Nota del Curatore . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . VII Prefazione di Augusta Iannini. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . IX Introduzione di Guido Alpa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . XI Il curatore. Gli autori . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . XXI Parte I LIBERA CIRCOLAZIONE E PROTEZIONE DEI DATI PERSONALI, DALLA DIRETTIVA 95/46/CE AL REGOLAMENTO (UE) 2016/679 Capitolo Primo PRIVACY IS NOT DEAD: IT’S HIRING! di Rocco Panetta 1.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 1.2. Dalla Direttiva 95/46 CE al Regolamento UE 679/2016 . . . . . . . . . . . . . . . 7 1.3. Dal Regolamento europeo alle leggi di adeguamento: le ragioni di una scelta . . . 11 1.4. L’impatto del GDPR sul mercato . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 1.4.1. Ambito di applicazione del GDPR: applicazione materiale e soggettiva della normativa. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 1.4.2. Il profilo giuridico del titolare e del responsabile del trattamento . . . . . 17 1.4.3. Dalla ineluttabilità del consenso e dei suoi presupposti “equipollenti”, all’equiparazione delle basi giuridiche dei trattamenti . . . . . . . . . . . . 20 1.4.4. Il Data Protection Officer e il virtuosismo dell’accountability. . . . . . . . . 22 1.4.5. La cartina di tornasole della compliance: la Data Protection Impact Assessment (DPIA) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 1.4.6. Privacy by design, tra Intelligenza Artificiale e umanesimo . . . . . . . . . . 28 1.4.7. Il problema del trattamento rispetto alle finalità di marketing e di profilazione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30 1.5. Le responsabilità e le relative sanzioni dal GDPR al d.lgs. n. 101/2018. . . . . . . 34 1.5.1. Le sanzioni amministrative . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 1.5.2. Le sanzioni penali . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 1.5.3. Chi risponde delle violazioni. . . . . . . . . . . . . . . . . . . . . . . . . . . 37 1.5.4. Le responsabilità del DPO . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 Capitolo Secondo OGGETTO E FINALITÀ: UN NUOVO STATUTO GIURIDICO DEI DATI PERSONALI di Ludovica Durst 2.1. Oggetto e finalità . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41 2.2. Le ragioni di una riforma dibattuta . . . . . . . . . . . . . . . . . . . . . . . . . . . 48 2.3. Lo strumento del Regolamento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52 2.4. La rinnovata importanza della libera circolazione dei dati e il futuro della protezione dei dati personali . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58 Capitolo Terzo IL TRATTAMENTO DI CATEGORIE PARTICOLARI DI DATI IN AMBITO SANITARIO di Ludovica Durst 3.1. Le categorie particolari di dati nel Regolamento europeo . . . . . . . . . . . . . . . 65 3.2. Il trattamento di dati in ambito sanitario: tipologia e presupposti di liceità . . . . 70 3.3. La disciplina di adeguamento: i dati in ambito sanitario nel d.lgs. n. 101/2018 . . 75 Capitolo Quarto IL LEGITTIMO INTERESSE DEL TITOLARE O DI UN TERZO NEL QUADRO DEI DIVERSI PRESUPPOSTI DI LEGITTIMITÀ DEL TRATTAMENTO di Clizia D’Agata 4.1. Brevi note introduttive . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81 4.2. I presupposti di legittimità del trattamento ai sensi del RGPD: l’art. 6 e i casi in cui il bilanciamento degli interessi è effettuato direttamente dal legislatore . . . . . . . 82 4.3. Il legittimo interesse: test di bilanciamento . . . . . . . . . . . . . . . . . . . . . . . 85 4.3.1. L’individuazione di un “legittimo interesse” . . . . . . . . . . . . . . . . . . 88 4.3.2. L’impatto sui diritti degli interessati . . . . . . . . . . . . . . . . . . . . . . 90 4.4. Le “ulteriori garanzie” adottate dal titolare e gli eventuali “benefici” per l’interessato. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92 4.5. Le deroghe al consenso (art. 24 del Codice) non espressamente contemplate dal RGPD: possibili soluzioni interpretative . . . . . . . . . . . . . . . . . . . . . . . . . 95 Capitolo Quinto L’INFORMATIVA AGLI INTERESSATI E IL CONSENSO AL TRATTAMENTO di Selvaggia Fausta Giovannangeli 5.1. Informativa e consenso: un modello da mantenere? . . . . . . . . . . . . . . . . . . 99 5.2. La “nuova” informativa ai sensi del GDPR . . . . . . . . . . . . . . . . . . . . . . . 119 5.3. I principi di trasparenza e controllo, tra modalità per informare e validità del consenso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128 5.4. Alcune considerazioni di chiusura . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138 Capitolo Sesto RUOLI E FUNZIONI PRIVACY PRINCIPALI AI SENSI DEL REGOLAMENTO di Adriano D’Ottavio 6.1. Premessa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143 6.2. Titolarità . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146 6.2.1. Il titolare come “servizio” . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146 6.2.2. Esercizio di attività a carattere personale o domestico . . . . . . . . . . . . 147 6.2.3. Il titolare del trattamento. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148 6.2.4. Titolarità del trattamento nei gruppi imprenditoriali . . . . . . . . . . . . . 155 6.2.5. Contitolarità . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157 6.3. Il rafforzamento del ruolo del responsabile del trattamento . . . . . . . . . . . . . 160 6.3.1. La nomina del responsabile del trattamento sulla base di un contratto individuale . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162 6.3.2. La nomina del responsabile del trattamento sulla base di clausole contrattuali tipo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165 6.3.3. Specifici obblighi e responsabilità in capo al responsabile. Brevi cenni . . 167 6.3.4. Dubbi interpretativi: responsabile interno o esterno? Brevi cenni . . . . . 167 6.4. La figura del sub-responsabile . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169 6.5. I rappresentanti di titolari e responsabili non stabiliti nell’Unione europea. . . . . 173 6.6. Figure in discussione: incaricati del trattamento e amministratori di sistema . . . . 178 6.6.1. Gli incaricati del trattamento . . . . . . . . . . . . . . . . . . . . . . . . . . 179 6.6.2. Gli amministratori di sistema . . . . . . . . . . . . . . . . . . . . . . . . . . 181 Capitolo Settimo IL DIRITTO DI ACCESSO AI DATI PERSONALI E IL DIRITTO DI RETTIFICA di Davide Montanaro 7.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185 7.2. Il diritto di accesso tra passato e presente. . . . . . . . . . . . . . . . . . . . . . . . 186 7.2.1. Il diritto di accesso come diritto fondamentale . . . . . . . . . . . . . . . . 187 7.2.2. Il diritto di accesso nella Direttiva Madre . . . . . . . . . . . . . . . . . . . 188 7.3. Il diritto di accesso come “colonna portante” dei diritti dell’interessato . . . . . . 188 7.4. Le modalità di riscontro al diritto di accesso . . . . . . . . . . . . . . . . . . . . . . 190 7.5. I limiti all’esercizio dei diritti nel Codice Privacy . . . . . . . . . . . . . . . . . . . . 194 7.6. La correttezza delle informazioni: il diritto di rettifica. . . . . . . . . . . . . . . . . 195 7.7. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197 Capitolo Ottavo IL DIRITTO ALLA CANCELLAZIONE di Adele Berti Suman 8.1. Le caratteristiche del diritto all’oblio: un diritto di origine pretoria . . . . . . . . . 199 8.2. La sentenza “Google Spain” e le sue evoluzioni . . . . . . . . . . . . . . . . . . . . 202 8.3. Il diritto alla cancellazione nel GDPR e nel Codice Privacy . . . . . . . . . . . . . 209 Capitolo Nono IL DIRITTO ALLA LIMITAZIONE DEL TRATTAMENTO di Gianmarco Cristofari 9.1. La ratio del diritto alla limitazione . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215 9.2. Origini e predecessori del diritto alla limitazione. . . . . . . . . . . . . . . . . . . . 