L'articolo 13 della normativa sulla protezione dei dati personali (GDPR) è una disposizione legislativa sull'obbligo di informazione in caso di raccolta di dati personali dalla persona interessata. Questo articolo occupa un ruolo importante nel codice GDPR, poiché viene considerato come normativa per la dichiarazione dei trattamenti dei dati. Afferma:
Testo legislativo (il grassetto è stato aggiunto)
(1) Quando vengono raccolti dati personali presso la persona interessata, l'ente responsabile comunica alla persona interessata al momento della raccolta di tali dati quanto segue:
a) il nome e i dati di contatto del responsabile, nonché, se applicabile, di suo rappresentante;
eventualmente i dati di contatto del responsabile della protezione dei dati;
c) gli scopi, per cui i dati personali saranno trattati, nonché la base giuridica del trattamento;
d) se la trattativa si basa sull'articolo 6, comma 1, lettera f, i giusti interessi che vengono perseguiti dall'amministratore o da un terzo;
e) ove applicabile, i destinatari o le categorie di destinatari dei dati personali e
g) se del caso, l'intenzione del responsabile dei dati a trasferirli in un paese terzo o in un'organizzazione internazionale, nonché la presenza o meno di un parere di conformità della Commissione oppure, nel caso di trasferimenti ai sensi dell'articolo 46, dell'articolo 47 o dell'articolo 49 comma 1 secondo capoverso, una riferimento alle garanzie adeguate o opportune e la possibilità di ottenere una copia di esse, oppure dove sono disponibili. [Si intendono le trasmissioni in paesi terzi non sicuri, come gli Stati Uniti]
(2) Oltre alle informazioni di cui all'articolo 1, il responsabile fornisce al momento della raccolta di tali dati alla persona interessata le seguenti ulteriori informazioni, necessarie per garantire un trattamento equo e trasparente:
a) la durata, per cui i dati personali vengono conservati o, se ciò non è possibile, i criteri per la determinazione di tale durata;
b) l'esistenza di un diritto di accesso da parte del responsabile ai dati personali pertinenti nonché al rettificamento, alla cancellazione o all'archiviazione o al rifiuto dell'accesso e del diritto alla portabilità dei dati;
c) se la trattativa si basa sull'articolo 6, comma 1, lettera a o sull'articolo 9, comma 2, lettera a , il fatto che l'[Consenso] è stato espresso, il diritto di revocare la stessa in qualsiasi momento senza pregiudizio per la legittimità dei trattamenti effettuati sulla base dell'[Consenso] prima della sua revoca ([1]) ([2]) ;
d) l'esistenza del diritto di ricorso a un'autorità di controllo;
e) se la fornitura dei dati personali è obbligatoria per legge o contrattuale o necessaria per un accordo di contratto, se la persona interessata è tenuta a fornire i dati personali e quali conseguenze potrebbero derivare dalla non fornitura
f) l'esistenza di una decisione automatizzata compresa il profilo in base all'articolo 22, commi 1 e 4 e – almeno in questi casi – informazioni significative sulla logica coinvolta nonché sull'estensione e sugli effetti desiderati di tale trattamento per la persona interessata. ([1])
(3) Se il responsabile intende trattare i dati personali per una finalità diversa da quella per cui sono stati raccolti, fornisce alla persona interessata, prima di tale ulteriore trattamento, informazioni su tale altra finalità e su tutte le altre informazioni rilevanti ai sensi del paragrafo 2.
(4) I commi 1, 2 e 3 non si applicano se e nella misura in cui la persona interessata è già in possesso delle informazioni.
Termini frequenti (normalizzati): Dati(12), personalizzato(10), trattamento(8), interessato(7), Persona(7), Responsabile del trattamento(6), Informazione(6), Finalità(3).
Note
Come Art. 5 comma 1 b GDPR specifica, le informazioni sui motivi devono essere fornite ai sensi del precedente comma 1 c "per scopi definiti, univoci e legittimi". In Art. 5 comma 1 a GDPR è richiesta la trattazione legale che deve avvenire in buona fede. In combinazione con la sentenza del Tribunale di giustizia dell'Unione europea su Planet49, si ottiene quindi che (almeno) per i cookie non tecnici sia necessario indicare i motivi. I cookies trattano sempre dati personali, come ho riscontrato nella mia indagine.
In Art. 13 comma 1 e della GDPR non esiste una vera scelta, ovvero la possibilità di nominare gli destinatari dei dati o le categorie di destinatari. Al contrario, i destinatari devono essere nominati in modo il più possibile specifico. Un responsabile può nominare delle categorie di destinatari se ciò risulta utile per informare una persona interessata (ad esempio, per fornire un quadro più chiaro). In particolare, ciò può bastare quando si forniscono generali e vaghe indicazioni sulla protezione dei dati. Se invece una persona interessata chiede esplicitamente i destinatari precisi, essi devono essere nominati in modo assolutamente concreto (cfr. Buona condotta di WhatsApp, ad esempio, paragrafi 426f), poiché un responsabile deve conoscere i destinatari. Si veda anche le osservazioni in Art. 15 GDPR e le relative citazioni.
| "I principi di un trattamento equo e trasparente rendono necessario informare la persona interessata sull'esistenza dell'operazione di trattamento e sui suoi scopi. Il responsabile deve fornire alla persona interessata tutte le ulteriori informazioni necessarie, tenendo conto delle circostanze specifiche e del contesto in cui i dati personali vengono trattati, al fine di garantire un trattamento equo e trasparente." |
Un modello per i testi standard può essere tratto dalla mia dichiarazione di privacy. I testi devono essere adattati alle esigenze individuali. Il responsabile del sito web su cui vengono utilizzati i testi standard è personalmente responsabile.
Anche interessante
- Generalmente GDPR
- L'articolo 5 della GDPR: Principi per la trattazione dei dati ([1])
- L'articolo 6 della GDPR: le basi legali del trattamento ([1])
- L'art. 7 della GDPR: Condizioni per la consapevolezza ([1])
- L'articolo 15 della GDPR: diritto di accesso ([1])
- L'articolo 26 del Regolamento generale sulla protezione dei dati (GDPR): Responsabilità condivisa ([1])
Principali punti chiave di questo articolo
Se i tuoi dati vengono raccolti, devi essere informato su chi li possiede, per quale motivo sono necessari e a chi potrebbero essere comunicati.
Quando le aziende memorizzano dati di persone, devono informare tali persone per quale scopo vengono utilizzati i dati, per quanto tempo vengono conservati e quali diritti hanno (ad esempio, il diritto di visionare, correggere o cancellare i dati).
Se elaborerai dati, dovrai informare le persone interessate su chi esattamente riceverà tali dati.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
