Quiz Privacy – GDPR (Reg. UE 2016/679) e Codice privacy

1. Da quale data il Regolamento (UE) 2016/679 (GDPR) si applica in tutti gli Stati membri?

   • 24 maggio 2016
   • ✅ 25 maggio 2018
   • 19 settembre 2018
   • 1° gennaio 2019

   Il GDPR è entrato in vigore il 24 maggio 2016, ma si applica dal 25 maggio 2018: i due anni intermedi servivano ad adeguarsi.

   📚 Art. 99, Reg. UE 2016/679

2. Secondo il GDPR, per “dato personale” si intende:

   • Solo nome, cognome e codice fiscale
   • ✅ Qualsiasi informazione riguardante una persona fisica identificata o identificabile
   • Qualsiasi informazione riguardante persone fisiche o giuridiche
   • Solo le informazioni conservate in archivi elettronici

   È dato personale ogni informazione che riguarda una persona fisica identificata o identificabile, anche indirettamente (un numero di identificazione, dati di ubicazione, un identificativo online…).

   📚 Art. 4, n. 1, Reg. UE 2016/679

3. Il GDPR tutela i dati personali:

   • ✅ Delle persone fisiche
   • Delle persone giuridiche
   • Delle persone fisiche e delle società
   • Solo dei cittadini dell’Unione europea

   Il Regolamento protegge le persone fisiche, a prescindere dalla nazionalità o dalla residenza; non si applica ai dati delle persone giuridiche, come la ragione sociale di un’impresa.

   📚 Art. 1 e considerando 14, Reg. UE 2016/679

4. Chi è il “titolare del trattamento”?

   • Il dipendente che materialmente inserisce i dati
   • Il soggetto che tratta i dati per conto di un altro
   • ✅ Il soggetto che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento
   • L’interessato a cui i dati si riferiscono

   Il titolare decide perché e come trattare i dati. In un Comune il titolare è l’ente stesso, non il singolo dirigente o dipendente.

   📚 Art. 4, n. 7, Reg. UE 2016/679

5. Il “responsabile del trattamento” è:

   • ✅ Il soggetto che tratta dati personali per conto del titolare
   • Il Responsabile della protezione dei dati (DPO)
   • Il dirigente che firma l’informativa
   • L’autorità di controllo nazionale

   Il responsabile tratta i dati per conto del titolare (es. la ditta che gestisce il software dei tributi). Il rapporto va regolato da un contratto o altro atto giuridico con contenuti minimi fissati dal GDPR.

   📚 Art. 4, n. 8 e art. 28, Reg. UE 2016/679

6. Il principio di “responsabilizzazione” (accountability) impone al titolare di:

   • Chiedere sempre il consenso dell’interessato
   • Nominare un responsabile esterno
   • Notificare ogni trattamento al Garante prima di iniziarlo
   • ✅ Rispettare i principi del trattamento ed essere in grado di comprovarlo

   Non basta rispettare le regole: il titolare deve poter dimostrare di averle rispettate (registri, valutazioni, misure documentate). La notifica preventiva al Garante non esiste più.

   📚 Art. 5, par. 2, Reg. UE 2016/679

7. Il principio di “minimizzazione dei dati” prevede che i dati siano:

   • Cancellati dopo un anno
   • ✅ Adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità
   • Sempre resi anonimi
   • Conservati solo su supporto cartaceo

   Si raccolgono solo i dati che servono davvero alla finalità. La durata di conservazione è invece oggetto del distinto principio di limitazione della conservazione.

   📚 Art. 5, par. 1, lett. c), Reg. UE 2016/679

8. Qual è la base giuridica tipica dei trattamenti svolti da un Comune nell’esercizio delle sue funzioni?

   • Il legittimo interesse del titolare
   • Il consenso dell’interessato
   • ✅ L’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri
   • La salvaguardia degli interessi vitali

   Le amministrazioni trattano i dati soprattutto perché lo richiede un compito di interesse pubblico o l’esercizio di pubblici poteri, previsto da una norma. Il consenso è una base residuale per la PA.

