Massime

GPDP, Docweb 9773590, 7.4.2022 (3)

Massima (3) – Allorquando siano impiegati sistemi di videosorveglianza, il titolare del trattamento, oltre a rendere l’informativa di “primo livello” mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle informazioni di “secondo livello”, che devono contenere tutti gli elementi obbligatori a norma dell’art. 13 GDPR ed essere facilmente accessibili per l’interessato
Docweb 9773590, 7.4.2022 (2)

Massima (2) – Seppur in presenza di una condizione di liceità del trattamento di dati personali, il titolare è tenuto a rispettare i principi in materia di data protection, fra i quali quelli di liceità, correttezza e trasparenza e limitazione della conservazione, di privacy by default e privacy by design, ed il principio di responsabilizzazione. Pertanto, qualora un Comune intenda adottare “videotrappole” per il contrasto al fenomeno illecito dei rifiuti urbani, viola gli art. 5, par. 2, e art. 24, par. 1 e 2, GDPR qualora non abbia adottato alcun atto organizzativo in relazione all’impiego dei predetti dispositivi video e non abbia assunto alcuna determinazione in materia di protezione dei dati personali prima di iniziare il trattamento dei dati personali in questione, volta ad adottare misure tecniche e organizzative adeguate per attuare in modo efficace i principi di base in materia di protezione dei dati.
GPDP, Docweb 9773950, 7.4.2022 (1)

Massima (1) – Il trattamento di dati personali mediante sistemi di videosorveglianza da parte di soggetti pubblici è generalmente ammesso se esso è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito lo stesso, ai sensi dell’art. 6, parr. 1, lett. c) ed e), e 3, GDPR, nonché dell’art. 2-ter del Codice in materia di protezione dei dati personali. Sussiste la predetta condizione di liceità in caso di trattamento dei dati personali posto in essere da un Comune tramite l’uso di “videotrappole” per la repressione degli illeciti. Ciò in quanto tale trattamento rientra nello svolgimento di una attività istituzionale affidata agli enti locali, quale ben può dirsi la gestione dei rifiuti solidi urbani e il contrasto del loro illecito abbandono.
GPDP, Docweb 9768387, 11.5.2022 (2)

Massima (2) – Qualora il fornitore di un’applicazione web (nel caso di specie, per la gestione delle segnalazioni di illeciti nell’ambito della disciplina in materia di whistleblowing), in qualità di responsabile del trattamento, si avvalga a propria volta di un fornitore del servizio di hosting (nel caso di specie, un servizio di hosting di server virtuali o fisici), quest’ultimo concorre al trattamento dei dati personali del titolare e dovrà pertanto essere designato quale responsabile o sub-responsabile del trattamento ai sensi dell’art. 28, par. 2 e 4, GPDR, in quanto, pur non trattando gli indirizzi IP relativi agli interessati che utilizzano l’applicativo in questione e pur non accedendo direttamente ai dati personali trattati mediante tale applicativo, conserva questi ultimi sulla propria infrastruttura tecnologica e ne garantisce l’integrità e la disponibilità, adottando adeguate misure tecniche e organizzative, assicurando determinati livelli di servizio in termini di disponibilità dei sistemi e mettendo a disposizione dei propri clienti una serie di strumenti per gestire e monitorare il servizio.
GPDP, Docweb 9768387, 11.5.2022 (1)

Massima (1) – Il fornitore di servizi che mette a disposizione del titolare del trattamento apposita applicazione web per la gestione delle segnalazioni di illeciti nell’ambito della disciplina in materia di whistleblowing, oltre a dover garantire l’adozione di misure tecniche in grado di garantire l’integrità e la disponibilità dei dati trattati, non può esimersi dalla corretta definizione dei ruoli privacy, disciplinando espressamente il rapporto con eventuali terze parti coinvolte nella gestione delle segnalazioni – e conseguentemente dei dati ivi contenuti – ed ottenendo la preventiva, quanto necessaria, autorizzazione da parte del titolare del trattamento a tale coinvolgimento al fine di consentire il mantenimento, da parte di quest’ultimo, del pieno controllo dei trattamenti che vengono effettuati per suo conto.
GPDP, Docweb 9768363, 11.5.2022 (6)