217 9.3. Casi e modalità del diritto alla limitazione . . . . . . . . . . . . . . . . . . . . . . . 218 9.4. L’obbligo di notifica ai sensi dell’art. 19. . . . . . . . . . . . . . . . . . . . . . . . . 220 9.5. Limitazioni derivanti dal decreto di armonizzazione . . . . . . . . . . . . . . . . . . 221 Capitolo Decimo IL DIRITTO ALLA PORTABILITÀ DEI DATI di Lorella Bianchi 10.1. Premessa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223 10.2. La portabilità come strumento di maggior controllo sui propri dati: nozione e modalità di esercizio . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224 10.3. Il diritto alla portabilità dei dati nel raffronto con altri diritti, in particolare quello di accesso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226 10.4. Primi orientamenti interpretativi: le linee guida del WP29 ed alcuni aspetti problematici della nuova disciplina. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 228 10.5. Quale via per l’interoperabilità? L’importanza della standardizzazione . . . . . . . 234 10.6. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236 Capitolo Undicesimo IL DIRITTO DI OPPOSIZIONE E LA REVOCA DEL CONSENSO di Marta Fraioli 11.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239 11.2. Il diritto di opposizione e la revoca del consenso: alleati contro un nemico comune?. 239 11.3. Diritto di opposizione e marketing . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242 11.4. Il diritto di opposizione nella ricerca scientifica . . . . . . . . . . . . . . . . . . . . 243 11.5. Le novità del d.lgs. n. 101/2018 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 11.6. Rapporto con il diritto di cancellazione . . . . . . . . . . . . . . . . . . . . . . . . . 245 Capitolo Dodicesimo LA TUTELA DEI DATI PERSONALI DEI MINORI di Giovanna Capilli 12.1. Il rapporto tra età e capacità ad esprimere il consenso . . . . . . . . . . . . . . . . 247 12.2. Minori e consenso alla luce dell’art. 8 del GDPR . . . . . . . . . . . . . . . . . . . 253 12.3. Le modalità di prestazione del consenso al trattamento dei dati da parte di minori di età nel Regolamento comunitario . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 12.4. La “capacità anticipata” del quattordicenne introdotta dal decreto legislativo 10 agosto 2018, n. 101. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256 12.5. Le scelte di alcuni Stati membri sul consenso del minore. Cenni di diritto comparato . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258 12.6. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259 Capitolo Tredicesimo IL TRASFERIMENTO ALL’ESTERO DEI DATI di Sabina Kirschen 13.1. Premessa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261 13.2. Gli impatti del Regolamento sui flussi transfrontalieri dei dati . . . . . . . . . . . . 265 13.3. Il mantenimento della decisione di adeguatezza come modello standard per il trasferimento all’estero dei dati . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 268 13.4. Efficacia ed onerosità delle “garanzie adeguate” ex art. 46 del Regolamento (UE). 272 13.5. Le clausole tipo e le Bcr . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274 13.6. Il regime derogatorio. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283 Parte II LE NOVITÀ DEL REGOLAMENTO: TRA APPROCCIO ORIENTATO AL RISCHIO E NUOVI ISTITUTI Capitolo Quattordicesimo PRIVACY-BY-DESIGN, L’INTRODUZIONE DEL PRINCIPIO NEL CORPUS DEL GDPR di Federico Sartore 14.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 14.2. Ratio ed elementi costitutivi del principio . . . . . . . . . . . . . . . . . . . . . . . . 296 14.3. La Privacy-by-Design nel Regolamento . . . . . . . . . . . . . . . . . . . . . . . . . . 299 14.4. Il significato di “progettazione” nella Privacy-by-Design . . . . . . . . . . . . . . . . 301 14.5. Possibili strategie di Privacy-by-Design . . . . . . . . . . . . . . . . . . . . . . . . . . 