Professionisti titolari o responsabili del trattamento dati.

Il 26 settembre u.s. si è svolta a Milano la giornata conclusiva del Forum nazionale dei commercialisti ed esperti contabili. In tale occasione, la tavola rotonda dedicata agi adempimenti "privacy" ha fornito importanti risposte allo stato dell'arte, che potranno riguardare anche il mondo delle professioni. In particolare, è emersa per il professionista la possibilità di essere, nel rapporto con il cliente, un titolare del trattamento oppure un responsabile del trattamento. Si rammenta, a tal proposito, che i più importanti temi riguardanti l'attività svolta dai professionisti contabili sono tre: se, nei confronti dei loro clienti, sono titolari o responsabili del trattamento; se devono nominare un responsabile della protezione dei dati dai loro clienti; se possono essere nominati responsabili della protezione dai loro clienti. Nell'occasione, è intervenuta Giovanna Bianchi Clerici, componente del garante per la protezione dei dati personali, che ha delineato due possibilità: il professionista contabile è titolare del trattamento nei rapporti con un cliente persona fisica, mentre è responsabile esterno se il cliente è una persona giuridica. Gli esperti sull'applicazione del regolamento Gdpr per i lavoratori autonomi hanno poi delineato due ipotesi: se il commercialista svolge attività per conto del cliente (titolare) e non ha autonoma capacità decisionale sulle informazioni trasmesse (ad esempio gestione libri paga), deve essere nominato responsabile ai sensi dell'articolo 28 del Regolamento (UE) 2016/679. Diversamente, se il professionista ha, in relazione alle attività concretamente da svolgere, ampio margine di manovra all'utilizzo dei dati personali (come, per esempio, quando deve difendere un cliente innanzi alla Commissione tributaria) non può essere nominato, poiché agisce come autonomo titolare. Trattasi di una linea interpretativa che risale alle linee guida dei Garanti europei (WP29) n. 1/2010, che mantiene la sua validità. In ottemperanza all'articolo 30 del Gdpr, la nomina a responsabile implica necessariamente la sottoscrizione di un apposito contratto e la stesura, da parte del professionista, del registro del trattamento del responsabile esterno. Quanto invece all'obbligo di nomina di un Dpo (responsabile della protezione dei dati), il garante della privacy ha dato un'indicazione di massima per cui lo studio singolo non deve nominare il Dpo. Più precisamente, è il dato dimensionale a fungere da criterio distintivo: se lo studio professionale lavora con persone giuridiche, non deve essere nominato un Dpo; al contrario, se lo studio lavora con persone fisiche, allora bisogna valutare la necessità di nominare un Dpo.

Il 19 settembre entra in vigore il D.Lgs. n. 101/2018 “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale dei dati)”. A partire da tale data, tutti gli operatori pubblici e privati avranno a disposizione gli elementi necessari ai fini del corretto adempimento agli obblighi di cui al Regolamento Privacy già pienamente efficace dal 25 maggio 2018. In particolare, in ambito sanzionatorio, il termine per usufruire del “condono” - ovvero per effettuare il pagamento in misura ridotta (due quinti del minimo edittale) delle sanzioni che, al 25 maggio 2018 (data di operatività del Gdpr), non erano state ancora definite con ordinanza-ingiunzione -  è fissato per il 18 dicembre p.v.. Diversamente, per effettuare il pagamento nel caso non si sia aderito al “condono”, ci sarà tempo fino al 16 febbraio 2019.

Il termine del 18 dicembre 2018 è fissato anche per l’autorità giudiziaria al fine di trasmettere a quella amministrativa competente, gli atti dei procedimenti penali relativi ai reati trasformati in illeciti amministrativi. Nei prossimi mesi e sempre entro la data sopra citata, infine, il Garante verificherà  la compatibilità con il Gdpr delle autorizzazioni generali ed eventualmente le aggiornerà, per poi sottoporle a consultazione pubblica. Tali autorizzazioni dovranno essere adottate entro 60 giorni dalla chiusura della consultazione e pubblicate sulla Gazzetta Ufficiale; da quel momento cesseranno di produrre effetti le vecchie autorizzazioni generali.

Il 21 marzo u. s. il Consiglio dei Ministri, su proposta del Presidente Paolo Gentiloni e del Ministro della giustizia Andrea Orlando, ha approvato, in esame preliminare, un decreto legislativo che, in attuazione dell’art. 13 della legge di delegazione europea 2016/2017 (L. n. 163/2017), introduce disposizioni per l’allineamento della normativa nazionale alle disposizioni contenute nel Regolamento Privacy (UE) 2016/679, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati). A far data dal 25 maggio 2018, data in cui le disposizioni di diritto europeo acquisteranno efficacia, il vigente Codice in materia di protezione dei dati personali (D.Lgs. n. 196/2003), sarà abrogato; la nuova disciplina in materia sarà rappresentata principalmente dalle disposizioni del Regolamento (UE) 2016/679 immediatamente applicabili, e da quelle recate dallo schema di decreto in commento, volte ad armonizzare l’ordinamento interno al nuovo quadro normativo dell’Unione Europea in tema di tutela della privacy.