   📚 Art. 6, par. 1, lett. e), Reg. UE 2016/679; art. 2-ter D.Lgs. 196/2003

9. Il legittimo interesse del titolare come base giuridica:

   • Può essere usato da chiunque senza limiti
   • È la base principale per le autorità pubbliche
   • Richiede sempre l’autorizzazione del Garante
   • ✅ Non si applica al trattamento effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti

   Il GDPR esclude espressamente che le autorità pubbliche, nello svolgimento dei loro compiti, possano fondare il trattamento sul legittimo interesse.

   📚 Art. 6, par. 1, secondo comma, Reg. UE 2016/679

10. Quale di questi NON rientra nelle “categorie particolari di dati personali”?

    • I dati relativi alla salute
    • I dati genetici
    • ✅ Il numero di telefono
    • Le opinioni politiche

    Sono categorie particolari (ex “dati sensibili”) l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, i dati genetici, biometrici, sanitari e quelli su vita od orientamento sessuale. Il numero di telefono è un dato personale “comune”.

    📚 Art. 9, par. 1, Reg. UE 2016/679

11. I dati relativi a condanne penali e reati sono disciplinati dal GDPR:

    • All’art. 9
    • ✅ All’art. 10
    • All’art. 22
    • All’art. 35

    L’art. 10 consente di trattarli solo sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri con garanzie appropriate. In Italia vedi anche l’art. 2-octies del Codice.

    📚 Art. 10, Reg. UE 2016/679

12. Il consenso dell’interessato, quando è la base del trattamento:

    • ✅ Può essere revocato in qualsiasi momento
    • Non può mai essere revocato
    • Può essere revocato solo per iscritto e con preavviso di 30 giorni
    • Rende illecito il trattamento svolto prima della revoca, se revocato

    L’interessato può revocare il consenso in qualsiasi momento, con la stessa facilità con cui lo ha dato. La revoca non pregiudica la liceità del trattamento effettuato prima.

    📚 Art. 7, par. 3, Reg. UE 2016/679

13. In Italia, a quale età un minore può prestare da solo il consenso al trattamento dei dati per i servizi della società dell’informazione?

    • 13 anni
    • ✅ 14 anni
    • 16 anni
    • 18 anni

    Il GDPR fissa 16 anni ma consente agli Stati di scendere fino a 13: l’Italia ha scelto 14 anni. Sotto questa età serve il consenso di chi esercita la responsabilità genitoriale.

    📚 Art. 8 Reg. UE 2016/679; art. 2-quinquies D.Lgs. 196/2003

14. L’informativa da fornire quando i dati sono raccolti presso l’interessato è disciplinata:

    • Dall’art. 12
    • ✅ Dall’art. 13
    • Dall’art. 14
    • Dall’art. 15

    L’art. 13 riguarda i dati raccolti direttamente presso l’interessato; l’art. 14 i dati ottenuti da altre fonti; l’art. 15 il diritto di accesso.

    📚 Artt. 13 e 14, Reg. UE 2016/679

15. Entro quale termine il titolare deve rispondere a una richiesta di esercizio dei diritti dell’interessato?

    • Entro 15 giorni, non prorogabili
    • Entro 30 giorni, prorogabili di altri 30
    • ✅ Entro un mese, prorogabile di due mesi se necessario
    • Entro 90 giorni

    La risposta va data senza ingiustificato ritardo e comunque entro un mese dal ricevimento; il termine può essere prorogato di due mesi, tenuto conto della complessità e del numero delle richieste, informandone l’interessato.

    📚 Art. 12, par. 3, Reg. UE 2016/679

16. Il cosiddetto “diritto all’oblio” corrisponde al:

    • Diritto di rettifica
    • Diritto di limitazione
    • Diritto alla portabilità
    • ✅ Diritto alla cancellazione

    L’art. 17 è intitolato “Diritto alla cancellazione («diritto all’oblio»)”: l’interessato ottiene la cancellazione dei dati quando ricorre uno dei motivi previsti (es. dati non più necessari, revoca del consenso, trattamento illecito).

