AGLI ADEMPIMENTI PRIVACY D I R I T T O d’ I M P R E S A CIVILE, COMMERCIALE & NUOVE TECNOLOGIE LE SEMPLIFICAZIONI AGLI ADEMPIMENTI PRIVACY INTRODOTTE DAL DECRETO SVILUPPO Avv. Luca Giacopuzzi – www.lucagiacopuzzi.it Studio Legale Giacopuzzi, Verona – Diritto d’Impresa www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d’Impresa - www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it 1

PRIVACY: LE NOVITA’ DEL DECRETO SVILUPPO La L.12 luglio 2011 n.106, di conversione del D.L. 70/11, ha apportato rilevanti modifiche al Codice Privacy Le modifiche, tutte immediatamente applicabili, realizzano una riforma della disciplina relativa al trattamento dei dati personali effettuato dalle imprese

IL DECRETO SVILUPPO: I TEMI OGGETTO D’INDAGINE NOVITA’ la (ri)definizione delle “finalità amministrativo-contabili” la deroga all’applicazione del Codice per i trattamenti di dati nei rapporti B2B per finalità amministrativo-contabili l’esonero dal consenso per lo scambio informativo infragruppo l’esclusione dall’obbligo dell’informativa e del consenso in caso di ricezione di curricula vitae trasmessi spontaneamente l’allineamento del marketing postale al tele-marketing l’estensione del campo di applicazione dell’autocertificazione sostitutiva del DPS Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL DECRETO SVILUPPO: GUIDA ALLA LETTURA Per comprenderne ratio e portata applicativa, le modifiche di recente introduzione vanno considerate “tessere di un mosaico” il sistema-privacy, unitariamente considerato Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LA “CHIAVE DI LETTURA” DELLA TEMATICA IN ESAME UN’AVVERTENZA PRELIMINARE: “La privacy” è una materia complessa e di non immediata decifrazione, atteso che le regole normative vanno lette unitamente alle indicazioni del Garante Vi sono adempimenti da porre in essere e precetti da osservare, pena l’applicazione di sanzioni (amministrative e/o penali). Il tutto fermo l’obbligo di risarcire il danno eventualmente arrecato. Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

dell’impianto sanzionatorio LE SANZIONI Il quadro dell’impianto sanzionatorio Artt. 161 - 172 D.Lgs. 196/03 Qualche esempio, senza alcuna pretesa di esausitività Inidonea informativa: sino ad € 36.000,00 Violazione misure di cui all’art. 33: sino ad € 120.000,00 Incompleta notificazione: sino ad € 120.000,00 Inosservanza provv. Garante ex art. 154.c: sino ad € 180.000,00 Ipotesi aggravate: sino ad € 300.000,00 Studio Legale Giacopuzzi – Diritto d’Impresa – www.lucagiacopuzzi.it Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it 6

“I PROVVEDIMENTI” DEL GARANTE ATTENZIONE: Un identico nome (id est “provvedimenti”) per indicazioni differenti QUALE PORTATA GIURIDICO-FORMALE? mere indicazioni a carattere divulgativo (154.1.h) prescrizioni impartite con efficacia vincolante (154.1.c) (sanzione per l’inosservanza: € 30.000,00 -180.000,00, ex art. 162.2-ter) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it 7

LO “STATO DELL’ARTE” IN PUNTO PRIVACY In tema di privacy, alcune modalità applicative sono ancora basate su approcci prettamente burocratici e di ordine puramente formale Da tale prassi conseguono adempimenti superflui o ripetuti inutilmente Si pone, dunque, la necessità di “rileggere” la materia Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

PRIVACY: QUALI INDICAZIONI? Le definizioni e gli istituti essenziali della disciplina ci sono noti? La Cass. 21839/2011 qualifica il numero di un’utenza telefonica mobile come “dato sensibile” (errore grave) Giova recuperare alcune nozioni fondamentali da cui muovere Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL SISTEMA DEI DATI PERSONALI COMUNI SENSIBILI GIUDIZIARI SEMI-SENSIBILI Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

