Protezione dei dati a Monaco: CCIN, Legge n. 1.165 e dati personali

Panoramica

Monaco dispone di un quadro normativo completo sulla protezione dei dati personali dal 1993, anno di approvazione della Legge n. 1.165 del 23 dicembre 1993 relativa alla protezione delle informazioni nominative (Loi n. 1.165 relative à la protection des informations nominatives). Questa legge, successivamente modificata — in particolare dalla Legge n. 1.462 del 28 giugno 2018 — offre un quadro ampiamente comparabile al Regolamento Generale sulla Protezione dei Dati (GDPR) dell'Unione Europea, sebbene Monaco non sia membro dell'UE o del SEE e non sia direttamente soggetto al GDPR.

L'autorità indipendente di controllo responsabile della protezione dei dati a Monaco è la CCIN (Commission de Contrôle des Informations Nominatives).

La CCIN

La CCIN è l'autorità monegasca per la protezione dei dati, istituita dalla Legge n. 1.165. Opera in modo indipendente ed è incaricata di:

• Ricevere ed esaminare le dichiarazioni e le richieste di autorizzazione dei titolari del trattamento
• Istruire i reclami degli interessati
• Condurre verifiche e ispezioni sulle attività di trattamento dei dati
• Emettere raccomandazioni, diffide e sanzioni
• Fornire consulenza al Governo in materia di protezione dei dati

La CCIN è composta da membri nominati con Ordinanza Sovrana. Le sue decisioni e raccomandazioni sono pubblicate e consultabili su ccin.mc.

Legge n. 1.165 — principi fondamentali

La legge monegasca sulla protezione dei dati stabilisce principi analoghi a quelli del GDPR:

Liceità e limitazione delle finalità

I dati personali devono essere trattati in modo lecito e per finalità determinate, esplicite e legittime. I dati non devono essere oggetto di trattamento ulteriore incompatibile con tali finalità.

Minimizzazione dei dati

Possono essere raccolti e trattati solo dati adeguati, pertinenti e non eccedenti rispetto alla finalità.

Esattezza

I titolari del trattamento devono adottare misure ragionevoli per garantire che i dati personali siano esatti e, ove necessario, aggiornati. I dati inesatti devono essere rettificati o cancellati.

Limitazione della conservazione

I dati personali non devono essere conservati oltre il tempo necessario alle finalità per le quali sono stati raccolti. Periodi di conservazione specifici possono applicarsi a seconda del settore.

Sicurezza

I titolari del trattamento devono implementare misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita o distruzione.

Diritti degli interessati

Le persone i cui dati sono trattati a Monaco godono dei seguenti diritti:

• Diritto di accesso — il diritto di ottenere conferma dell'esistenza di un trattamento e di accedere ai propri dati.
• Diritto di rettifica — il diritto di far correggere dati personali inesatti.
• Diritto alla cancellazione — il diritto di richiedere la cancellazione dei dati personali in determinate circostanze.
• Diritto di opposizione — il diritto di opporsi al trattamento per motivi legittimi.
• Diritto all'informazione — i titolari del trattamento devono informare gli interessati del trattamento dei loro dati, incluse le finalità e i destinatari.

Gli interessati esercitano questi diritti contattando direttamente il titolare del trattamento. In caso di risposta insoddisfacente, è possibile presentare reclamo alla CCIN.

Obblighi per le imprese

Dichiarazione e autorizzazione

Prima di avviare qualsiasi trattamento di dati personali, i titolari del trattamento stabiliti a Monaco devono depositare una dichiarazione (déclaration) presso la CCIN. Alcune categorie di trattamento — in particolare quelle riguardanti dati sensibili, biometrici o profilazione su larga scala — richiedono l'autorizzazione preventiva della CCIN.

Questo sistema di dichiarazione/autorizzazione è una delle differenze notevoli rispetto al modello GDPR, che si basa generalmente sulla responsabilizzazione e sulla tenuta dei registri piuttosto che sull'approvazione preventiva.

Responsabile della protezione dei dati

Sebbene non sempre obbligatoria nel diritto monegasco, la nomina di un responsabile della protezione dei dati (correspondant à la protection des données) è fortemente raccomandata per le organizzazioni che trattano volumi significativi di dati personali. La CCIN fornisce indicazioni sui casi in cui la nomina è consigliabile.

Trasferimento di dati all'estero

I trasferimenti di dati personali al di fuori di Monaco sono consentiti solo verso paesi o organizzazioni che garantiscono un livello di protezione adeguato. La CCIN valuta l'adeguatezza dei regimi di protezione dei dati stranieri. Per i trasferimenti verso giurisdizioni prive di protezione adeguata, devono essere predisposte garanzie specifiche — come clausole contrattuali approvate dalla CCIN.

Notifica di violazione dei dati

I titolari del trattamento devono notificare alla CCIN le violazioni dei dati personali che possano comportare un rischio per i diritti e le libertà degli interessati. La notifica deve avvenire senza indebito ritardo.

Sanzioni

La CCIN ha il potere di imporre sanzioni amministrative per violazioni della Legge n. 1.165, tra cui:

• Diffide formali (mise en demeure)
• Ordini di cessazione del trattamento
• Divieti temporanei o definitivi di trattamento
• Sanzioni pecuniarie

Inoltre, possono applicarsi sanzioni penali ai sensi del Codice penale monegasco per le violazioni gravi, tra cui il trattamento illecito di dati, l'inosservanza degli ordini della CCIN e la violazione degli obblighi di sicurezza.

Rapporto con il GDPR

Sebbene Monaco non sia soggetto al GDPR, le modifiche del 2018 alla Legge n. 1.165 hanno avvicinato il diritto monegasco agli standard europei. In pratica, molte imprese monegasche che interagiscono con clienti o partner dell'UE scelgono di conformarsi anche al GDPR oltre che al diritto monegasco.

La Commissione Europea non ha emesso una decisione di adeguatezza formale riguardo a Monaco, il che significa che i trasferimenti di dati tra UE e Monaco possono richiedere garanzie specifiche ai sensi del diritto europeo.

Consigli pratici

• Le imprese che trattano dati personali a Monaco devono depositare una dichiarazione presso la CCIN prima di iniziare qualsiasi trattamento.
• Consultate le pubblicazioni della CCIN su ccin.mc per le raccomandazioni settoriali.
• Se la vostra impresa serve clienti dell'UE, valutate la doppia conformità al diritto monegasco e al GDPR.
• Rispondete prontamente alle richieste di accesso degli interessati — la CCIN prende seriamente i reclami per mancata risposta.
• Mantenete un registro delle vostre attività di trattamento e delle misure di protezione dei dati adottate.