Our submissions for the EDPB guidelines on Dark Patterns are now published by the EDPB!
▶ edpb.europa.eu/sites/default/f…

mastodon.social/@noybeu/108272…

Di recente, la Corte di Giustizia dell’Unione europea (“CGUE”) si è pronunciata, in seguito a rinvio pregiudiziale, sull’interpretazione dell’art. 80, paragrafo 2, del Regolamento UE 679/2016 (“GDPR” o “Regolamento”) in materia di ricorsi, concludendo che anche un’associazione di tutela degli interessi dei consumatori può agire in giudizio, in assenza di un mandato e/o indipendentemente dalla violazione di specifici diritti degli interessati, contro il presunto autore di un atto pregiudizievole per la protezione dei dati.

I mezzi di ricorso a tutela dei diritti dell’interessato al Capo VIII del Regolamento

Preliminarmente all’analisi compiuta dalla CGUE sul tema dei ricorsi e dei reclami, giova ricordare che il Capo VIII del GDPR, intitolato “Mezzi di ricorso, responsabilità e sanzioni”, prevede che l’interessato ha il diritto di presentare un reclamo dinanzi ad un’autorità di controllo di uno Stato membro, secondo quanto previsto dall’art. 77 del GDPR, oppure un ricorso dinanzi ai tribunali ordinari nazionali, ai sensi degli artt. 78 e 79 del GDPR, sia avverso una decisione dell’autorità di controllo sia nei confronti del titolare del trattamento o del responsabile del trattamento.

In particolare, per quanto rileva in questa sede, merita soffermarsi sugli artt. 80, 81 e 84 del Regolamento. L’art. 80, paragrafo 1, del GDPR prevede che l’interessato ha il diritto di dare mandato di proporre ricorso per suo conto ad un organismo, un’organizzazione o un’associazione senza scopo di lucro, debitamente costituiti secondo il diritto di uno Stato membro e che perseguano obiettivi di pubblico interesse, oltre che essere attivi nel settore della protezione dei diritti e delle libertà degli interessati.

Dalla lettura del paragrafo 1, è evidente il ruolo attivo attribuito nei confronti degli organismi e delle organizzazioni nel promuovere una tutela, eventualmente anche risarcitoria, degli interessati, a condizione del possesso di due requisiti: i) la costituzione dell’organismo secondo il diritto di uno Stato membro; ii) essere attivi nel settore della protezione dei diritti e delle libertà degli interessati, perseguendo tali obiettivi da statuto. Il primo è un requisito meramente formale1. Il secondo requisito, invece, presuppone un’indagine da svolgere con riguardo all’attività concreta, sia per il tramite dello scrutinio dello statuto dell’ente, sia per il tramite della verifica effettiva delle attività nel settore della protezione dei diritti e delle libertà degli interessati.

L’art. 80, paragrafo 2, del GDPR, dall’altro lato, prevede che un organismo, un’organizzazione o un’associazione aventi le medesime caratteristiche descritte al paragrafo 1, possono agire, indipendentemente dal mandato conferito dall’interessato, sia di fronte all’autorità di controllo, sia di fronte ai tribunali ordinari nazionali, se si ritiene che i diritti di un interessato siano stati violati in seguito al trattamento.

Con riguardo a questa disposizione, la dottrina prevalente ha ritenuto che per attribuirsi un mandato istituzionale ex lege dovrebbe darsi esito positivo alle stringenti verifiche non soltanto statuarie, ma anche sostanziali, relativamente a quelle caratteristiche che l’art. 80, paragrafo 1, richiama.

L’art. 84, infine, prevede che gli Stati membri stabiliscono le norme relative alle altre sanzioni per la violazione del Capo VIII del Regolamento, in particolare con riguardo a quelle violazioni che non sono soggette alle sanzioni amministrative di cui all’art. 83 dello stesso Regolamento.

La vicenda del caso in analisi

La vicenda sottoposta alla CGUE ha avuto origine dalla creazione di un’applicazione denominata “App-Zentrum” da parte della società Meta Platforms Ireland (“Società”), finalizzata ad offrire giochi gratuiti agli utenti di social network. La suddetta App consentiva l’acquisizione di dati personali e, non solo, di procedere alla pubblicazione degli stessi a seconda delle vincite e dei punteggi totalizzati da parte degli utenti.

Sul punto, l’Unione federale (“Unione”) – associazione dei consumatori tedesca – ravvisava che le informazioni fornite agli utenti non fossero in conformità con quanto disciplinato dalla normativa sulla protezione dei dati e su quella a tutela del consumatore. In particolare, l’Unione sosteneva che il consenso non fosse validamente acquisito, oltre che le informazioni fossero da ritenersi sleali nei confronti dei consumatori.