GLI ADEMPIMENTI PRIVACY, IN ESTREMA SINTESI Informativa Consenso Notificazione Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LE (PRINCIPALI) DESIGNAZIONI Il Titolare del trattamento deve individuare formalmente, con atto scritto, i soggetti che hanno titolo per trattare i dati Responsabile: interno ed esterno Detta figura, la cui designazione è facoltativa (*), ricorre frequentemente in presenza di articolazioni interne delle realtà produttive ovvero in presenza di servizi in outsourcing [(*) v., tuttavia, Pr. Garante 16.06.2011] DESIGNAZIONI Incaricato Detta figura, la cui designazione è obbligatoria, individua le pers.fisiche che materialmente compiono operazioni di trattamento dei dati Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

che cos’è? E’il primo “obbligo-privacy” nei confronti dell’interessato L’INFORMATIVA E’il primo “obbligo-privacy” nei confronti dell’interessato che cos’è? Deve rappresentare agli interessati, senza inutili formalità, le caratteristiche essenziali dei trattamenti effettuati Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

L’utente deve anzitutto ricevere una chiara e completa informativa L’INFORMATIVA/2 L’utente deve anzitutto ricevere una chiara e completa informativa in ordine al trattamento dei dati raccolti Formule sintetiche o colloquiali? Ammissibili, purchè inequivoche Necessaria la presenza degli elementi di cui all’art. 13 D.Lgs.196/06 Auspicata la redazione di una prima informativa breve, che rinvia ad altra Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

possano TRATTARE i dati personali IL CONSENSO Salvo ricorra una delle ipotesi di cui all’art.24, è NECESSARIO affinchè i privati e gli enti pubblici economici possano TRATTARE i dati personali preventivo espresso libero informato revocabile specifico Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it IL CONSENSO/2 Nello svolgimento dell’ordinaria attività d’impresa, il consenso NON è richiesto se: il trattamento viene posto in essere per dare esecuzione ad un obbligo di legge (art.24, 1 comma, lett.a) i dati vengono trattati nell’esecuzione di un contratto o in fase precontrattuale (art.24, 1 comma, lett.b) i dati provengono da registri ed elenchi pubblici (art.24, 1 comma, lett.c) i dati sono relativi allo svolgimento di attività economiche (art. 24, 1 comma, lett.d) se i dati sono comunicati “inter-company”per finalità amministrativo-contabili (NOVITA’ portata dal Decreto Sviluppo!) NOVITA’ DATI SENSIBILI? REGOLE ULTERIORI (art.26) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

è necessario uno specifico consenso INFORMATIVA + CONSENSO Ove l’art. 24 del Codice non possa trovare applicazione, è necessario uno specifico consenso per ciascuna finalità del trattamento dati (Provv. 23 marzo 2011) Il consenso: libero, informato e specifico Con la precisazione che il consenso che l’interessato “debba” prestare per poter fruire della prestazione richiesta non può definirsi libero, essendo piuttosto “indebitamente necessitato” Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

Che accade in concreto? IL “DECRETO SVILUPPO” Delineati, seppur per cenni, i principi fondamentali, è ora possibile prendere in esame le novità del Decreto Sviluppo Che accade in concreto? Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LA DEROGA ALL’APPLICAZIONE DEL CODICE Il comma 3-bis dell’art. 5 (introdotto dal Decreto Sviluppo) esonera dall’applicazione del Codice SOLAMENTE i trattamenti di dati personali di persone giuridiche, imprese, enti o associazioni effettuati dalle predette per fini amministrativo-contabili E’necessario delimitare con precisione il perimetro applicativo della semplificazione normativa Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LE FINALITA’ AMMINISTRATIVO-CONTABILI PRELIMINARE è chiarire cosa si intenda per finalità amministrativo-contabili Il Garante, già nel 2008, si era sul punto così pronunciato: “Diverse realtà trattano dati, anche in relazione a obblighi contrattuali, precontrattuali o di legge, esclusivamente per finalità di ordine amministrativo e contabile (gestione di ordinativi, buste paga e ordinaria corrispondenza con Clienti, fornitori, realtà esterne di supporto anche in outsourcing, dipendenti)” (Provv. 16.06.2208) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LE FINALITA’ AMMINISTRATIVO-CONTABILI Ed ancora, sempre nel 2008, il Garante aveva definito come trattamenti aventi finalità amministrativo-contabili i seguenti: “trattamenti con strumenti elettronici finalizzati alla gestione dell’autoparco aziendale, alle procedure di acquisto dei materiali di consumo, alla manutenzione degli immobili sociali” (Provv. 27.11.2208, in tema di amministratori di sistema: FAQ 24) Con il Decreto Sviluppo si introduce una definizione normativa (art. 34, comma 1-ter) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