    📚 Art. 17, Reg. UE 2016/679

17. Il diritto di ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, per trasmetterli a un altro titolare, è il diritto:

    • Di accesso
    • ✅ Alla portabilità dei dati
    • Di opposizione
    • Di rettifica

    La portabilità vale per i trattamenti basati sul consenso o su un contratto e svolti con mezzi automatizzati; non si applica ai trattamenti necessari per un compito di interesse pubblico.

    📚 Art. 20, Reg. UE 2016/679

18. Il diritto di opposizione al trattamento è disciplinato:

    • Dall’art. 16
    • Dall’art. 18
    • ✅ Dall’art. 21
    • Dall’art. 25

    Con l’art. 21 l’interessato può opporsi, per motivi connessi alla sua situazione particolare, ai trattamenti basati sull’interesse pubblico (art. 6.1.e) o sul legittimo interesse (art. 6.1.f).

    📚 Art. 21, Reg. UE 2016/679

19. Il diritto a non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, è previsto:

    • ✅ Dall’art. 22
    • Dall’art. 20
    • Dall’art. 30
    • Dall’art. 9

    L’art. 22 vieta, salvo eccezioni, le decisioni completamente automatizzate che producono effetti giuridici o incidono in modo analogo e significativo sulla persona.

    📚 Art. 22, Reg. UE 2016/679

20. I principi di “privacy by design” e “privacy by default” sono previsti:

    • Dall’art. 5
    • ✅ Dall’art. 25
    • Dall’art. 32
    • Dall’art. 37

    Il titolare deve integrare la protezione dei dati fin dalla progettazione e garantire che, per impostazione predefinita, siano trattati solo i dati necessari per ogni finalità.

    📚 Art. 25, Reg. UE 2016/679

21. Quando due o più titolari determinano congiuntamente finalità e mezzi del trattamento, sono:

    • Responsabili del trattamento
    • Sub-responsabili
    • ✅ Contitolari del trattamento
    • Autorizzati al trattamento

    I contitolari stabiliscono con un accordo interno le rispettive responsabilità, in particolare per l’esercizio dei diritti dell’interessato e le informative.

    📚 Art. 26, Reg. UE 2016/679

22. Il registro delle attività di trattamento:

    • È tenuto dal Garante per conto di tutti i titolari
    • ✅ Va tenuto in forma scritta, anche elettronica, e messo a disposizione dell’autorità di controllo su richiesta
    • È obbligatorio solo per le imprese con più di 1000 dipendenti
    • Deve essere pubblicato sul sito web dell’ente

    Titolare e responsabile tengono ciascuno un registro dei trattamenti svolti. L’esonero per chi ha meno di 250 dipendenti non vale se il trattamento non è occasionale, presenta rischi o riguarda categorie particolari: di fatto le PA lo tengono sempre.

    📚 Art. 30, Reg. UE 2016/679

23. In caso di violazione dei dati personali (data breach), il titolare deve notificarla all’autorità di controllo:

    • Entro 24 ore
    • ✅ Entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti delle persone
    • Entro 30 giorni
    • Solo se la violazione riguarda più di 100 persone

    La notifica va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore; oltre questo termine va motivato il ritardo. Il titolare documenta comunque ogni violazione.

    📚 Art. 33, Reg. UE 2016/679

24. Quando la violazione dei dati presenta un rischio elevato per i diritti e le libertà delle persone, il titolare deve anche:

    • Sospendere tutti i trattamenti
    • ✅ Comunicarla agli interessati senza ingiustificato ritardo
    • Presentare denuncia alla Procura della Repubblica
    • Nominare un nuovo DPO

    Oltre alla notifica al Garante, in caso di rischio elevato la violazione va comunicata direttamente agli interessati, salvo i casi di esonero previsti (es. dati cifrati).

