Frequently Asked Questions
Consulta una rassegna di domande e risposte frequenti in materia di consulenza sul diritto digitale
FAQ consulenza specialistica
“Quando è necessario rivolgersi a un avvocato esperto privacy?”
“Quando è necessario rivolgersi a un avvocato esperto privacy?”
La disciplina sul trattamento dei dati personali presenta una rilevante complessità giuridica, per una combinazione di fattori:
- presenza di una normazione nazionale da coordinare continuamente con il livello superiore europeo
- rilevanza della giurisprudenza delle alte corti europee (Corte di giustizia e Corte EDU)
- presenza di un corpo imponente di disciplina istituzionale non vincolante, ma autorevole (si pensi alle linee guida EDPB o EDPS), talvolta disponibile solo in lingua inglese
- rapidi cambiamenti tecnologici che incidono sulle valutazioni giuridiche, intersezione tra normazioni (es., tra Data Act e GDPR, tra GDPR ed ePD)
In sostanza, se è vero che qualsiasi consulente può prestare assistenza, scegliere un avvocato di comprovata esperienza nel settore può rivelarsi decisivo.
Se sei un’impresa, devi garantire la sicurezza dei dati personali e la compliance normativa della tua attività al GDPR (e non solo). Un avvocato esperto in data protection è in grado di offriti il supporto necessario nella comprensione del rischio, nell’adozione di misure di sicurezza, nella redazione di policy aziendali, nella ristrutturazione dei processi di trattamento. Può assisterti nell’opposizione a provvedimenti sanzionatori del Garante e nei procedimenti in cui i profili privacy sono decisivi, ad esempio in materia giuslavoristica (controlli datoriali, videosorveglianza, rilevamento di dati biometrici, conservazione di log) o consumeristica (violazioni del consenso ai danni del consumatore).
Se sei un privato e ritieni che la tua privacy sia stata violata o che i tuoi dati personali siano trattati in maniera illecita o hai semplicemente bisogno di assistenza tecnica nel formulare una richiesta di accesso ai tuoi dati personali, un avvocato esperto privacy può offrirti l’aiuto di cui hai bisogno, costruendo con te la migliore strategia rimediale.
“Come scegliere il miglior avvocato privacy?”
“Come scegliere il miglior avvocato privacy?”
Non esistono classifiche sui migliori avvocati e neppure criteri per determinarle. Anzi, in generale è opportuno diffidare di chi espone certificati quali “Studio legale tra i migliori 100 dell’anno X”, “Il migliore studio italiano nel diritto digitale nell’anno X”, “Avvocato dell’anno X”, “Boutique di eccellenza anno X”.
Quello che il Cliente spesso ignora è che questi riconoscimenti vengono acquistati (leggere qui), non ottenuti attraverso una regolare competizione. Tipicamente, perciò, chi li espone o non può vantare titoli migliori rilasciati da soggetti pubblici oppure semplicemente si adegua a dinamiche di mercato che non riflettono reale preminenza contenutistica.
Assicurati di scegliere professionisti con un’etica solida, con una comprovata esperienza in materia di diritto digitale e tutela dei dati personali (basta una ricerca su Internet per verificare la reale presenza nel settore), che vanti titoli verificabili e pubblicazioni solide.
Due criteri semplici per riconoscere un professionista:
- prima di prestare assistenza, fornisce un preventivo completo e chiaro;
- non prospetta mai un procedimento come certamente vittorioso, ma espone con chiarezza (cioè in linguaggio piano) i punti di forza e di debolezza.
“Posso affidare la gestione della privacy a un avvocato esterno?”
“Posso affidare la gestione della privacy a un avvocato esterno?”
Sì, certamente! In ragione del tecnicismo che caratterizza la materia della privacy, sono moltissimi i professionisti e le aziende che scelgono di affidare la gestione della privacy a un avvocato privacy esterno per avere un’assistenza specializzata e continuativa, senza dover assumere personale interno.
“Quali servizi offre un avvocato privacy?”
“Quali servizi offre un avvocato privacy?”