L’ART. 34, COMMA 1-TER Art. 34, c. 1-ter, primo periodo: “I trattamenti sono quelli connessi allo svolgimento delle attività di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati” Trattasi di una definizione di carattere generale, richiamata in diversi ambiti (P.19.06.08, Inf.Cons. – P.27.11.08, Misure minime sicurezza, P.27.11.08, Amministratori di sistema) Art. 34, c. 1-ter, secondo periodo: “Perseguono tali finalità le attività organizzative interne, quelle funzionali all’adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilità e all’applicazione delle norme in materia fiscale, sindacale, previdenziale- assistenziale, di salute, igiene e sicurezza sul lavoro” Trattasi di un’elencazione non esaustiva

LE FINALITA’ AMMINISTRATIVO-CONTABILI: COSA NON SONO scopi di comunicazione o promozione commerciale (i.e.: marketing) analisi delle abitudini o scelte di consumo (i.e.: profilazione) valutazione e monitoraggio circa la solvibilità economica di controparti commerciali (cl.-forn.) finalità organizzative “esterne” (es.: trattamento di dati all’estero) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LA DEROGA ALL’APPLICAZIONE DEL CODICE La deroga di cui all’art.5, comma 3-bis, opera in presenza delle seguenti condizioni: Il tr. è effettuato nell’ambito di rapporti tra persone giuridiche, imprese, enti e associazioni N.B.: anche con soggetti pubblici (es. P.A. o imprese che svolgono un pubblico servizio pur se aventi forma giuridica privata) Trattamento “B2B” Dati relativi ai soggetti predetti Es.: dati anagrafici, marchi e altri segni distintivi, riferimenti del legale rappresentante o di soggetti che rivestono cariche sociali Finalità ammin.-cont. Unica finalità contemplata dalla norma in esame Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LO SCAMBIO INFORMATIVO INFRAGRUPPO L’art. 24, lett. i-ter, individua una nuova ipotesi di esonero dal consenso per le comunicazioni di dati a fini amministrativo-contabili tra società, enti o associazioni con società controllanti, controllate, collegate o sottoposte a comune controllo, nonché tra consorzi, reti di imprese, raggruppamenti e associazioni temporanee di imprese con gli aderenti In sostanza, vi è l’esonero dal consenso per le comunicazioni effettuate nell’ambito di gruppi o di altre forme organizzate di esercizio dell’attività d’impresa, a fini amminist.-contab. Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LA GESTIONE DEI CURRICULA VITAE In relazione ai curricula inviati spontaneamente da chi si candida all’instaurazione di un rapporto di lavoro o di collab.profess. l’art. 13, comma 5-bis, elimina l’obbligo di fornire l’informativa. Cade anche la necessità di acquisire il consenso dell’interessato. E’sollecitata la raccolta di CV a mezzo delle form sul sito web aziendale? Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

CHE FARE, IN CONCRETO? Sul piano pratico, la mera consultazione di un CV non sollecitato può avvenire senza una previa informativa CV NON INTERESSA VIENE CONSERVATO Chi lo riceve deve distruggere i dati, cessandone il tratt., come per legge (art. 16) Al momento del primo contatto, il canditato riceverà dal Titolare, anche oralmente, un’informativa breve, a“contenuto predeterminato” Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LE NOVITA’ IN TEMA DI DPS Il Decreto Sviluppo ha abrogato l’obbligo di redigere il DPS? NO E’stato (semplicemente) esteso il campo di applicazione dell’autocertificazione sostitutiva del DPS, già prevista Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL PUNTO SULLE SEMPLIFICAZIONI NOVITA’ Quando i dati trattati sono non sensibili o gli unici dati sensibili e giudiziari attengono a dipendenti, collaboratori e familiari Autocertificazione Misure minime di sicurezza semplificate Quando il trattamento di dati, per finalità amministrativo-contabili, è effettuato da Pmi, professionisti ed artigiani Misure minime di sicurezza semplificate Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