303 14.6. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 307 Capitolo Quindicesimo IL DILEMMA (ANCORA APERTO) DELL’ANONIMIZZAZIONE E IL RUOLO DELLA PSEUDONIMIZZAZIONE NEL GDPR di Carolina Foglia 15.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309 15.2. Il dilemma dell’anonimizzazione tra irreversibilità e rischio. . . . . . . . . . . . . . 311 15.3. La posizione del Regolamento sull’anonimizzazione: novità esplicite e letture “tra le righe”. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 316 15.4. Il ruolo della pseudonimizzazione nel GDPR. . . . . . . . . . . . . . . . . . . . . . 319 15.5. L’analisi del modello U.S. come motivo di riflessione . . . . . . . . . . . . . . . . . 324 15.6. L’evolversi dell’approccio fondato sul rischio: un percorso intrapreso. . . . . . . . 328 Capitolo Sedicesimo LA VALUTAZIONE D’IMPATTO NEL GDPR di Federico Sartore 16.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333 16.2. La valutazione di impatto: origine ed elementi costitutivi . . . . . . . . . . . . . . . 335 16.3. Criteri di riferimento e fattispecie rilevanti in chiave DPIA. . . . . . . . . . . . . . 338 16.4. Possibili scelte metodologiche per l’effettuazione di una DPIA . . . . . . . . . . . 342 16.5. Il coinvolgimento dell’Autorità — la consultazione preventiva . . . . . . . . . . . . 344 Capitolo Diciassettesimo LA “NUOVA” FIGURA DEL RESPONSABILE DELLA PROTEZIONE DEI DATI PERSONALI E LE SUE CARATTERISTICHE di Laura Ferola 17.1. Il responsabile della protezione dei dati personali: un nuovo protagonista del sistema di protezione dei dati personali . . . . . . . . . . . . . . . . . . . . . . . . . 347 17.2. Un adempimento di non facile interpretazione: quando si rende obbligatoria la designazione del RPD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 351 17.3. La posizione del RPD nelle diverse realtà economiche e istituzionali . . . . . . . . 356 17.4. I compiti del RPD: una funzione di garanzia per titolare e responsabile del trattamento, nonché per interessati e autorità di controllo . . . . . . . . . . . . . . 359 17.5. I rapporti con il titolare e il responsabile del trattamento: quello strano (o mancato?) riparto di responsabilità. . . . . . . . . . . . . . . . . . . . . . . . . . . . 360 Capitolo Diciottesimo I CONTROLLI AZIENDALI E LE INDAGINI DIFENSIVE di Maria Panetta 18.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 367 18.2. Controlli difensivi. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 368 18.3. Indagini difensive . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 372 18.4. I diritti degli interessati e le indagini difensive . . . . . . . . . . . . . . . . . . . . . 374 18.5. Le novità nel settore delle investigazioni difensive apportate dalle Regole deontologiche . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 375 Capitolo Diciannovesimo LA VIOLAZIONE DI DATI O DATA BREACH di Selvaggia Fausta Giovannangeli 19.1. Il data breach come patologia cronicizzata della società dell’informazione . . . . . 381 19.2. La rinnovata importanza delle misure di sicurezza . . . . . . . . . . . . . . . . . . . 392 19.3. La notifica di un data breach all’Autorità . . . . . . . . . . . . . . . . . . . . . . . . 401 19.4. La comunicazione di un data breach all’interessato. . . . . . . . . . . . . . . . . . . 419 19.5. Spunti critici per gestire un fenomeno preoccupante . . . . . . . . . . . . . . . . . 427 Parte III ENFORCEMENT E REGIME SANZIONATORIO Capitolo Ventesimo IL RUOLO DEL GARANTE ALL’ALBA DEL GDPR: VERSO UN’AUTORITÀ di Mario Erminio Malagnino 20.1. Il nuovo ruolo del Garante della Privacy nel GDPR . . . . . . . . . . . . . . . . . . 435 20.2. Le modifiche al Codice della Privacy e la funzione del Garante . . . . . . . . . . . 437 20.3. Il rischio sotteso alle diverse modalità di attuazione delle nuove norme . . . . . . 439 20.4. Un parallelismo con la responsabilità amministrativa . . . . . . . . . . . . . . . . . 