Ecco alcuni esempi dei servizi più richiesti (in base alla nostra esperienza):
- Tutela della reputazione online (web reputation) attraverso strumenti di reazione appropriati, tra cui, ove applicabili, l’esercizio del diritto all’oblio, alla deindicizzazione, alla cancellazione dei dati personali
- Gestione della compliance al GDPR, v. FAQ successiva per maggiori dettagli
- Opposizione a ordinanza-ingiunzione del Garante
- Servizio DPO (RPD) esterno
- Assistenza nella gestione di accertamenti del Garante, nella contestazione di violazioni ai sensi dell’art. 166.5 Codice privacy, nell’irrogazione di sanzioni, inclusa quella accessoria della pubblicazione del provvedimento sul sito dell’Autorità
- Second opinion giuridiche
- Reclami al Garante per violazione dei diritti privacy
- Assistenza su data breach e sulla valutazione se sussistano le condizioni per procedere a notifica al Garante e a comunicazione agli interessati
- Formazione specialistica ai dipendenti e ai ruoli sociali
FAQ operative
“Quali documenti occorrono per la compliance GDPR?”
“Quali documenti occorrono per la compliance GDPR?”
Il nucleo minimo di documenti è il seguente:
- Informative (al plurale) idonee e aggiornate
- Nomine e istruzioni per gli autorizzati
- Gestione degli amministratori di sistema
- Misure di sicurezza adeguate al rischio
- Policy per la gestione di un data breach e altre policy rilevanti
- Registro dei trattamenti
- Contratti titolare – responsabili del trattamento
- Accordi con eventuali contitolari del trattamento
- Nomina del RPD – Responsabile della Protezione Dati (ossia il DPO), se obbligatoria od opportuna
Attenzione:
- Quelli indicati costituiscono solo gli incombenti indispensabili, ma una corretta compliance comprende di regola interventi più estesi
- I documenti vanno sottoposti ad aggiornamento periodico
- L’obiettivo non è la creazione di documenti ma il loro contenuto. In altre parole, i contenuti devono essere effettivi: la privacy è un metodo di lavoro, se resta pura forma non funziona
- L’adozione dei documenti deve essere preceduta da una data protection gap analysis, ossia da una mappatura della realtà aziendale e dei processi, diversamente si rischiano omissioni importanti, interventi inappropriati e disallineamenti con altri schemi e procedure interni
“Come posso sapere se la mia azienda è conforme al GDPR?”
“Come posso sapere se la mia azienda è conforme al GDPR?”
Il modo più diretto è quello di svolgere una data protection gap analysis o di effettuare un audit di terza parte dettagliato.
Il risultato atteso è quello di individuare criticità, proporre soluzioni pratiche, intervenire chirurgicamente sui processi interni, predisporre correttivi strutturali (ove necessari), ottimizzare la documentazione (riducendo sovrabbondanze), rivalutare le misure di sicurezza adeguate.
“Posso utilizzare i dati personali raccolti tramite il mio sito web?”
“Posso utilizzare i dati personali raccolti tramite il mio sito web?”
Dipende da come è stata formulata l’informativa e dal rispetto delle altre diposizione del GDPR. Risulta decisiva per esempio la finalità del trattamento e la base giuridica individuata.
Possiamo fornirti assistenza e supporto professionale nella predisposizione di corrette informative sul trattamento dei dati personali, nell’individuazione delle finalità lecite, nell’applicazione dei principi del trattamento (che costituiscono norme giuridiche a tutti gli effetti), nella gestione corretta delle basi giuridiche.
“Come gestire la privacy in ambito marketing?”
“Come gestire la privacy in ambito marketing?”
Il marketing è fondamentale per lo sviluppo e la crescita di ogni realtà economica. La privacy è, evidentemente, un aspetto cruciale da considerare, basti notare le regole per l’invio lecito di promozioni via mail sono diverse da quelle applicabili al telemarketing, solo per fare un esempio della complessità della disciplina applicabile.
Disporre di un patrimonio informativo sostanzialmente inutilizzabile perché in contrasto con la normativa costituisce uno spreco di risorse e innesca rischio sanzionatorio.
E’ rilevante notare che in questo particolare ambito trova applicazione non soltanto il GDPR ma anche la direttiva ePrivacy del 2002, recepita nel Codice privacy, che riconosce diritti non soltanto alle persone fisiche ma anche alle persone giuridiche.