L’articolo in commento delinea il nuovo quadro sanzionatorio in materia di antiriciclaggio alla luce del recepimento da parte del Comando Generale della Guardia di Finanza, della recente direttiva del Ministero dell’Economia delle Finanze – Dipartimento del Tesoro -  n. 1/2018 del 27/11/2017, in relazione ala disciplina applicabile in caso di accertamento delle violazioni di cui al D.Lgs. n. 231/2007, così come modificato dal D.Lgs. n. 90/2017. In particolare, la circolare in commento pone l’accento sull'importanza di ricostruire “i comportamenti illeciti sui quali si fondono le irregolarità accertate, nonché gli elementi di fatto a supporto della configurazione della condotta sanzionata nell'ipotesi di “base” ovvero in quella “qualificata” o anche, limitatamente ai casi di inosservanza degli obblighi di adeguata verifica e conservazione di “minor gravità”. Il documento del Tesoro (prot. n. 54071) accluso nella Circolare, evidenzia tre diverse fattispecie di reato: l’omessa segnalazione di operazione sospette, l’inadempimento degli obblighi di adeguata verifica (per le quali è prevista l’applicazione del principio del “favor rei” se le violazioni risalgono a prima dell’entrata in vigore del D.Lgs. n. 90/2017), e l’inadempimento degli obblighi di conservazione (reato introdotto con il D.Lgs. n. 90/2017 e quindi soggetto solo alla nuova disciplina). D’altro canto, la Guardia di Finanza precisa che per le violazioni poste in essere prima del 4 luglio 2017, data dell’entrata in vigore del D.Lgs. n. 90/2017, sarà comunque l’amministrazione “procedente” a determinare, nel caso concreto, la disciplina applicabile in “ossequio al principio” del “più favorevole”, tendendo conto del regime sanzionatorio previsto prima e dopo l’introduzione della nuova normativa. Per l’inadempimento degli obblighi commessi, invece, successivamente all'entrata in vigore del Decreto sopra menzionato, troveranno applicazione solo le nuove disposizioni sanzionatorie.

Con la sentenza del 19 ottobre 2017, n. 24675, le Sezioni Unite della Cassazione si sono espresse in merito al delicato tema dell’usura sopravvenuta. Tale meccanismo si realizza quando il tasso di interesse previsto dal contratto di finanziamento o di mutuo al momento della stipula, supera in un periodo successivo il tasso soglia di usura così come definito dalla legge n. 108/1996. Sul punto si erano sinora delineate due indirizzi giurisprudenziali differenti: il primo, a cui si era unito in un secondo momento anche l’ABF con soluzioni estranee alla tradizione, stabiliva la nullità delle clausole contrattuali e conseguente sostituzione del tasso usurario con il tasso soglia ovvero, seppure in sporadici casi, l’azzeramento del tasso da applicare; il secondo, riteneva in caso di superamento del tasso-soglia nel corso del finanziamento, non configurabile l’usura sopravvenuta per i contratti conclusi in data anteriore a quella dell’entrata in vigore della L. 108/96. Ed è proprio in quest’ultimo senso, che le Sezioni Unite intervenute a risolvere suddetto contrasto, hanno enucleato il principio in base al quale “allorché il tasso dell’interesse concordato tra mutuante e mutuatario superi, durante lo svolgimento del rapporto, il limite dell’usura come definito dalla legge n. 108/1996, non si verifica la nullità o l’inefficacia della clausola contrattuale di determinazione del  tasso degli interessi stipulata anteriormente all'entrata in vigore della predetta legge, o della clausola stipulata successivamente  per un tasso non eccedente tale soglia, quale risultante al momento della stipula; né la pretesa del mutuante di riscuotere gli interessi secondo il tasso validamente concordato può essere qualificata, per il solo fatto del sopraggiunto superamento di tale soglia, contraria al dovere di buona fede nell'esecuzione del contatto”. Pertanto, sebbene il presente orientamento delle Sezioni Unite non escluda la possibilità che la questione possa essere sottoposta nuovamente alla Consulta sotto il profilo della legittimità costituzionale, ad oggi il mutuante non potrà pretendere dall'intermediario la restituzione delle somme versate in eccedenza.

Da "Il Sole 24 Ore del 10 Agosto 2017".

Dal 25 maggio 2018 sarà efficace in tutti i Paesi UE il Regolamento europeo sulla protezione dei dati: REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati). Il Provvedimento in esame costituisce un rafforzamento dei principi contenuti nell'attuale legge italiana sulla privacy (L. n. 196/2003) e del vigente apparato sanzionatorio, e detta nuove norme in tema di trattamento dei dati. Tra le maggiori novità, l’istituzione del DPO (Data Protection Officer), quale Responsabile della protezione dati con funzioni di controllo del trattamento alla luce della natura, dell’ambito dei applicazione, del contesto e delle finalità (obbligatoria per determinati soggetti e trattamenti); il diritto all'oblio informatico, limitato soltanto in taluni specifici casi, come ad esempio per garantire l’esercizio della libertà di espressione o il diritto di difesa in sede giudiziaria o, per tutelare un interesse generale come ad esempio la salute pubblica; l’obbligo di notificare all'autorità garante entro un termine di 72 ore ogni fuga di dati o violazione di sistema (c.d. data breach). Quanto alle aziende, diventa obbligatorio per le imprese con più di 250 dipendenti, l’istituzione di un registro delle attività di trattamento, da aggiornare costantemente e conservare, per poter dare prova di aver considerato ogni aspetto in caso di contenziosi o semplici richieste. Pertanto, tali società dovranno adottare procedure atte a garantire la massima chiarezza circa le finalità del trattamento, non solo avendo riguardo al possibile esercizio dei diritti da parte dei soggetti interessati che hanno affidato loro i dati, ma anche alle autorità garanti dei diversi Paesi UE che nel nuovo assetto normativo, diventano soggetti centrali nel vigilare sul rispetto della disciplina.