Paniere domande

✅ C. Il «mero interesse commerciale» del responsabile del trattamento (data processor) non è una delle 6 basi giuridiche dell'art. 6 GDPR. Il responsabile tratta per conto del titolare, che deve avere una propria base giuridica. ❌ A: contratto (art. 6 c.1 lett. b) è base valida. ❌ B: obbligo legale (art. 6 c.1 lett. c) è base valida. ❌ D: legittimo interesse (art. 6 c.1 lett. f) è base valida (con bilanciamento).

✅ B. Il diritto alla cancellazione si esercita quando: i dati non sono più necessari allo scopo, il consenso è revocato (e manca altra base), si è opposto ex art. 21, trattamento illecito, obbligo legale. Ma ha eccezioni: obbligo legale di conservazione, interesse pubblico, ricerca scientifica, difesa in giudizio. ❌ A: non è assoluto. ❌ C: si applica a qualsiasi dato personale, non solo online. ❌ D: si applica anche ad altre basi giuridiche, non solo al consenso.

✅ C. Art. 33 GDPR: notifica al Garante entro 72 ore dalla scoperta, quando il breach è «suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche». Breach senza rischio = solo documentazione interna. ❌ A: 24 ore non è il termine GDPR. ❌ B: 48 ore non è il termine (era proposto in bozza ma non adottato). ❌ D: 30 giorni è il termine tipico per notifiche agli interessati in altri ambiti (NIS2), non al Garante GDPR.

✅ B. I 3 casi obbligatori per il DPO (art. 37 GDPR): 1) Autorità/organismo pubblico; 2) Trattamento su larga scala di categorie speciali (art. 9) o dati penali (art. 10); 3) Monitoraggio sistematico su larga scala degli interessati. ❌ A: il numero di dipendenti non è criterio GDPR per il DPO. ❌ C: il trasferimento extra-UE richiede garanzie (cap. V), non un DPO obbligatorio per questo. ❌ D: il data breach passato non genera obbligo di DPO.

✅ B. Art. 25 GDPR: «data protection by design and by default» → la privacy deve essere considerata fin dall'inizio della progettazione, non aggiunta dopo. Le impostazioni di default devono essere le più protettive (minimizzazione). ❌ A: l'afterthought approach è esattamente ciò che il principio vieta. ❌ C: l'utente può personalizzare, ma il default deve essere protettivo. ❌ D: raccogliere tutto e anonimizzare dopo viola il principio di minimizzazione.

✅ B. Art. 20 GDPR: l'interessato può ricevere i propri dati in formato strutturato (es. JSON, CSV) e trasmetterli direttamente a un altro titolare, quando il trattamento è basato su consenso o contratto ed è automatizzato. ❌ A: la portabilità riguarda i dati, non il trasferimento territoriale. ❌ C: il formato leggibile da macchina è l'opposto del cartaceo. ❌ D: il FOIA (D.Lgs. 33/2013) è un istituto diverso (accesso civico generalizzato).

✅ B. La DPIA è richiesta per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, sorveglianza sistematica di zone pubbliche, nuove tecnologie. Il Garante pubblica liste di trattamenti che richiedono sempre DPIA. ❌ A: il numero 100 non è una soglia GDPR. ❌ C: la nomina di responsabili richiede un contratto (art. 28), non una DPIA. ❌ D: la modifica dell'informativa non richiede automaticamente una DPIA.

✅ B. Titolare (Controller): decide perché e come trattare i dati → responsabilità primaria. Responsabile (Processor): tratta per conto del titolare, seguendo le istruzioni contrattuali (art. 28). ❌ A: entrambi possono essere persone fisiche o giuridiche. ❌ C: il responsabile è spesso un fornitore esterno (es. cloud provider, società di marketing). ❌ D: hanno responsabilità distinte e diversi obblighi GDPR.

✅ B. Capitolo V GDPR: i trasferimenti extra-UE sono leciti se: 1) Decisione di adeguatezza della Commissione (es. UK, Svizzera, Giappone); 2) Garanzie appropriate: Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), codici di condotta. ❌ A: la popolazione non è criterio GDPR. ❌ C: HTTPS cifra la trasmissione ma non costituisce una base giuridica per il trasferimento. ❌ D: il volume di dati non è rilevante.

✅ B. La minimizzazione vieta la raccolta di dati «per ogni evenienza» (data hoarding). I dati devono essere strettamente necessari alla finalità dichiarata. ❌ A: è l'opposto del principio. ❌ C: la durata di conservazione è il principio di «limitazione della conservazione» (art. 5 lett. e), non di minimizzazione; 10 anni non è un termine fisso GDPR. ❌ D: l'anonimizzazione è consigliata ma non obbligatoria entro 30 giorni.

L'art. 37 GDPR stabilisce che tutti gli enti pubblici (autorità e organismi pubblici) devono designare obbligatoriamente un DPO, indipendentemente dal tipo di trattamento o dimensione.

La pseudonimizzazione (art. 4 n.5 GDPR) sostituisce gli identificativi diretti con alias, ma i dati rimangono personali perché la re-identificazione è possibile con le informazioni aggiuntive. Diversa dall'anonimizzazione (irreversibile).

Art. 35 GDPR: la DPIA è obbligatoria per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, videosorveglianza su larga scala. Il Garante pubblica liste di casi obbligatori.

Artt. 44-49 GDPR: i trasferimenti extra-UE richiedono: decisione di adeguatezza (es. UK, Giappone, USA con DPF), garanzie adeguate (clausole contrattuali standard, BCR, codici di condotta), o deroghe specifiche.

Art. 83(5) GDPR: le violazioni più gravi comportano sanzioni fino a 20M€ o 4% del fatturato mondiale annuo. Le violazioni meno gravi (art. 83(4)) prevedono fino a 10M€ o 2%.

Art. 33 GDPR: il titolare notifica il data breach all'autorità di controllo entro 72 ore dalla scoperta, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

L'art. 9 GDPR elenca le categorie speciali che richiedono protezione rafforzata: origine razziale/etnica, opinioni politiche, convinzioni religiose/filosofiche, appartenenza sindacale, dati genetici, biometrici identificativi, dati sanitari, vita/orientamento sessuale.