Autorità per la protezione dei dati
Autorità per la protezione dei dati
L’Autorità austriaca per la protezione dei dati (DSB) è l’autorità di controllo centrale per la protezione dei dati personali in Austria. Controlla il rispetto del Regolamento generale sulla protezione dei dati (GDPR) e della legge austriaca sulla protezione dei dati (DSG), decide sui reclami, avvia procedimenti di verifica, impone sanzioni e rappresenta l’Austria nel Comitato europeo per la protezione dei dati. Il suo compito è garantire i diritti fondamentali, prevenire gli abusi e obbligare le aziende e le autorità a rispettare gli obblighi in materia di protezione dei dati.
L’Autorità per la protezione dei dati è l’autorità di controllo statale per la protezione dei dati personali in Austria.
Compiti e competenze
L’Autorità per la protezione dei dati svolge un’ampia gamma di attività, tutte volte a proteggere i dati personali:
- Gestione dei reclami delle persone interessate
- Svolgimento di procedimenti di verifica d’ufficio
- Decisione in procedimenti sanzionatori amministrativi e imposizione di multe
- Ricezione e controllo delle notifiche di violazioni della protezione dei dati (Data Breaches)
- Procedure di approvazione, ad esempio per codici di condotta o organismi di certificazione
- Pareri su progetti di legge
Pertanto, è il punto di riferimento centrale per soggetti interessati, aziende e responsabili della protezione dei dati.
Definizione di protezione dei dati
La protezione dei dati è il diritto fondamentale di decidere autonomamente chi elabora quali informazioni su una persona. I dati personali sono tutte le informazioni che si riferiscono a una persona specifica o che rendono identificabile una persona, come nome, indirizzo, numero di telefono, indirizzo e-mail, ma anche foto, indirizzi IP o dati sanitari.
Protezione dei dati non significa che non si possono elaborare dati. Significa che l’elaborazione è consentita solo in presenza di chiare condizioni legali e che le persone interessate hanno ampi diritti. Questi diritti proteggono dagli abusi e offrono la possibilità di esercitare il controllo sui propri dati.
Diritti delle persone interessate
Ogni persona può chiedere all’Autorità per la protezione dei dati che i suoi diritti fondamentali siano rispettati. Il GDPR prevede a tal fine un chiaro insieme di diritti:
- Diritto all’informazione: prima di ogni trattamento dei dati, le persone interessate devono essere informate in modo chiaro e completo.
- Diritto di accesso: ogni persona interessata ha il diritto di sapere quali dati sono memorizzati e per quale scopo.
- Diritto di rettifica e cancellazione: i dati errati devono essere corretti, i dati non ammissibili devono essere cancellati.
- Diritto alla limitazione del trattamento: a determinate condizioni, il trattamento può essere continuato solo in modo limitato.
- Diritto di opposizione: è possibile opporsi in qualsiasi momento a determinati trattamenti di dati.
- Diritto alla portabilità dei dati: le persone interessate possono richiedere che i loro dati siano trasferiti a loro stessi o a un’altra azienda in un formato comune.
- Diritto alla protezione da decisioni automatizzate: nessuno deve essere svantaggiato esclusivamente a causa di procedure automatizzate.
Questi diritti non sono solo di natura teorica, ma possono essere fatti valere – se necessario, nel procedimento di reclamo dinanzi all’Autorità per la protezione dei dati.
Obblighi delle aziende
Le aziende e le autorità sono obbligate a implementare la protezione dei dati non solo sulla carta, ma anche nella pratica. Tra gli obblighi essenziali rientrano:
- Base giuridica del trattamento: ogni trattamento di dati deve basarsi su una base legale, come un consenso o un contratto.
- Obblighi di trasparenza: le persone interessate devono essere chiaramente informate su cosa succede ai loro dati.
- Misure tecniche e organizzative (TOM): la sicurezza IT e i processi organizzativi devono essere strutturati in modo tale che i dati siano protetti da perdita, abuso o accesso non autorizzato.
- Registri delle attività di trattamento: le aziende devono documentare in modo comprensibile quali dati elaborano.
- Notifica delle violazioni della protezione dei dati: gli incidenti di sicurezza devono essere segnalati all’Autorità per la protezione dei dati entro 72 ore.
- Svolgimento di valutazioni d’impatto sulla protezione dei dati: in caso di trattamenti ad alto rischio, deve essere effettuata un’analisi dettagliata.
Violazione della protezione dei dati personali
Ai sensi del GDPR, si verificano violazioni della protezione dei dati personali quando, a causa di una sicurezza insufficiente, si verifica una modifica, cancellazione, divulgazione o perdita non autorizzata di dati. Ciò può verificarsi a causa di:
- Distruzione, perdita o modifica di dati personali
- Accesso o divulgazione non autorizzati – ad esempio, a causa di attacchi di hacker, invio di supporti dati a destinatari errati o archiviazione non sicura
- Divulgazione accidentale di dati – ad esempio, a causa di archiviazione o trasmissione non sicura
- Ciò vale indipendentemente dal fatto che l’incidente sia avvenuto intenzionalmente o involontariamente
Esempi che possono costituire una tale violazione:
- Perdita di dati a causa di file o chiavette USB non crittografati
- Attacco di hacker a database di clienti
- E-mail indirizzate erroneamente contenenti dati personali
- Documenti personali visibili pubblicamente per errore
Questi fatti possono portare direttamente a rischi, tra cui furto di identità, danni alla reputazione o danni finanziari per le persone interessate
Procedimento dinanzi all’Autorità per la protezione dei dati
Il procedimento dinanzi all’Autorità per la protezione dei dati è formalizzato e può avere diverse forme:
Procedura di reclamo
Le persone interessate possono presentare un reclamo all’Autorità per la protezione dei dati se ritengono che qualcuno stia elaborando illegalmente i loro dati personali. Questa procedura è relativamente semplice.
