di Piera Di Stefano "L’ICO evidenzia come la raccolta di dati tramite web-scraping sia un'attività di "elaborazione invisibile", in cui le persone non sono consapevoli che i loro dati personali vengono elaborati in questo modo, il che comporta la difficoltà delle stesse di avere il controllo su come e quali organizzazioni elaborano i loro dati personali e di esercitare i loro diritti".

E’ stato pubblicato nella Gazzetta Ufficiale 10 ottobre 2024, n. 238 il decreto legislativo che reca l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio, del 30 maggio 2022, relativo alla governance europea dei dati e che modifica il regolamento (UE) 2018/1724 (Data Governance Act - DGA).

Nel corso della sessione plenaria del mese di ottobre, il Comitato europeo per la protezione dei dati (EDPB - European Data Protection Board) ha adottato un parere che affronta questioni sull'interpretazione degli obblighi dei titolari del trattamento che si avvalgono di responsabili del trattamento e sub-responsabili, derivanti in particolare dall'articolo 28 del GDPR, nonché sulla formulazione dei contratti tra titolare del trattamento e responsabile del trattamento. Le questioni esaminate interessano sia il trattamento dei dati personali nello Spazio economico europeo (SEE) sia il trattamento a seguito di un trasferimento di dati in un Paese terzo.

Tutela dei consumatori - Trasparenza e tutela dell’utenza - Ricorso per l’ottemperanza della sentenza che aveva imposto ad Arera l’introduzione di misure di economicità della tariffa di trasporto del gas per i clienti finali altoconsumanti per il periodo regolatorio 2020/2023 nonché per la declaratoria di nullità e/o per l’annullamento della delibera ARERA n. 410/2023/R/gas con cui l’Autorità aveva concluso il procedimento per l’ottemperanza al giudicato senza l’adozione di alcuna misura - Accoglimento parziale - Obbligo di esecuzione del giudicato limitato alla data di pubblicazione (o di entrata in vigore se successiva) della Comunicazione della Commissione europea 2022/C 80/01 del 18 febbraio 2022 - Appello - Accoglimento parziale - Decisum vincolante l’Autorità all’adozione di criteri di economicità e di flessibilità a favore dei soggetti alto consumatori, come prescritto dall’art. 38, co. 2 bis, d.l. 83/2012 -Obbligo di Arera di dare attuazione all’art. 38, co. 2 bis, per tutto il periodo di vigenza della disposizione (non abrogata in via retroattiva).

di Claudia Dierna La Corte di Giustizia si è pronunciata su una domanda di pronuncia pregiudiziale presentata dal giudice austriaco nel contesto di una controversia tra Maximilian Schrems, un utente del social network Facebook, e la Meta Platforms Ireland Ltd, già Facebook Ireland Ltd, riguardo al trattamento asseritamente illecito dei suoi dati personali da parte della società. Si richiede quindi alla Corte se sia legittimo, in base al diritto eurounitario, l'utilizzo da parte del gestore della piattaforma dei dati personali ottenuti dall'interessato o da terzi, sulla piattaforma o aliunde, a fini di pubblicità mirata, senza limitazione temporale e senza distinzione basata sulla natura di tali dati, e se la circostanza che una persona si sia pubblicamente espressa sul proprio orientamento sessuale possa autorizzare tale gestore a trattare altri dati relativi all’orientamento sessuale per proporre alla stessa pubblicità personalizzata.

Trattamento dei dati personali - Dati bancari e finanziari - Impugnazione di decreti ministeriali e di pareri del Garante della protezione dei dati, quali provvedimenti nazionali con i quali l’amministrazione, sulla presupposta qualificazione del mandato fiduciario in termini di istituto giuridico affine al trust, assoggettava le società ricorrenti al regime di comunicazione e accesso alle informazioni relative alla titolarità effettiva di cui all’art. 21 D.Lgs. n. 231/2007 (Decreto antiriciclaggio) attuativo della IV e V Direttiva UE n. 2015/849 e novellato con D.Lgs. n. 125/2019 - Rigetto - Non rilevato alcun profilo di illegittimità in ordine al sistema di accesso da parte dei soggetti obbligati - Appello - Violazione degli artt. 30 e 31 della Direttiva per assenza di un ricorso giurisdizionale effettivo avverso la decisione di divulgazione delle informazioni personali che le norme europee garantiscono, dedotto che non sono previsti effettivi rimedi atti ad impedire la divulgazione dei dati prima della loro ostensione - Rinvio alla CGUE.

Trattamento dei dati personali - Dati bancari e finanziari - Impugnazione di decreti ministeriali e di pareri del Garante della protezione dei dati, deducendo il contrasto tra la normativa interna e la normativa unionale, l’illegittimità della stessa normativa unionale e, in ultimo, l’illegittimità dei provvedimenti e degli atti interni nella parte in cui hanno ricompreso i mandati stipulati dalle società fiduciarie tra gli istituti giuridici affini per assetto o per effetto ai trust, con conseguente obbligo di dare informazioni in ordine alla titolarità effettiva ai sensi dell’art. 31 della Direttiva (UE) n. 2015/849, nella versione attualmente vigente - Rigetto - Appello - Illegittima la disciplina sull’accesso nei confronti di soggetti diversi dalle autorità pubbliche e dai soggetti obbligati, per violazione del diritto alla vita privata e alla riservatezza ex artt. 7 e 8 della CDFUE - Non fondatezza - D.Lgs. n. 231/2007 - Deroghe alla protezione dei dati personali e limitazioni di questa operanti entro i limiti dello stretto necessario.

Trattamento dei dati personali - Diritto di accesso ex art. 15 Regolamento (UE) 2016/679 - Invio di un sms pubblicitario da parte di una società - Esercizio del diritto di accesso al fine di ottenere conferma del trattamento marketing in corso, copia dei dati personali e informazioni relative al trattamento - Decorso il termine di legge senza aver ricevuto alcun riscontro - Inadempimento alla richiesta di diritto di accesso senza indicazione delle ragioni - Illegittimo trattamento dei dati personali da parte della società convenuta non avendo ottenuto alcun consenso dal ricorrente per l’invio di comunicazioni commerciali, avendo predisposto una informativa privacy gravemente viziata, oltre che un sito internet caratterizzato da deficit di sicurezza informatica e banner cookie illegittimo.