Pertanto, l’Unione federale proponeva azione inibitoria di fronte al Tribunale del Land di Berlino contro la Società, pur in assenza di una violazione concreta del diritto alla tutela dei dati di un interessato e di un mandato a lui conferito. Sul punto, il giudice del rinvio in Cassazione, di fronte al quale è stato proposto ricorso contro la sentenza di accoglimento dell’azione, dubitava circa la ricevibilità dell’azione dell’Unione, nei termini di legittimazione attiva ad agire, alla luce dell’applicazione degli artt. 80, paragrafi 1 e 2, nonché dell’art. 84, paragrafo 1 del GDPR, e, pertanto, agiva di fronte alla CGUE su rinvio pregiudiziale.

Conclusione: l’interpretazione della CGUE dell’art. 80 del GDPR

Considerato quanto premesso, il rinvio pregiudiziale verteva principalmente sulla questione se un’associazione di tal genere – ossia quella che agisce a tutela dei diritti dei consumatori – possa agire contro una società in assenza di un mandato che le sia stato conferito ed indipendentemente dalla violazione di specifici diritti degli interessati.

La Commissione della CGUE ha ritenuto che, invero, la questione dipendesse dalla sola interpretazione dell’art. 80, paragrafo 2 del GDPR, alla luce del fatto che il paragrafo 1 dell’art. 80 presuppone la concessione di un mandato e che tale circostanza non riguardasse il caso di specie e che l’art. 84 del GDPR riguardasse l’applicazione delle sanzioni, aspetto che, in ogni caso, non era stato oggetto di discussione.

La Corte ha osservato che, anche in forza del margine di discrezionalità riconosciuto agli Stati membri nell’attuazione della disciplina europea secondo anche quanto previsto dall’art. 288 del TFUE in combinato disposto con i considerando 9, 10 e 13 del GDPR, la disciplina del Regolamento non ostava con la disciplina nazionale, rientrando nel predetto margine di discrezionalità. Per la precisione, la disciplina nazionale, difatti, prevede la legittimazione ad agire da parte delle associazioni dei consumatori a tutela della protezione dei dati.

Nella sua analisi, la Corte ha ritenuto che l’Unione, in qualità di associazione dei consumatori, fosse in possesso di quei requisiti di cui all’art. 80 del GDPR. In primo luogo, l’Unione rientra in quella nozione di organismo, organizzazione e associazione, senza scopo di lucro, costituita secondo il diritto interno e avente obiettivi statutari di pubblico interesse ed attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali. Difatti, l’Unione persegue un obiettivo di interesse pubblico, consistente nell’assicurare i diritti e le libertà degli interessati nella loro qualità di consumatori, correlandosi tale finalità con la protezione dei dati personali di questi ultimi.

In secondo luogo, l’Unione agisce nella misura in cui ritenga che i diritti di cui un interessato gode siano stati violati in seguito al trattamento dei dati personali. La Corte precisava, nello specifico, che non è necessario che la violazione sia concreta, ma esclusivamente che vi sia un trattamento di dati contrario a disposizioni del Regolamento e che, pertanto, la violazione possa essere potenziale.

A valle di tale riflessione, la Corte ha ritenuto che il fatto di legittimare delle associazioni a tutela dei consumatori, come nel caso di specie l’Unione federale, ad instaurare, mediante un meccanismo rappresentativo, azioni intese a far cessare trattamenti di dati contrari alle disposizioni del Regolamento, indipendentemente dalla violazione dei diritti di una persona individualmente e concretamente pregiudicata dalla violazione, contribuisse – in modo incontestabile – a “rafforzare i diritti degli interessati e ad assicurare loro un elevato livello di protezione”. Anzi, la Corte ha aggiunto che il ricorso da parte di un’associazione potesse ritenersi ancora più efficace rispetto all’azione di un singolo individuo.

Pertanto, posto quanto sopra riportato, la Corte ha concluso che l’art. 80 GDPR deve essere interpretato nel senso che non osta ad una normativa nazionale che consente ad un’associazione di tutela degli interessi dei consumatori di agire in giudizio, in assenza di un mandato che le sia stato conferito per quel determinato scopo ed indipendentemente dalla violazione di specifici diritti degli interessati, qualora il trattamento dei dati in questione sia idoneo a pregiudicare i diritti riconosciuti dal GDPR agli interessati.

Si ritiene chela decisione della CGUE abbia indubbiamente contribuito ad innovare l’interpretazione dell’art. 80 del GDPR chiarendone l’ambito di applicazione e configurando la concreta possibilità di estensione della legittimazione ad agire a tutela dei dati personali.

Fabiola Iraci Gambazza

1 A titolo esemplificativo, in Italia, tale requisito può essere soddisfatto con l’iscrizione nel registro unico nazionale del terzo settore, ai sensi dell’art. 22 del D. lgs. n. 117/2017.