Prima di intraprendere una campagna di marketing, ti consigliamo di verificare con un consulente esperto la liceità delle azioni che intendi intraprendere.
“Come gestire la privacy in caso di trasferimento dati all’estero?”
“Come gestire la privacy in caso di trasferimento dati all’estero?”
Il trasferimento di dati all’estero, e più precisamente in Paesi diversi dagli Stati membri dell’UE e dello Spazio Economico Europeo (SEE), richiede l’adozione di specifiche cautele nel rispetto del GDPR.
Occorre innanzitutto valutare se il Paese di destinazione offre un livello di protezione adeguato, in mancanza è necessario scegliere lo strumento più idoneo, come, ad esempio, le clausole contrattuali standard o le binding corporate rules, per garantire la sicurezza del trasferimento.
Affidati alla nostra consulenza per realizzare una TIA (Transfer Impact Assessment), ossia una valutazione dell’impatto sui diritti e le libertà che il trasferimento di dati può avere, e imposta con noi lo strumento adeguato per realizzare, ricorrendone le condizioni di legge, il complessivo trasferimento di dati personali.
“Quali sono i rischi principali per la “privacy online” e come posso proteggermi?”
“Quali sono i rischi principali per la “privacy online” e come posso proteggermi?”
La società dell’informazione offre enormi possibilità di sviluppo professionale e relazionale, espone tuttavia a un’ampia (e crescente) serie di rischi e di conseguenti danni.
Può trattarsi della compromissione o della sottrazione di dati personali, codici di accesso, documenti identificativi derivanti dalla violazione di sistemi informatici (es. piattaforme di home banking), e in generale da episodi di data breach, ma anche, più banalmente, di scraping generalizzato di dati pubblici. Anche lo scraping non generalizzato di dati può determinare nelle vittime rilevanti conseguenze reputazionali o svantaggi lavorativi.
Possono inoltre venire in considerazione scenari nei quali informazioni (es. codici di carte di credito, password) o denaro sono addirittura ceduti volontariamente ad esito di attacchi di phishing o di deepfake (si pensi anche a tipologie come le truffe BEC – Business Email Compromise). Questi schemi di aggressione risultano particolarmente insidiosi quando si accompagnano a dinamiche di “ingegneria sociale”, vale a dire a condotte manipolatorie costruite su meccanismi di affidamento e impersonificazione.
Anche la semplice fruizione di servizi online comporta strutturalmente il rischio di situazioni potenzialmente pregiudizievoli, come l’esposizione a fake news e più in generale a campagne manipolatorie, rese particolarmente efficaci quando sono alimentate e rafforzate da sistemi di raccomandazione. Occorre in questo caso prestare attenzione al coinvolgimento in fenomeni di trascinamento collettivo che possono determinare conseguenze di rilievo giuridico.
Sul piano del più diretto coinvolgimento della sfera personale, si può inoltre essere vittime di condotte favorite dallo strumento informatico, come cyberbullismo, revenge porn, deepafake diffamatorio o pornografico.
Quello esposto è solo un campione sommario di possibili pregiudizi, per così dire “nativi” dell’ambiente digitale. Possiamo fornirti assistenza sia in fase di prevenzione sia successivamente al loro verificarsi.
“Posso ottenere i miei dati personali da un’azienda?”
“Posso ottenere i miei dati personali da un’azienda?”
Sì. Puoi ottenere conferma che la struttura tratti i tuoi dati personali e puoi chiederne gratuitamente una copia esercitando il diritto di accesso ai dati personali. Possiamo supportati, se lo desideri, nella redazione di una richiesta di accesso.
“Come posso esercitare il diritto all’oblio?”
“Come posso esercitare il diritto all’oblio?”
Ricercare informazioni online, fare “googling” su qualcuno è una pratica molto diffusa in ambito lavorativo, professionale e relazionale. In questo contesto, è evidente che i dati presenti in rete (corretti o erronei che siano) diventano una componente non secondaria della reputazione.
In alcuni casi, è possibile ottenere l’eliminazione di informazioni pregiudizievoli, in altri quantomeno l’indicizzazione, in altri ancora una rettifica.