Non vi è una risposta valida in assoluto: si deve valutare DPS: SI’ O NO? Non vi è una risposta valida in assoluto: si deve valutare la situazione concreta IN MOLTI CASI, tuttavia, a prescindere dall’obbligatorietà la redazione del DPS E’ COMUNQUE OPPORTUNA Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL DECRETO SVILUPPO E IL MARKETING Il Decreto Sviluppo ha modificato l’art. 130, comma 3-bis Ove il destinatario non si sia iscritto nel Registro Pubblico delle opposizioni (la cd. Robinson List), l’impresa può utilizzare gli indirizzi contenuti negli elenchi telefonici pubblici per effettuare attività pubblicitarie o promozionali mediante posta cartacea Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

IL DECRETO SVILUPPO E IL MARKETING Il Decreto Sviluppo ha esteso al marketing postale, in precedenza fondato sull’opt-in (“scelgo di farne parte”), il regime in tema di telemarketing, che si basa sull’opt-out (“scelgo di stare fuori”) OPT-IN L’operatore ha l’onere di ottenere il consenso dell’interessato OPT-OUT E’l’utente a doversi fare carico di opporsi all’uso dei suoi recapiti Il perno è il registro pubblico delle opposizioni (cd. Robinson List), Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

TELEMARKETING E MAIL MARKETING Il regime di legge: l’OPT-OUT D.P.R. 178/10 PROVV. GARANTE PRIVACY n.16 del 19.01.2011 La Robinson List mette l’abbonato al riparo dalle chiamate indesiderate dei soli operatori che utilizzano come fonte dei propri contatti gli elenchi telefonici pubblici e si avvalgono di addetti persone fisiche La raccolta dei dati da fonti diverse e il relativo utilizzo deve avvenire a norma di legge Studio Legale Giacopuzzi – Verona Bolzano – www.lucagiacopuzzi.it 33

I RECENTI INTERVENTI DI SEMPLIFICAZIONE Le semplificazioni in tema di marketing hanno avuto ad oggetto unicamente Telemarketing e Mail marketing L’e-mail marketing soggiace ancora ad una rigorosa disciplina normativa, la cui portata viene precisata, altresì, da Provvedimenti del Garante Privacy

MKT & PRIVACY In tema di marketing E-MAIL MARKETING FAX MARKETING MMS-SMS MARKETING MESSAGGI REGISTRATI TELEMARKETING MAIL MARKETING opt-out (v. la cd. “Robinson List”) opt-in, salvo ipotesi residuali per l’e-mail marketing (v. art. 130, comma 4) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it Studio Legale Giacopuzzi – Diritto d’Impresa – www.studiogiacopuzzi.it 35

E-MAIL MARKETING: NON SOLO PRIVACY Una disciplina composita REGOLAMENTAZIONE NORMATIVA - art. 130 Codice privacy - art. 9 D.Lgs. 70/03 Studio Legale Giacopuzzi – Verona Bolzano – www.lucagiacopuzzi.it 36

Studio Legale Giacopuzzi – Verona Bolzano – www.lucagiacopuzzi.it E-MAIL MKT O B B L I G H I P E R L’ I M P R E S A: Acquisire il previo consenso, informato, del destinatario Esplicitare che la comunicazione ha carattere commerciale Informare sulla facoltà di non ricevere ulteriori e-mails Fornire un recapito, reale, per l’esercizio dei diritti ex art. 7 C.Pr. N.B.: Quanto precede ferme le eccezioni di cui all’art. 130 Studio Legale Giacopuzzi – Verona Bolzano – www.lucagiacopuzzi.it 37

Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it LE SANZIONI Sanzioni amministrative Informativa: da 6 a 36.000 euro Consenso: da 10 a 120.000 euro Per casi di maggiore gravità: aumento sino al doppio. Per banche dati di particolare rilevanza: da 50 a 300.000 euro. Sanzioni penali Reclusione da 6 a 18 mesi Attenzione: il tutto fermo l’obbligo di risarcire il danno, anche di natura non patrimoniale ART. 15 Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it 38