Massima (6) – Il trattamento dei dati personali effettuato mediante i sistemi di acquisizione gestione delle segnalazioni di attività illecite (whistleblowing) presenta rischi specifici per i diritti e le libertà degli interessati, considerata anche la particolare delicatezza delle informazioni potenzialmente trattate, la “vulnerabilità” degli interessati nel contesto lavorativo, nonché lo specifico regime di riservatezza dell’identità del segnalante previsto dalla normativa di settore. In relazione a tale trattamento sussiste pertanto l’obbligo di effettuare preventivamente la valutazione di impatto di cui all’art. 35 GDPR, necessaria a individuare misure specifiche per attenuare i rischi derivanti da tale trattamento.
GPDP, Docweb 9768363, 11.5.2022 (5)

Massima (5) – Le credenziali di autenticazione (una per verifica dell’anagrafica dei segnalanti e una per la gestione delle segnalazioni di attività illecite) assegnate ed utilizzate dal RPCT quale soggetto legittimato alla gestione del whistleblowing, devono essere immediatamente disattivate qualora lo stesso rassegni le proprie dimissioni, anche se abbia provveduto a consegnare le predette credenziali al responsabile dell’Ufficio prevenzione della corruzione, trasparenza e trattamento dei dati personali all’interno di una busta chiusa, affinché le stesse vengano consegnate al nuovo RPCT. Allo stesso modo va impedito che il RPCT dimissionario possa avere accesso alle notifiche dell’avvenuta iscrizione di un segnalante e della ricezione di una segnalazione, qualora l’applicativo web per la gestione del whistleblowing provveda a trasmettere tali informazioni ad un indirizzo di posta elettronica preimpostato.
GPDP, Docweb 9768363, 11.5.2022 (4)

Massima (4) – La registrazione e la conservazione, nei log degli apparati firewall, delle informazioni relative alle connessioni all’applicativo utilizzato per la segnalazione di condotte illecite (whistleblowing), che consentono la tracciabilità dei soggetti che utilizzano tale applicativo, tra i quali i segnalanti, non risulta conforme alla disciplina in materia di protezione dei dati personali, con particolare riferimento agli artt. 5, par. 1, lett. f) e 32 del GDPR, in materia di sicurezza e all’art. 25 GDPR, in tema di privacy by design e by default, in quanto le predette informazioni, direttamente identificative degli utenti dell’applicativo, finiscono per rendere del tutto inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti.
GPDP, Docweb 9768363, 11.5.2022 (3)

Massima (3) – I trattamenti di dati personali effettuati per finalità di acquisizione e gestione di segnalazioni di condotte illecite (c.d. whistleblowing) vanno censiti nel registro delle attività di trattamento di cui all’art. 30 GDPR, che deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante. La tenuta del registro è funzionale al rispetto del principio di “responsabilizzazione” del titolare (art. 5, par. 2, GDPR), in quanto costituisce uno strumento idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno dell’organizzazione del titolare. Ciò risulta particolarmente rilevante con riguardo alle attività di valutazione e di analisi del rischio, costituendo, pertanto, un adempimento preliminare rispetto a tali attività.
GDPD, Docweb 9768363, 11.5.2022 (2)

Massima (2) – Nell’ambito della disciplina relativa alla tutela del dipendente pubblico che segnala illeciti e di quella in materia di whistleblowing riferita ai soggetti privati, andata ad integrare la normativa in materia di responsabilità amministrativa delle persone giuridiche, il titolare del trattamento (considerata anche la particolare delicatezza delle informazioni potenzialmente trattate e la “vulnerabilità” degli interessati nel contesto lavorativo), anche quando utilizza prodotti o servizi realizzati da terzi oltre all’assolvimento dell’obbligo di rendere adeguate informazioni agli interessati deve eseguire, anche avvalendosi del supporto del responsabile della protezione dei dati ove nominato, una valutazione dei rischi e accertarsi che siano disattivate le funzioni che non hanno una base giuridica, non sono compatibili con le finalità del trattamento, ovvero si pongono in contrasto con specifiche norme di settore previste dall’ordinamento.