Le valutazioni giuridiche alla base di un’iniziativa di esercizio del diritto all’oblio/cancellazione/rettifica sono complesse, perché devono tenere conto di diritti concorrenti tutelati, quali il diritto di espressione e di informazione.
Abbiamo già aiutato molti clienti a rimuovere notizie negative o almeno a farne cessare l’indicizzazione sui motori di ricerca. Possiamo esaminare il caso che ci sottoponi e fornirti il nostro supporto professionale.
“Come posso proteggere i miei dati sui social media?”
“Come posso proteggere i miei dati sui social media?”
Per proteggere il tuo account sui social utilizza password complesse, diversificale per ogni account, abilita, ove possibile, l’autenticazione a due fattori.
Per ridurre il perimetro delle informazioni personali, condividine il meno possibile, benché le piattaforme social, per definizione, ti stimolino a farlo. Inoltre, definisci in modo rigoroso chi può vedere i tuoi post: non usare “visibile a tutti” come impostazione predefinita, a meno che tu non stia pubblicizzando un’attività professionale o commerciale.
Occorre tenere presente un elemento fondamentale: postare contenuti su una piattaforma vuol dire innanzitutto consegnarli gratuitamente a una multinazionale dello sfruttamento economico dei dati personali e solo in via mediata vuol dire renderli disponibili ai tuoi amici o conoscenti. Talvolta i proprietari delle piattaforme sono espliciti nel dichiarare che utilizzeranno le informazioni pubblicate per il proprio business (leggi l’articolo), altre volte meno (leggi l’articolo).
Infine quattro semplici consigli giuridici (e di buon senso)
- Foto di minori. Evita assolutamente lo sharenting
- Pubblicare foto di terzi (a parte le ipotesi consentite dalla normativa), senza il loro consenso
- Pubblicare numeri di telefono, recapiti postali, coordinate relative al tuo luogo di lavoro
- Pubblicare foto di una vacanza mentre sei ancora in vacanza: stai comunicando a malintenzionati che la tua casa è vuota
“Come redigere un modulo di consenso al trattamento dei dati?”
“Come redigere un modulo di consenso al trattamento dei dati?”
Un modulo per il consenso al trattamento dei dati personali deve essere redatto in maniera chiara, comprensibile e specifica e non ambigua. L’interessato deve poter rifiutare liberamente la propria adesione.
La richiesta di consenso deve essere preceduta da idonea informativa che deve contenere informazioni dettagliate previste dalla normativa, diversamente il consenso raccolto non sarebbe valido.
Inoltre, il modulo del consenso va separato da altre richieste di manifestazione di volontà civilistica.
La formulazione di moduli del consenso al trattamento dei dati inadeguati è ripetutamente oggetto di provvedimenti del Garante. Il nostro studio può aiutarti a predisporre in maniera conforme quanto necessario.
“Che cosa fare in caso di data breach?”
“Che cosa fare in caso di data breach?”
In caso di personal data breach, ove non sia improbabile un rischio per gli interessati, il GDPR impone al titolare del trattamento di notificare la violazione all’Autorità di controllo (per l’Italia, il Garante per la protezione dei dati personali) entro 72 ore dalla conoscenza dell’incidente.
Inoltre, se il rischio per i soggetti a cui i dati si riferiscono (gli interessati) è elevato, secondo una valutazione probabilistica, il titolare del trattamento deve procedere a comunicare l’incidente agli interessati. Nella comunicazione occorre suggerire in parole semplici una strategia di contenimento del rischio. Tale strategia, a seconda dei casi, potrà per esempio riguardare la modifica di password compromesse, potenzialmente utilizzate per altri servizi, che verrebbero così esposti a pericolo.
La gestione di un personal data breach è particolarmente complessa e deve avvenire in tempi molto compressi, il che rende pressoché inevitabile dotarsi, in via preventiva, di una policy di gestione dell’incidente, per essere conformi all’art. 24 GDPR.
IMPORTANTE: se ritieni di essere vittima di un personal data breach, è decisivo agire tempestivamente, facendoti assistere, ove non tu non disponga delle competenze adeguate, da professionisti di fiducia.
“Come gestire un data breach in 72 ore?””
“Come gestire un data breach in 72 ore?””
