LA VALUTAZIONE DEL RISCHIO PRIVACY IN BASE AL NUOVO REGOLAMENTO

Come noto il prossimo 25 maggio debutterà il nuovo Regolamento europeo sulla privacy (Gdpr - General Data Protection Regulation) così come recepito dal legislatore nazionale, il quale sostituirà definitivamente le attuali norme.

Ancor prima di utilizzare i dati, ovvero accedere a quelli relativi ai trattamenti in corso, è necessario redigere la «valutazione di impatto privacy», c.d. Dpia (acronimo inglese di data privacy impact assessment); tale obbligo sarà in primo luogo a carico dei datori di lavoro che:

1. gestiscono su “larga scala” i dati sensibili dei lavoratori quali ad esempio dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, ecc.
2. conservano dati personali di soggetti vulnerabili (minori, soggetti in condizioni di minorata capacità fisica o psichica e così via).

Le regole relative alla Dpia sono definite dall’art. 35 del Reg. Ue/2016/679 il quale qualifica il documento come la procedura che mira a descrivere un trattamento di dati per valutarne la necessità, la proporzionalità e i relativi rischi, per adottare misure idonee a gestirli.

La redazione può essere effettuata direttamente dal titolare dei dati, ovvero da soggetti interni o esterni all’organizzazione; in ogni caso la responsabilità resta comunque a carico del titolare del trattamento.

In fase di valutazione il titolare si consulta con il responsabile della protezione dei dati (c.d. (il cosiddetto Dpo, data protection officer), qualora nominato, e con i responsabili del trattamento.

Il documento così compilato sarà dunque di fondamentale importanza per verificare il rispetto delle nuove norme in tema di privacy, nonché per garantire l’adozione di misure idonee ad attuare le prescrizioni ivi contenute.

Di conseguenza sarà necessario condurre l’analisi in commento:

1. in via preventiva rispetto al trattamento dei dati,
2. periodicamente al fine di mantenerla sempre adeguata alle variazioni che occorreranno nel corso del tempo.

Al momento dell’emanazione del richiamato Regolamento Europeo ci si chiedeva se la Dpia fosse obbligatoria anche con riferimento ai trattamenti dei dati personali già in corso.

Al riguardo si sono espressi in maniera positiva i Garanti della privacy a livello europeo i quali il 4 ottobre 2017, nell’ambito del gruppo di lavoro c.d. «Articolo 29», per mezzo dell’emanazione delle Linee guida in materia di valutazione di impatto privacy, hanno affermato che:

1. con riferimento ai trattamenti già in corso, la Dpia è necessaria qualora esista una variazione dei rischi, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento;
2. la Dpia è obbligatoria ogni qualvolta il trattamento dei dati comporta rischi elevati per i diritti e le libertà dei soggetti.

Per contro il documento non deve essere redatto se i trattamenti dei dati personali:

• non presentano rischi rilevanti per i diritti e le libertà delle persone;
• sono già stati verificati da parte delle autorità di controllo;
• sono compresi nell’elenco facoltativo;
• fanno riferimento a norme o regolamenti per la cui definizione è stata condotta una Dpia;

3. per la Dpia non esiste alcun obbligo generale di diffusione, anche se la sua pubblicazione, anche per stralcio, sembra consigliabile sia per motivi di trasparenza e responsabilizzazione, sia perché, così facendo, le persone riporranno più fiducia sul corretto trattamento dei loro dati.

Circa le modalità di redazione, il paragrafo 7 del richiamato articolo 35 dispone che la Dpia, oltre a dover essere palesemente conforme alle prescrizioni del Gdpr, dovrà contenere:

1. la descrizione dei trattamenti previsti e delle relative finalità;
2. la valutazione della necessità e proporzionalità del trattamento;
3. la valutazione dei rischi per i diritti e le libertà delle persone fisiche;
4. le misure previste per la gestione di questi rischi.

Ciò significa, in altre parole, che non è previsto uno schema rigido di redazione, ma solo delle informazioni minime necessarie. Spetta pertanto al titolare dei dati selezionare la modalità che più ritiene conforme al Regolamento europeo.

Il 16 ottobre scorso, è stato pubblicato nella Gazzetta Ufficiale n. 242 il D.L. 16.10.2017, n.148, recante “Disposizioni urgenti in materia finanziaria e per esigenze indifferibili”, nel quale, fra l’altro, è stata stabilita la riapertura della procedura di definizione agevolata dei ruoli (c.d. “rottamazione”).

