Principes directeurs du décret de 2018 sur la protection des données personnelles. Suite à notre article du 11 septembre, nous examinons aujourd'hui les principes directeurs du décret de 2018 sur la protection des données personnelles, qui harmonise la législation nationale avec le règlement (UE) n° 679/2016. La phase initiale de mise en œuvre repose sur le principe de flexibilité et, pour les PME, de simplification des obligations des responsables du traitement des données. Cette mise en œuvre doit s'effectuer selon les méthodes les plus simplifiées préconisées par l'Autorité italienne de protection des données (Garante), conformément au règlement (UE) n° 679 et au Code de la protection des données personnelles. Voir le nouvel article 154 bis, paragraphe 4, du Code de la protection des données personnelles. Cette disposition instaure une mise en œuvre progressive de la législation, prenant en compte les besoins des petites et moyennes entreprises qui constituent une part importante de l'économie italienne. Le principe de flexibilité justifie, à titre transitoire, le régime de sanctions applicable aux violations des obligations précisées par le décret de conformité. Les entreprises s'exposent ainsi à des amendes administratives allant de 10 à 20 millions d'euros, ou de 2 % à 4 % de leur chiffre d'affaires annuel mondial. Conformément à l'article 22, paragraphe 13, du décret, pendant les huit premiers mois suivant son entrée en vigueur, l'Autorité de protection des données tiendra compte, aux fins de l'application des sanctions administratives et dans la mesure compatible avec les dispositions du Règlement (UE), de la première application des dispositions relatives aux sanctions. L'Autorité est chargée d'adopter les sanctions prévues à l'article 83, paragraphe 4, du RGPD, à l'issue d'une procédure engagée soit par elle-même, soit par le dépôt d'une plainte spécifique, soit par des inspections ou visites effectuées par la Guardia di Finanza. En cas de sanction, l'entreprise peut présenter sa défense ou demander une audience auprès de l'Autorité de protection des données dans un délai de trente jours à compter de la notification de la violation alléguée. L'article 24, paragraphe 1, du décret 101 s'inspire également du principe de faveur rei (loi de faveur). Ce principe prévoit, même pour les violations commises avant son entrée en vigueur le 19 septembre, l'application des dispositions qui, par leur abrogation, ont remplacé les sanctions pénales prévues par le Code de la protection des données personnelles par les sanctions administratives prévues par le Règlement de l'UE, à condition que la procédure pénale n'ait pas abouti à un jugement ou une décision irrévocable. Le principe de responsabilité, quant à lui, régit les dispositions les plus directement liées au traitement des données, telles que le nouvel article 101.2-septies, qui, concernant les données génétiques, biométriques et de santé, indique à l'Autorité de protection des données les critères à suivre pour la mise en place de garanties. Ces garanties doivent également préciser les mesures de sécurité à mettre en œuvre, notamment les techniques de chiffrement et de pseudonymisation, les mesures de minimisation des données, les procédures spécifiques d'accès sélectif aux données et d'information des personnes concernées, ainsi que toute autre mesure nécessaire pour garantir les droits des personnes concernées. À cet égard, plus les indications fournies par l'Autorité de protection des données concernant les mesures de sécurité sont précises, plus il sera facile pour les responsables du traitement de remplir leurs obligations. Le nouvel article 132-ter s'inspire également du même principe, imposant aux fournisseurs de services de communications électroniques accessibles au public d'adopter des mesures techniques et organisationnelles adaptées au risque existant, ainsi que l'obligation d'informer les abonnés et, si possible, les utilisateurs de l'existence d'un risque particulier d'atteinte à la sécurité du réseau, en précisant les cas où le risque échappe au champ d'application des mesures que le fournisseur lui-même – conformément au principe d'auto-responsabilité – est tenu d'adopter. Enfin, dans un souci de continuité, il a été décidé de maintenir, à titre transitoire, les dispositions de l'Autorité italienne de protection des données et les autorisations, qui feront l'objet d'un réexamen ultérieur, ainsi que les codes de déontologie existants. Ces derniers restent en vigueur dans leur configuration actuelle dans les domaines relevant de la compétence des États membres, tout en pouvant être synthétisés et modifiés, à l'initiative des parties intéressées, sous forme de codes sectoriels. Après avoir exposé ci-dessus les fondements idéologiques des choix législatifs opérés par le décret, pour une analyse approfondie des autres innovations significatives qu'il contient, veuillez consulter l'article qui sera prochainement publié sur le blog BLB Studio Legale