto nel gennaio 2009.

Prima della sua nomina a Garante aggiunto dal 1997 il sig. Buttarelli ha ricoperto la carica di segretario generale dell’autorità italiana per la protezione dei dati. Tra il 2002 e il 2003 è stato presidente dell’Autorità di controllo comune Schengen, dopo esserne stato il vicepresidente.

Quali sono i compiti del GEPD?

Buono a sapersi:

Il GEPD è competente esclusivamente per i dati trattati dalle istituzioni e dagli organismi comunitari. Non ha la competenza per questioni a livello nazionale e, pertanto, non ha competenze di controllo per il trattamento dei dati personali da parte delle autorità nazionali o delle società private.

L’obiettivo generale del GEPD è garantire che le istituzioni e gli organismi comunitari rispettino il diritto alla vita privata nel trattamento dei dati personali o nello sviluppo di nuove politiche. I tre principali settori di lavoro sono qui elencati:

1. Controllo

•   Controllare il trattamento   dei dati personali nelle istituzioni e negli organismi comunitari.

     Il GEPD se ne occupa in cooperazione con i responsabili della protezione dei dati presenti in ogni istituzione o organismo della Comunità.

•   Ricevere ed esaminare i reclami presentati dalle persone fisiche i cui dati personali sono sottoposti a trattamento da parte delle istituzioni e degli organismi europei, incluso il personale dell’amministrazione dell’UE.

•   Svolgere indagini e   controlli in  loco,  di propria iniziativa o in seguito  a un reclamo.

2. Consulenza

•   Fornire  consulenza alle istituzioni e agli organismi comunitari su     tutte le questioni che hanno un impatto sulla protezione dei dati personali. Il GEPD formula pareri sulle proposte legislative relative alla protezione dei dati personali.

•   Controllare i nuovi sviluppi tecnologici che possono avere un impatto sulla protezione dei dati.

•   Intervenire nei procedimenti dinanzi alla Corte di   Giustizia delle Comunità europee.

3. Cooperazione

•   Cooperare con le autorità   nazionali per la protezione dei dati   al fine di promuovere una coerente protezione dei dati in tutta l´Europa.

•   Cooperare con gli organi di controllo   istituiti nel contesto di banche dati su vasta scala come Eurodac - una banca dati che contiene le impronte digitali dei richiedenti asilo.

La differenza tra il GEPD e le autorità nazionali per la protezione dei dati

E’ competenza del GEPD controllare le istituzioni e gli organismi comunitari e fornire loro consulenza.

Negli Stati membri compiti simili sono svolti dalle autorità nazionali per la protezione dei dati e, in taluni paesi, anche dalle autorità regionali. I loro compiti solitamente si estendono al trattamento dei dati da parte del settore privato.

Il GEPD coopera con le autorità nazionali, ad esempio nel quadro del Gruppo dell’articolo 29, ma non si colloca al di sopra delle autorità nazionali o regionali.

Il ruolo consultivo del GEPD

Durante il primo mandato il GEPD ha formulato circa 50 pareri legislativi su questioni importanti relative alla protezione dei dati. Tra le questioni trattate vi sono la decisione quadro sulla protezione dei dati nell’ambito della cooperazione giudiziaria e di polizia, la direttiva sulla conservazione dei dati sulle comunicazioni, il regolamento sull’accesso pubblico ai documenti, lo scambio di dati con gli Stati Uniti, la direttiva relativa alla vita privata e alle comunicazioni elettroniche e la comunicazione sull’identificazione a radiofrequenza (RFID).

Quali sono i miei diritti?

Ho il diritto di sapere se un’istituzione o un organismo comunitario tratta dati che mi riguardano?

Sì. Il responsabile del trattamento dei dati deve fornirLe, precedentemente alla registrazione dei dati o al momento della medesima, talune informazioni che includono:

– l’identità del responsabile del trattamento dei dati;

– la finalità del trattamento;

– i destinatari dei dati;;

– i suoi diritti in quanto persona i cui dati sono trattati.

Ho il diritto di verificare i dati che mi riguardano che formano oggetto di trattamento da parte di un’istituzione?

Sì. Lei ha il diritto di ottenere gratuitamente dal responsabile del trattamento:

– l’accesso ai suoi dati personali e a talune informazioni concernenti il trattamento (la finalità del trattamento, i dati interessati, i destinatari a cui sono comunicati, ecc.);

– la rettifica dei dati personali inesatti o incompleti;

– il blocco e la cancellazione dei dati in talune circostanze.

Ho il diritto di oppormi al trattamento dei miei dati?

Lei ha il diritto di opporsi in qualsiasi momento, per motivi preminenti e legittimi, al trattamento di dati che La riguardano.

Lei ha inoltre il diritto di essere informato prima che i suoi dati personali siano comunicati per la prima volta a terzi o siano utilizzati per conto di questi ultimi a fini di propaganda commerciale diretta, nonché il diritto di opporsi a tale comunicazione o utilizzazione.

Cosa fare in caso di problemi?

•   In primo luogo informi il responsabile del trattamento dei dati e gli chieda di intervenire.

•   In caso  di mancata  risposta o di risposta insoddisfacente, contatti il responsabile della protezione dei dati dell’istituzione o organismo in causa (l’elenco dei responsabili si trova sul sito internet del GEPD).