440 20.5. Verso una nuova valutazione della responsabilità? . . . . . . . . . . . . . . . . . . . 442 Capitolo Ventunesimo LA RESPONSABILITÀ CIVILE NEL TRATTAMENTO DEI DATI PERSONALI di Francesco Bilotta 21.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445 21.1.1. L’art. 82 del Regolamento . . . . . . . . . . . . . . . . . . . . . . . . . . . . 447 21.2. La natura giuridica della responsabilità . . . . . . . . . . . . . . . . . . . . . . . . . 450 21.3. L’illiceità del trattamento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 454 21.4. L’ambito soggettivo della fattispecie: i danneggiati. . . . . . . . . . . . . . . . . . . 455 21.4.1. L’ambito soggettivo della fattispecie: i danneggianti . . . . . . . . . . . . . 457 21.5. L’accountability e l’imputabilità dell’evento dannoso. . . . . . . . . . . . . . . . . . 460 21.6. Il danno risarcibile . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 462 21.7. Profili processuali: la prova dell’esclusione dell’imputabilità e il termine di prescrizione dell’azione risarcitoria . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 466 Parte IV L’IMPATTO DEL REGOLAMENTO SUI MERCATI Capitolo Ventiduesimo IL TRATTAMENTO DEI DATI IN AMBITO BANCARIO E FINANZIARIO di Rosa Mattera 22.1. Il trattamento dei dati personali in ambito bancario e finanziario: le posizioni del Garante per la protezione dei dati personali e il Provvedimento in materia di tracciamento degli accessi ai dati bancari (Provvedimento n. 192/2011) . . . . . . 471 22.2. Dubbi e criticità . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 474 22.3. Il nuovo Regolamento europeo in materia di protezione dei dati personali (2016/679) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 474 22.4. Cosa cambia rispetto al Codice della Privacy? . . . . . . . . . . . . . . . . . . . . . 479 22.5. Protezione dei dati nel settore finance&banking e sicurezza informatica . . . . . . 480 22.6. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 482 Capitolo Ventitreesimo QUALI ORIZZONTI PER IL MARKETING? di Michela Massimi 23.1. Premessa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 483 23.1.1. La normativa ePrivacy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 486 23.1.2. I soggetti interessati . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 489 23.2. Il marketing nel nuovo Regolamento: il consenso dell’interessato . . . . . . . . . . 491 23.2.1. Il legittimo interesse del titolare . . . . . . . . . . . . . . . . . . . . . . . . . 494 23.3. Marketing e comunicazioni elettroniche . . . . . . . . . . . . . . . . . . . . . . . . . 498 23.3.1. Il c.d. soft-spam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 500 23.4. Il telemarketing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 502 23.5. Conclusioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 505 Capitolo Ventiquattresimo IL CLOUD COMPUTING di Alessandro Mantelero 24.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 509 24.2. Il contratto di cloud computing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 510 24.3. Le criticità applicative . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 515 24.4. Gli autori del trattamento ed il modello cloud . . . . . . . . . . . . . . . . . . . . . 517 24.4.1. L’organizzazione dei ruoli . . . . . . . . . . . . . . . . . . . . . . . . . . . . 520 24.4.2. La contrattualizzazione dei rapporti . . . . . . . . . . . . . . . . . . . . . . 523 24.5. Diritti ed obblighi delle parti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 526 Capitolo Venticinquesimo LA VIDEOSORVEGLIANZA E IL CONTROLLO DEL LAVORATORE di Mario de Bernart 25.1. I sistemi di “videosorveglianza” e la crescita costante del loro utilizzo. La mancanza di una normativa organica . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 531 25.2. Gli interventi di carattere generale del Garante per la protezione dei dati personali in tema di videosorveglianza . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 534 25.3. La protezione dei dati personali e la disciplina lavoristica dei controlli a distanza dell’attività dei lavoratori. L’utilizzo dei sistemi di videosorveglianza . . . . . . . . 539 25.4. La riforma del mercato del lavoro (c.d. “Jobs Act”) e le novità in tema di controllo a distanza dell’attività dei lavoratori e protezione dei dati personali . . . . . . . . . 543 25.4.1. La videosorveglianza dopo il “Jobs Act” . . . . . . . . . . . . . . . . . . . . 545 25.5. I trattamenti di dati mediante sistemi di videosorveglianza alla luce del Regolamento UE 2016/679 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 547 25.5.1. Brevi cenni sul Regolamento . . . . . . . . . . . . . . . . . . . . . . . . . . . 547 25.5.2. La flessibilità normativa per i Paesi membri in materia di lavoro . . . . . . 552 25.5.3. Gli impianti di videosorveglianza e la necessità di un “approccio proporzionato”. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 553 25.6. Il decreto legislativo per l’adeguamento della normativa nazionale al Regolamento. 556 Capitolo Ventiseiesimo INTERNET OF THINGS (IOT) di Alessandro Mantelero e Giuseppe Vaciago 26.1. Introduzione. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 561 26.2. Conseguenze dell’affermarsi dell’Internet of Things ed implicazioni giuridiche. . . 562 26.2.1. Contrattualizzazione e “softwarizzazione” . . . . . . . . . . . . . . . . . . . 568 26.3. Alcuni scenari applicativi: IoT e domotica . . . . . . . . . . . . . . . . . . . . . . . 569 26.3.1. (Segue). IoT e autonomous car . . . . . . . . . . . . . . . . . . . . . . . . . . 572 26.3.2. (Segue). IoT e prevenzione del crimine . . . . . . . . . . . . . . . . . . . . . 574 26.4. Una contrapposizione apparente . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 576 Capitolo Ventisettesimo LE NUOVE FRONTIERE DELLA SANITÀ E DELLA RICERCA SCIENTIFICA di Silvia Melchionna e Francesca Cecamore 27.1. Impatto del Regolamento nel mondo sanitario e della ricerca . . . . . . . . . . . . 579 27.2. Sanità e nuove tecnologie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 597 27.3. Il futuro della sanità digitale: limiti e prospettive. . . . . . . . . . . . . . . . . . . . 608 27.4. Uno sguardo alla ricerca: i registri di patologia. . . . . . . . . . . . . . . . . . . . . 613 Capitolo Ventottesimo CODICI DEONTOLOGICI E GDPR di Teresa Annecca 28.1. Premessa. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 621 28.2. I codici deontologici nella normativa nazionale. . . . . . . . . . . . . . . . . . . . . 625 28.3. I codici di condotta introdotti dal regolamento europeo . . . . . . . . . . . . . . . 628 28.4. La cooperazione tra le autorità nazionali e le istituzioni europee. . . . . . . . . . . 629 28.5. Codici di condotta e certificazioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . 630 28.6. Una panoramica sui codici di deontologia e di buona condotta nazionali . . . . . 632 28.6.1. Sistemi di informazione creditizia: il codice deontologico SIC . . . . . . . 632 28.6.2. Il codice deontologico in materia di informazioni commerciali . . . . . . . 634 28.7. Le novità introdotte dal decreto legislativo n. 101/2018. . . . . . . . . . . . . . . . 635 28.8. Le “Regole deontologiche varate dal Garante” . . . . . . . . . . . . . . . . . . . . . 637 28.8.1. Provvedimenti di valutazione della conformità dei codici di deontologia . 640 Capitolo Ventinovesimo I BIG DATA TRA PROTEZIONE DEI DATI PERSONALI E DIRITTO DELLA CONCORRENZA di Tommaso Mauro 29.1. La tecnologia dei dati nell’era dell’innovazione digitale . . . . . . . . . . . . . . . . 643 29.2. Cosa sono i Big Data? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 651 29.3. La protezione dei dati personali dalle origini ai Big Data . . . . . . . . . . . . . . . 655 29.4. I Big Data tra privacy e concorrenza: due facce della stessa medaglia . . . . . . . . 661