L'articolo La Corte di Giustizia sui mezzi di ricorso previsti dal GDPR: anche le associazioni dei consumatori possono agire per la protezione dei dati personali proviene da E-Lex.

Utilizzo di algoritmi valutativi nelle scuole: rating reputazionale sotto la lente del Garante privacy

Con un comunicato del 3 maggio 2022, il Garante per la protezione dei dati personali ha inviato una richiesta di informazioni all’Associazione Crop News Onlus, operante nel settore del rating “reputazionale”, che avrebbe promosso un progetto per sperimentare, nei confronti degli studenti, il rating “reputazionale” elaborato sulla base di algoritmi dalla Piattaforma Mevaluate.

Sul tema dell’utilizzo di piattaforme per l’elaborazione di profili reputazione, peraltro, il Garante Privacy si era espresso con il provvedimento n. 488 del 2016, ritenendo che i trattamenti di dati personali effettuati dal titolare della piattaforma oggetto di verifica da parte dell’Autorità non fossero conformi con gli artt. 2, 3, 11, 13, 23, 24 e 26 dell’ex Codice Privacy.

Il Garante, considerata la delicatezza del progetto che si rivolge a soggetti particolarmente vulnerabili (studenti e minori), ha chiesto all’Associazione di far pervenire entro 30 giorni ogni informazione utile alla valutazione del trattamento di dati effettuato.

Leggi il comunicatoLeggi il provvedimento

Il Garante Privacy chiede maggiori garanzie sulla piattaforma per i referendum online

Il Garante per la protezione dei dati personali ha fornito un parere non favorevole al Ministero per l’innovazione tecnologica sullo schema di Dpcm che fissa le regole della piattaforma per la raccolta delle firme per referendum e progetti di legge.

L’Autorità ritiene che siano troppi i profili critici emersi dall’esame di un provvedimento che incide su istituti di democrazia diretta costituzionalmente garantiti, quali appunto i referendum.

Il testo sottoposto all’Autorità, infatti, risulta attualmente privo di adeguate tutele per il pieno rispetto dei diritti e delle libertà fondamentali dei cittadini e, per tale ragione, ha indicato al Ministero una dettagliata serie di condizioni e osservazioni alle quali attenersi, al fine di scongiurare il rischio che si verifichino trattamenti di dati personali non conformi alla normativa vigente.

Leggi il provvedimento

Il Garante Privacy sanziona un ente di ricerca pubblico per l’inadeguatezza delle misure di sicurezza a protezione delle password

Con il provvedimento n. 46 del 2022, il Garante per la protezione dei dati personali ha applicato nei confronti di un ente di ricerca pubblico, titolare del trattamento, una sanzione di € 6.000,00, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f e 32 del Regolamento (UE) 2016/679.

Dal provvedimento si evince che se il titolare del trattamento è tenuto ad individuare le migliori misure a protezione delle password, in ossequio al principio di responsabilizzazione, il fatto di non adottare neanche le misure contenute nell’Allegato B del Codice o nella Circolare n. 2/2017 dell’AgID, precedenti al Regolamento UE (2016/679), non può che comportare il rischio, per il titolare del trattamento, di vedersi irrogata una sanzione da parte del Garante Privacy.

Leggi il provvedimento

Telemarketing: nuovo registro pubblico delle opposizioni

Il 13 aprile 2022 è entrato in vigore il d.p.r. 26/2022, vale a dire il regolamento di riforma del registro pubblico delle opposizioni (RPO), che sarà operativo dal 27 luglio 2022.

Il nuovo RPO amplia il suo originale ambito di iscrizione e modifica, di conseguenza, le modalità con cui società e operatori potranno svolgere attività di telemarketing.

Tra le principali novità si segnalano:

• l’inclusione nella definizione di “contraente” anche delle persone giuridiche, degli enti e delle associazioni;
• estensione dell’ambito di applicazione anche ai numeri telefonici fissi, siano essi presenti in elenchi pubblici o meno, ai numeri telefonici mobili e agli indirizzi postali;
• estensione del diritto di opposizione alle forme di marketing svolte mediante telefonate automatizzate, ossia effettuate in via automatizzata senza l’intervento di un operatore.

Leggi il decreto

Il Garante Privacy sanziona un Responsabile del trattamento per l’inadeguatezza delle misure di sicurezza adottate

L’Autorità ha ingiunto una sanzione pecuniaria di € 10.000,00 esclusivamente nei confronti di un Responsabile del trattamento, una società fornitrice di software, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f) e 32 del Regolamento (UE) 2016/679 (di seguito “GDPR” o “Regolamento”), a seguito di una violazione dei dati personale concernente i dati contenuti in una piattaforma utilizzata per la gestione delle contravvenzioni al Codice della strada.