•   Può anche presentare un reclamo al GEPD che esaminerà la richiesta e prenderà le misure necessarie (cfr. ’Come posso presentare un reclamo al GEPD?’).

•   Può proporre  ricorso contro una decisione  del GEPD davanti alla Corte di giustizia delle Comunità europee.

Parole chiave:

Trattamento: Qualsiasi operazione compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali: raccolta, registrazione, conservazione, modifica, consultazione, comunicazione, blocco, ecc.

Responsabile del trattamento dei dati: entità amministrativa (per esempio una direzione generale o una unità della Commissione europea) o persona che determina le finalità e gli strumenti del trattamento dei dati personali a nome di una istituzione o organismo.

Per maggiori informazioni: si prega di consultare il regolamento sulla protezione dei dati (regolamento (CE) n. 45/2001, GU L 8 del 12.1.2001), che fornisce un quadro giuridico al trattamento di dati personali da parte delle istituzioni e degli organismi comunitari.

Qual è il ruolo dei responsabili della protezione dei dati?

Ogni istituzione ed organismo della Comunità deve nominare un responsabile della protezione     dei

Dati (RPD).        

Spetta all’RPD garantire, in maniera indipendente, che l’istituzione/l’organismo interessato rispetti i propri obblighi in materia di protezione dei dati.

L’RPD è una figura chiave nell’informazione dei responsabili del trattamento e degli interessati sui loro diritti e obblighi, e coopera con il GEPD nel settore dell’osservanza del regolamento sulla protezione dei dati.

L’RPD è colui che presenta le notifiche di controllo   preventivo   al GEPD.

In molti casi l’RPD serve da  punto di contatto  tra il GEPD e il responsabile del trattamento.

L’RPD può         fornire utili indicazioni generali nel settore dei reclami e fornisce informazioni sulla situazione nelle istituzioni e agenzie relativamente all’osservanza del regolamento.

Il GEPD e  l’RPD si incontrano su base regolare, sia a livello bilaterale o durante le riunioni della rete degli        RPD.

Come posso presentare un reclamo al GEPD?

Chi può presentare un reclamo al GEPD?

Chiunque ritenga che i suoi diritti siano stati violati quando una istituzione o un organismo comunitario ha trattato i dati che lo riguardano può presentare un reclamo al GEPD.

Parole chiave:

Obblighi in materia di protezione dei dati: obblighi assegnati alla persona o all’entità amministrativa che effettua il trattamento dei dati personali. Questo include l’obbligo di fornire talune informazioni alla persona i cui dati sono trattati; di favorire il suo accesso ai propri dati e l’esercizio degli altri diritti, come la rettifica e la cancellazione; e di assicurare che siano attuate le adeguate misure di sicurezza.

Notifica: notifica preventiva, data al responsabile della protezione dei dati, del fatto che nell’istituzione o organismo interessato è in corso il trattamento dei dati personali.

Anche i trattamenti che possono presentare rischi specifici per i diritti e le libertà delle persone fisiche devono essere dichiarati al GEPD. Si tratta di una notificazione di controllo preventivo.

Controllo preventivo: verifica svolta dal GEPD per esaminare se il trattamento di dati sensibili (ad es. i dati relativi alla salute) rispetta i diritti e gli obblighi sanciti nel regolamento sulla protezione dei dati. Il controllo preventivo del GEPD prende la forma di un parere in cui egli può formulare raccomandazioni all’istituzione o organismo interessato così da assicurare l’osservanza.

Regolamento sulla protezione dei dati: Regolamento (CE) n. 45/2001 concernente la tutela delle persone fisiche riguardo al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari.

Il trattamento di dati personali svolto da autorità nazionali o da entità private non rientra nel settore di competenza del GEPD. In aggiunta il GEPD non agisce come una autorità di ricorso sulle autorità nazionali per la protezione dei dati e le loro decisioni non possono pertanto essere impugnate dinanzi al GEPD.

Come si può presentare un reclamo?

Il reclamo deve essere presentato per iscritto (tramite posta elettronica o posta ordinaria) all’indirizzo seguente:

Garante europeo della protezione dei dati

Rue Wiertz, 60

1047 Bruxelles / Brussel

BELGIO

edps@edps.europa.eu

E’ essenziale che tutte le pertinenti informazioni siano menzionate e che siano acclusi tutti i documenti necessari per l’indagine.

Come vengono trattati i reclami dal GEPD?

In linea di principio tutti i reclami sono trattati in maniera confidenziale.

Se un reclamo è ritenuto ammissibile, il GEPD svolgerà un’indagine se lo ritiene opportuno.

Se possibile il GEPD lavorerà al raggiungimento di una soluzione amichevole tra il ricorrente e l’istituzione o l’organismo comunitario interessato. Qualora non sia possibile, la decisione sarà inviata al ricorrente nonché all’istituzione/organismo interessato che è responsabile del trattamento dei dati.

Le competenze di controllo del GEPD sono ampie e vanno dalla semplice formulazione di un parere per la persona i cui dati sono oggetto di trattamento, all’avvertimento o l’ammonizione dell’istituzione interessata, fino all’imposizione di un divieto del trattamento o al deferimento alla Corte di giustizia delle Comunità europee.

Lussemburgo: Ufficio delle pubblicazioni dell’Unione europea,

28 settembre 2009