72 ore sono solo il termine per notifica della violazione al Garante per la protezione dei dati personali. La notifica può essere integrata successivamente. Le 72 ore decorrono dalla conoscenza che un certo evento è effettivamente un data breach, secondo la definizione del GDPR. Rispettare le 72 ore è fondamentale per non incorrere in sanzioni.
Fatte queste precisazioni, esiste una specifica lista di fattori che contribuiscono e sono talvolta decisivi per la notificazione tempestiva del data breach e per la sua corretta complessiva gestione:
- Disporre di una policy per la gestione di un data breach, che sia stata costruita su misura e contenga: procedure, tempistiche, soggetti coinvolti (chi fa cosa, come e quando)
- Disporre di una chiara catena di comando, di un consulente giuridico (DPO o altro professionista) e, se l’incidente interessa il sistema informatico, anche una figura IT di riferimento
- Avere allocato correttamente i ruoli di trattamento, stipulando contratti con i responsabili di trattamento che espressamente prevedano gli adempimenti in caso di data breach
- Investire nella formazione giuridica e tecnologica del personale, che deve essere edotto delle principali violazioni, dei rischi, di come comportarsi
- Avere adottato misure preventive di riduzione del perimetro di attacco, applicando per esempio la full disk encryption (FDE), la pseudonimizzazione o addirittura, ove possibile, l’anonimizzazione di categorie di dati personali. E’ altresì fondamentale la cancellazione tempestiva di dati non più necessari (osservanza dei termini di conservazione), la non acquisizione di dati non necessari (es., spesso vengono conservate nelle realtà aziendali copie non necessarie di documenti d’identità; oppure vengono acquisiti senza giustificazione dati biometrici), l’adozione del principio Least Privilege (o PoLP), l’utilizzo di autenticazione a 2 fattori (2FA), ecc.
- Avere chiari i flussi di dati e i processi, elemento favorito attraverso una mappatura e la regolare tenuta dei registri del trattamento
- Svolgere (se rilevante) penetration test e vulnerability assessment ricorrenti
FAQ assistenza Garante e assistenza giudiziale
“Come posso segnalare una violazione della privacy al Garante?”
“Come posso segnalare una violazione della privacy al Garante?”
Lo strumento principale è il reclamo, in alcuni casi potrai inviare una segnalazione.
Per inviare un reclamo o eventualmente effettuare una segnalazione al Garante per la protezione dei dati personali puoi procedere gratuitamente in autonomia, utilizzando la modulistica presente sul sito dell’Autorità e inviandola tramite posta elettronica ordinaria (protocollo@gpdp.it) o certificata (protocollo@pec.gpdp.it) oppure tramite posta ordinaria all’indirizzo Piazza Venezia n. 11 – 00187 Roma.
Se sei vittima di revenge porn o telemarketing selvaggio puoi utilizzare anche i canali online messi a disposizione dal Garante: https://servizi.gpdp.it/diritti/s/revenge-porn-scelta-auth, https://www.gpdp.it/web/guest/temi/telemarketing.
Tuttavia trattandosi di una materia estremamente tecnica complessa l’assistenza di un professionista con comprovata esperienza può essere un valido supporto nel rapporto con l’Autorità, siamo a tua disposizione per ogni esigenza.
“Come posso difendermi da un reclamo/segnalazione al Garante per la protezione dei dati personali?”
“Come posso difendermi da un reclamo/segnalazione al Garante per la protezione dei dati personali?”
Riscontrando le richieste del Garante e collaborando con l’Autorità. Se sei oggetto di un reclamo o di una segnalazione, possiamo fornirti la nostra assistenza per tutelare i tuoi diritti e gestire in maniera corretta ed efficace la situazione.
“Le sanzioni del Garante possono essere annullate?”
“Le sanzioni del Garante possono essere annullate?”
Sì, il tribunale competente può annullare le sanzioni del Garante, come anche le misure correttive. Può annullarle sia per ragioni procedurali, come il superamento dei termini decadenziali del Garante, sia per ragioni di merito.
“A quanto possono ammontare le sanzioni e come si fa a opporsi?”
“A quanto possono ammontare le sanzioni e come si fa a opporsi?”
Abbiamo predisposto un pratico vedemecum, che ti invitiamo a consultare.