Secondo l’Autorità, non si ravvisavano i presupposti per adottare un provvedimento nei confronti del titolare del trattamento, un ente pubblico, poiché il responsabile del trattamento era risultato inadempiente all’obbligo di prevedere misure di sicurezza adeguate sulla base del contratto stipulato con il titolare del trattamento. Si deve ricordare, infatti, che l’art. 28 del GDPR consente al titolare del trattamento di affidare un trattamento a terzi soggetti che presentino le competenze per adottare adeguate misure di sicurezza.

Si tratta di una pronuncia dalla portata decisamente innovativa se si considera che, in linea generale, le sanzioni del Garante sono rivolte principalmente a Titolari del trattamento o, al più, in maniera congiunta a Titolari e Responsabili del trattamento.

Leggi il provvedimento

L'articolo What’s new in Italy on Data Protection<BR> n.4 – Maggio 2022 proviene da E-Lex.

i figli degli Zoundz, dei Subhumans, degli Omega Tribe e dei nostri I Refuse It, stavano mettendo le basi per un nuovo, insperato, ritorno.

iyezine.com/straw-man-army-sos

Straw Man Army - SOS

Straw Man Army i figli degli Zoundz, dei Subhumans, degli Omega Tribe e dei nostri I Refuse It, stavano mettendo le basi per un nuovo, insperato, ritorno.

^{In Your Eyes ezine}

Il governo annuncia il disegno di legge sulla riforma dei dati nel discorso della regina

Sky News riferisce che il governo annuncerà un nuovo disegno di legge sulla riforma dei dati nel discorso della regina inteso a consentire al Regno Unito di deviare dalla legislazione dell’UE sulla privacy. I rappresentanti del settore hanno detto a Sky News che ritengono che il Regno Unito possa trarre vantaggio dalle riforme, ma si teme che se fatte in modo improprio alla fine costerebbero all’economia più di quanto non forniscano.

Government to announce data reform bill in Queen’s Speech
The government will announce a new data reform bill in the Queen’s Speech intended to allow the UK to deviate from EU privacy legislation, Sky News has learnt. Industry representatives told Sky News they believe the UK could benefit from the reforms, but there are concerns that if done improperly they would ultimately cost the economy more than they deliver.

news.sky.com/story/government-…

La legge sul monitoraggio dei dipendenti di New York entra in vigore

E’ entrato in vigore l’ emendamento al New York Civil Rights Act che richiede ai datori di lavoro privati ​​con sedi di attività in qualsiasi parte dello stato di fornire ai dipendenti un avviso scritto se il datore di lavoro stesso monitora o intercetta le e-mail dei dipendenti, l’accesso a Internet o le conversazioni telefoniche. L’avviso scritto deve comunicare che “qualsiasi conversazione o trasmissione telefonica, posta elettronica o trasmissioni, o accesso a Internet o utilizzo da parte di un dipendente da parte di qualsiasi dispositivo o sistema elettronico . . . può essere soggetto a monitoraggio in qualsiasi momento con qualsiasi mezzo lecito”.

New York Employee Monitoring Law Goes Into Effect

An amendment to the New York Civil Rights Act goes into effect that requires private employers with places of business anywhere in the state to provide employees a written notice if the employer monitors or intercepts employee emails, internet access or usage, or telephone conversations. The written notice must communicate that “any and all telephone conversations or transmissions, electronic mail or transmissions, or internet access or usage by an employee by any electronic device or system . . . may be subject to monitoring at any and all times by any lawful means.”

bytebacklaw.com/2022/05/new-yo…

La raccolta di dati Big Tech viene nel mirino della Bank for International Settlements (BIS)

Un documento pubblicato dalla Bank for International Settlements chiede di dare alle persone un maggiore controllo sui propri dati raccolti da società e banche Big Tech, riferisce Reuters. La BSI ha affermato che le autorità dovrebbero adottare sistemi di governance dei dati per “rendere eque le condizioni di concorrenza tra interessati e responsabili del trattamento”, aggiungendo: “Quando i dati sono condivisi tra fornitori di dati e utenti di dati, il sistema di governance dei dati dovrebbe specificare quali dati sono richiesti per la condivisione, per quanto tempo saranno conservati dagli utenti dei dati e chi li elaborerà.

Big Tech data harvesting comes under fire by world central bank group

A paper published by the Bank for International Settlements calls for giving individuals more control over their data collected by Big Tech companies and banks, Reuters reports. The BIS said authorities should adopt data governance systems to “level the playing field between data subjects and data controllers,” adding, “When data are shared between data providers and data users, the data governance system should specify which data are requested for sharing, how long they will be retained by data users, and who will process them.”

reuters.com/technology/big-tec…

guidoscorza.it/privacy-daily-9…