Le recenti indicazioni del Garante
Videosorveglianza, dati sanitari e tutela dei minori
Le ultime decisioni del Garante per la protezione dei dati personali offrono chiarimenti importanti su alcuni temi centrali per la compliance privacy e ribadiscono un principio di fondo: trasparenza, limitazione delle finalità e proporzionalità del trattamento restano i pilastri su cui misurare ogni scelta.
Videosorveglianza urbana: la finalità viene prima di tutto
Il Garante ha chiarito che i filmati raccolti da sistemi di videosorveglianza installati per finalità di sicurezza urbana non possono essere riutilizzati liberamente per scopi diversi da quelli originari.
Nel caso esaminato, un Comune aveva impiegato le immagini per ricostruire la dinamica di un incidente stradale e contestare una violazione del Codice della Strada. L’Autorità ha ritenuto questo utilizzo incompatibile con la finalità per cui i dati erano stati raccolti, sottolineando che ogni trattamento ulteriore richiede una specifica base giuridica prevista dalla legge.
Il provvedimento è un richiamo netto al principio di limitazione della finalità del GDPR: avere un’informazione a disposizione non ne legittima automaticamente qualsiasi uso successivo.
Emirates sanzionata per la gestione dei dati sanitari dei passeggeri
Il Garante ha sanzionato Emirates con una multa di 180.000 euro nell’ambito del trattamento dei dati di passeggeri con disabilità o mobilità ridotta.
L’Autorità ha confermato la legittimità del trattamento dei dati sanitari quando è necessario a garantire la sicurezza del trasporto e l’assistenza durante il viaggio. Ha però rilevato criticità sia nelle informazioni fornite agli interessati sia nella conservazione dei dati: l’informativa privacy è stata giudicata poco chiara e incompleta, mentre il periodo di conservazione dei dati sanitari è risultato eccessivo rispetto alle finalità perseguite.
Il caso lo dimostra con chiarezza: una base giuridica corretta non basta a garantire la conformità se non è accompagnata dal rispetto di tutti gli altri principi del GDPR.
Minori sui social: serve il consenso di entrambi i genitori
Un ulteriore intervento riguarda la pubblicazione online di immagini di minori.
Il Garante ha ribadito che, per i minori di 14 anni, la diffusione di fotografie sui social network richiede il consenso di entrambi i genitori. La decisione nasce da un reclamo relativo alla pubblicazione delle immagini dei figli da parte di un genitore senza il consenso dell’altro.
Nel provvedimento si sottolinea che condividere contenuti che riguardano i minori costituisce a tutti gli effetti un trattamento di dati personali e che i rischi legati alla diffusione online possono incidere sulla futura autodeterminazione digitale dei ragazzi. L’Autorità ha inoltre precisato che né la natura affettiva della pubblicazione né l’uso di profili privati eliminano i rischi derivanti da un’eventuale ricondivisione delle immagini a soggetti terzi.
Data breach: verso una procedura europea più uniforme
Sul fronte della gestione delle violazioni dei dati personali, l’European Data Protection Board ha approvato e posto in consultazione pubblica un nuovo modello comune per la notifica dei data breach.
L’obiettivo è armonizzare le procedure adottate dalle Autorità europee e preparare l’integrazione con il futuro Single Entry Point, il sistema destinato a centralizzare gli obblighi di notifica previsti dalle diverse normative dell’Unione Europea. Un ulteriore passo verso una gestione più uniforme degli incidenti di sicurezza e verso la semplificazione degli adempimenti per organizzazioni e titolari del trattamento.
Il filo conduttore di questi provvedimenti è sempre lo stesso: la compliance non è un adempimento formale, ma un equilibrio quotidiano tra finalità, trasparenza e proporzionalità. Audita è al tuo fianco per trasformarlo in pratica.