In particolare:
L’articolo 1 del decreto in commento ha notevolmente modificato l’art. 6 co. 3, lett. a) D.L. 193/2016, il quale aveva fissato la scadenza delle prime due rate relative alla definizione agevolata (rottamazione dei ruoli) nei mesi di luglio e settembre 2017. Con la pubblicazione del DL 148 viene consentito, a chi ha già aderito alla rottamazione dei ruoli, di effettuare entro il prossimo 30 novembre, il pagamento delle rate scadute nei mesi di luglio e settembre. In tal modo, i contribuenti saranno “riammessi” alla rottamazione senza ulteriore addebito. Non di meno sono ora ammessi alla definizione agevolata anche i contribuenti che in precedenza ne erano stati esclusi perché non in regola con il pagamento delle rate scadute al 31 dicembre 2016 relative ai piani di rateazione in essere al 24 ottobre 2016.
Nella nuova versione della rottamazione è infatti previsto che i contribuenti che si trovano in questa situazione potranno nuovamente esercitare la facoltà di adesione alla rottamazione delle cartelle previa presentazione di apposita istanza entro il 31 dicembre 2017 secondo le modalità che saranno definite e pubblicate sul sito internet dell’agente della riscossione entro martedì 31 ottobre.

Per il perfezionamento della nuova definizione agevolata occorrerà saldare:

1. in unica soluzione entro il 31 maggio 2018 l’importo delle predette rate scadute e non pagate dei precedenti piani di dilazione, il cui ammontare complessivo sarà comunicato dall’agente della riscossione entro il 31 marzo 2018;
2. nel numero massimo di tre rate di pari importo (con scadenza nei mesi di settembre, ottobre e novembre 2018), le somme dovute per la rottamazione e formalizzate con comunicazione dell’agente della riscossione entro il 31 luglio 2018.

Nell'istanza  di  adesione  il  debitore  è tenuto ad indicare il numero di rate in cui intende  effettuare il pagamento delle somme e assumerne il relativo impegno.

La presentazione della richiesta di definizione agevolata comporta l’automatica sospensione:

• dei termini di prescrizione e decadenza per il recupero dei carichi oggetto di definizione;
• degli obblighi di pagamento delle rate relative alle dilazioni concesse per i carichi oggetto della domanda di definizione in scadenza in data successiva al 31.12.2016;
• di azioni esecutive, ovvero di iscrizioni di nuovi fermi amministrativi e ipoteche su carichi definibili; sono da escludere da tale computo i fermi amministrativi e le ipoteche già iscritti alla data di presentazione della dichiarazione;
• delle procedure di recupero coattivo precedentemente avviate, a condizione che:
  1. non si sia ancora tenuto il primo incanto con esito positivo;
  2. non sia stata presentata istanza di assegnazione;
  3. non sia stato già emesso provvedimento di assegnazione dei crediti pignorati.

Per quanto non specificato finora devono ritenersi valide le vecchie prescrizioni ad eccezione della proroga di un anno dei termini relativi alla rottamazione dei ruoli a favore dei soggetti colpiti dal terremoto verificatosi dal 24.08.2016 nei territori delle Regioni Abruzzo, Lazio, Marche e Umbria.

Da ultimo si segnala che nel comma 4 dell’art. 1 in commento è stata prevista l’estensione dell’applicazione della rottamazione dei ruoli (rottamazione bis) ai carichi affidati all’agente della riscossione dal 1° gennaio al 30 settembre 2017 (la prima versione della rottamazione era relativa ai carichi affidati dal 2000 al 2016).

In tal caso la presentazione dell’istanza dovrà avvenire, in conformità alla modulistica pubblicata dallo stesso agente della riscossione sul proprio sito Internet al più tardi il 31 ottobre 2017, entro il 15 maggio 2018.

Come nella vecchia versione, anche in questa la regolarizzazione potrà essere effettuata mediante pagamento in unica soluzione, ovvero a rate nel numero massimo di cinque di uguale importo, nei mesi di luglio, settembre, ottobre e novembre 2018 e febbraio 2019.

Sarà l’agente di riscossione a comunicare preventivamente al debitore:

1. l'avviso contenente i carichi per i quali dall’01/01/2017 al 30/09/2017 risulta non ancora notificata la cartella di pagamento (entro il 31 marzo 2018);
2. le somme dovute ai fini della definizione (entro il 30 giugno 2018)

Anche in questo caso, per i debiti relativi ai carichi dall’ 01/01 al 30/09/2017 oggetto di definizione agevolata, è sospeso il pagamento dei versamenti rateali di precedenti dilazioni, scadenti in data  successiva alla presentazione dell’istanza. In ogni caso l’accesso alla definizione non è precluso anche se i versamenti relativi ai piani rateali in essere non siano in regola.