Indicazioni utili si ricavano, altresì, da un’attenta lettura DAL GARANTE PRIVACY Indicazioni utili si ricavano, altresì, da un’attenta lettura dei provvedimenti del Garante Privacy. Senza pretesa di esaustività, si ricorda che: Il Titolare che acquista le “liste” risponde in prima persona del contenuto delle stesse (rectius: dell’idoneità delle predette) Il ricorso ad outsourcers non è “deresponsabilizzazione” Provv. 16.06.2011: il Garante prescrive, ai sensi dell’art. 154.1.c, di designare gli outsourcers come “responsabili” Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

Un complesso regime normativo: IL TRATTAMENTO DEI DATI DEI CLIENTI Non solo marketing: ambiti ulteriori rispetto alle ordinarie ipotesi di trattamento Un complesso regime normativo: Fidelizzazione in senso stretto Profilazione della clientela E-mail marketing consenso non necessario consenso informato e distinto consenso informato e distinto, salve ipotesi particolari NOTIFICAZIONE per profilazione; sanzione: € 20.000,00-120.000,00 Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

Dati clienti SI’ NO X X(1) I principali adempimenti, in sintesi Fidelizzazione in senso stretto Profilazione della clientela E-mail marketing SI’ NO Informativa X Consenso X(1) Notificazione Tempi di conservazione Misure di sicurezza Designazioni dei soggetti (1) Vedasi, tuttavia, anche l’art. 130 D.Lgs. 196/03 (per le eccezioni), nonché il diverso regime per il telemarketing e marketing “postale” (DPR 178/10, P.Garante 19.01.2011 – D.L. 70/2011, cd. “Decreto Sviluppo”) Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

LA PRIVACY IN AZIENDA: CONCLUSIONI In ambito privacy si deve tendere a semplificazioni e a razionalizzazioni di sistema La semplificazione rappresenta la chiave per decifrare una materia complessa un obiettivo, cogente, evincibile da norme Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it

La materia, disomogenea e di non facile decifrazione, LO STATO DELL’ARTE La materia, disomogenea e di non facile decifrazione, non deve essere l’alibi per non muovere verso il rispetto delle indicazioni di legge e del Garante Dal PROBLEMA alla SOLUZIONE Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it 43

COSA FARE, IN CONCRETO? ADEGUAMENTO TRATTAMENTI “ORDINARI” TRATTAMENTI “PARTICOLARI” Tra gli altri: marketing, on-line e cartaceo telemarketing (Robinson list) profilazione cliente fidelizzazione cliente videosorveglianza biometria trasferimento dati all’estero web amministratore di sistema N.B.: Il trattamento dei dati nei diversi soggetti non è mai uguale l’uno all’altro, perché si deve tener conto delle specificità proprie dei titolari. modulistica policy varie ed eventuali (Decreto Sviluppo)

La soluzione proposta dallo Studio Legale Giacopuzzi: COSA FARE, IN CONCRETO? UNA POSSIBILE SOLUZIONE PER ESSERE IMMUNI DA COMPLICAZIONI ORGANIZZATIVE SANZIONI ESTERNALIZZARE LE INCOMBENZE-PRIVACY! La soluzione proposta dallo Studio Legale Giacopuzzi: servizio-privacy “a canone annuo” (Privacy “Gold” – Privacy “Platinum”)* [* a richiesta, lo Studio è lieto di illustrarVi i contenuti di detti servizi]

DISCLAIMER - REGIME DI UTILIZZO DELLE SLIDES Le presenti slides vanno considerate quale mera esemplificazione delle materie trattate. Il materiale è, pertanto, propedeutico all’attività di consulenza e/o di assistenza legale fornita dallo Studio al Cliente. Nessuna responsabilità legata ad una decisione assunta sulla base delle informazioni qui contenute potrà, quindi, essere attribuita al professionista o allo Studio. © Studio Legale Giacopuzzi, 2011 DIRITTO D’IMPRESA Studio Legale Giacopuzzi – Diritto d'Impresa – www.studiogiacopuzzi.it 46

Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it PER APPROFONDIMENTI: D I R I T T O d’ I M P R E S A CIVILE, COMMERCIALE & NUOVE TECNOLOGIE 37121 Verona, Stradone San Fermo n.21 Tel.: 045.8011287 Fax: 045.8039787 Numero verde: 800-148791 www.studiogiacopuzzi.it posta@studiogiacopuzzi.it Studio Legale Giacopuzzi – DIRITTO d’IMPRESA – www.studiogiacopuzzi.it 47