La procedura:
- La persona interessata presenta un reclamo per iscritto – tramite modulo, e-mail o posta.
- L’Autorità per la protezione dei dati verifica se il reclamo è formalmente ammissibile.
- Al resistente – di solito un’azienda o un’autorità – viene chiesto di esprimere il proprio parere.
- Segue l’accertamento dei fatti, eventualmente con domande o audizioni integrative.
- Alla fine c’è una decisione dell’Autorità per la protezione dei dati, con la quale respinge il reclamo o lo accoglie e ordina misure correttive.
Per le persone interessate, questa procedura è la possibilità più importante per far valere i propri diritti derivanti dal GDPR.
Verifiche d’ufficio
L’Autorità per la protezione dei dati non dipende solo dai reclami, ma può agire anche d’ufficio. Ciò accade soprattutto quando ci sono indicazioni di violazioni sistematiche o lacune di sicurezza.
Particolarità:
- La procedura inizia senza la richiesta di una persona interessata.
- Le persone che segnalano non hanno lo status di parte e non vengono informate del risultato.
- L’Autorità per la protezione dei dati verifica autonomamente se ci sono violazioni e, se necessario, ordina misure.
Le verifiche d’ufficio hanno un forte effetto preventivo, poiché aumentano la pressione su aziende e autorità affinché garantiscano la protezione dei dati non solo in modo reattivo, ma continuo.
Procedimento sanzionatorio amministrativo
Se l’Autorità per la protezione dei dati accerta una violazione, può avviare un procedimento sanzionatorio amministrativo. L’obiettivo è obbligare le aziende e gli enti pubblici a porre fine alle violazioni e a imporre sanzioni tangibili.
Le possibili sanzioni sono:
- Multe fino a 20 milioni di euro o al 4% del fatturato annuo mondiale,
- Ordinanze per interrompere o adeguare i trattamenti di dati,
- Ammonimenti e oneri.
L’importo di una multa dipende dalla gravità, dalla durata e dall’intenzionalità della violazione. Anche le violazioni precedenti o il comportamento collaborativo nella procedura giocano un ruolo.
Peter HarlanderHarlander & Partner Rechtsanwälte „Wer Verfahren vor der Datenschutzbehörde auf die leichte Schulter nimmt, riskiert nicht nur hohe Geldbußen, sondern auch den Verlust von Vertrauen und Reputation.“
Ricorso
Le decisioni dell’Autorità per la protezione dei dati avvengono tramite decisione. Contro queste decisioni, le persone interessate possono ricorrere al Tribunale amministrativo federale (BVwG).
- Il BVwG verifica la decisione sotto l’aspetto giuridico e fattuale.
- Contro la sua decisione, in determinate circostanze, è possibile presentare un ricorso al Tribunale amministrativo (VwGH) o un reclamo alla Corte costituzionale (VfGH).
In questo modo si garantisce che le decisioni dell’Autorità per la protezione dei dati siano soggette a un controllo giudiziario a più livelli.
Scegli subito la data desiderata:Colloquio gratuitoDimensione internazionale
La protezione dei dati non è più una questione nazionale. L’Autorità per la protezione dei dati collabora con altre autorità di controllo europee e fa parte del Comitato europeo per la protezione dei dati (EDSA). Partecipa a casi transfrontalieri, concorda le decisioni nell’ambito della procedura di coerenza ed esprime pareri sui trasferimenti internazionali di dati, ad esempio negli Stati Uniti.
Libertà di informazione
Oltre alla protezione dei dati, anche la libertà di informazione sta acquisendo importanza. Con la nuova legge sulla libertà di informazione (IFG), l’Autorità per la protezione dei dati assumerà in futuro il ruolo di punto di riferimento per le questioni relative alla trasparenza e all’accesso alle informazioni ufficiali.
Questi obblighi non sono facoltativi. La loro violazione porta regolarmente a indagini e, nel peggiore dei casi, a multe salate.
I suoi vantaggi con il supporto legale
Un procedimento dinanzi all’Autorità per la protezione dei dati comporta notevoli sfide sia per le persone interessate che per le aziende. Le persone interessate rischiano di non far valere pienamente i propri diritti senza un accompagnamento professionale. Le aziende, a loro volta, si trovano ad affrontare non solo multe elevate, ma anche danni all’immagine e costosi adeguamenti dei propri processi. A ciò si aggiunge il fatto che le procedure sono fortemente formalizzate e contengono complessi requisiti legali, difficili da gestire senza un supporto specialistico.
Un accompagnamento legale da parte di uno studio legale specializzato offre sicurezza e garantisce che i vostri interessi siano rappresentati professionalmente fin dall’inizio. Potete beneficiare di una solida esperienza nel diritto della protezione dei dati e di una rappresentanza coerente nei confronti dell’autorità.
- verifica se il rispettivo tema giuridico è applicabile al vostro caso
- vi accompagna durante l’intera procedura o lo svolgimento
- garantisce una progettazione e un’attuazione giuridicamente sicure di tutte le fasi necessarie
- supporta nel calcolo, nell’attuazione o nella difesa delle pretese
- tutela i vostri diritti e interessi nei confronti di tutte le parti coinvolte
Sebastian RiedlmairHarlander & Partner Rechtsanwälte „Datenschutz wird oft unterschätzt, dabei entscheidet die richtige Strategie im Umgang mit der Datenschutzbehörde über Erfolg oder Misserfolg.“