    📚 Art. 34, Reg. UE 2016/679

25. La valutazione d’impatto sulla protezione dei dati (DPIA) è obbligatoria quando il trattamento:

    • Riguarda più di 50 persone
    • Avviene su supporto cartaceo
    • ✅ Può presentare un rischio elevato per i diritti e le libertà delle persone fisiche
    • È svolto da un responsabile esterno

    La DPIA va svolta prima del trattamento quando questo, per natura, ambito, contesto e finalità, può comportare un rischio elevato, ad esempio in caso di sorveglianza sistematica su larga scala di zone accessibili al pubblico.

    📚 Art. 35, Reg. UE 2016/679

26. La designazione del Responsabile della protezione dei dati (DPO/RPD) è obbligatoria:

    • Solo per le aziende private
    • Solo per i Comuni con più di 15.000 abitanti
    • ✅ Per le autorità pubbliche e gli organismi pubblici, eccetto le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali
    • Mai: è sempre facoltativa

    Tutte le amministrazioni pubbliche, di qualunque dimensione, devono designare un DPO. Fanno eccezione solo i tribunali quando esercitano funzioni giurisdizionali.

    📚 Art. 37, par. 1, lett. a), Reg. UE 2016/679

27. Quale affermazione sul DPO è corretta?

    • Deve essere sempre un dipendente dell’ente
    • Riceve dal titolare istruzioni su come svolgere i propri compiti
    • ✅ Può essere un dipendente oppure un soggetto esterno che assolve i compiti in base a un contratto di servizi
    • Può essere rimosso se esprime pareri sgraditi al titolare

    Il DPO può essere interno o esterno. Non riceve istruzioni sull’esecuzione dei suoi compiti, non può essere rimosso o penalizzato per averli svolti e riferisce direttamente al vertice.

    📚 Artt. 37, par. 6, e 38, par. 3, Reg. UE 2016/679

28. L’interessato che ritiene violati i propri diritti può proporre reclamo:

    • ✅ Al Garante per la protezione dei dati personali
    • Al Prefetto
    • Al Difensore civico regionale
    • All’ANAC

    Il reclamo si presenta all’autorità di controllo (in Italia il Garante). Resta ferma la possibilità di ricorrere all’autorità giudiziaria.

    📚 Art. 77 Reg. UE 2016/679; art. 141 D.Lgs. 196/2003

29. Le sanzioni amministrative pecuniarie più gravi previste dal GDPR arrivano fino a:

    • 1 milione di euro
    • 10 milioni di euro o il 2% del fatturato mondiale annuo
    • ✅ 20 milioni di euro o, per le imprese, il 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore
    • 50 milioni di euro

    Per le violazioni dei principi, delle basi giuridiche, dei diritti degli interessati e dei trasferimenti verso paesi terzi il massimo è 20 milioni o il 4% del fatturato; per altre violazioni 10 milioni o il 2%.

    📚 Art. 83, parr. 4 e 5, Reg. UE 2016/679

30. Il Garante per la protezione dei dati personali è un organo collegiale composto da:

    • Tre componenti nominati dal Governo
    • ✅ Quattro componenti eletti due dalla Camera e due dal Senato, con mandato di sette anni non rinnovabile
    • Cinque componenti nominati dal Presidente della Repubblica
    • Quattro componenti con mandato di cinque anni rinnovabile

    I quattro componenti eleggono tra loro il presidente; il mandato dura sette anni e non è rinnovabile.

    📚 Art. 153, D.Lgs. 196/2003

31. Quale decreto ha adeguato il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) al GDPR?

    • D.Lgs. 33/2013
    • D.Lgs. 82/2005
    • ✅ D.Lgs. 101/2018
    • D.Lgs. 36/2023

    Il D.Lgs. 10 agosto 2018, n. 101 ha modificato il Codice privacy per armonizzarlo con il Regolamento, abrogando le norme incompatibili.

    📚 D.Lgs. 101/2018

32. La “pseudonimizzazione” consiste nel:

    • Cancellare definitivamente i dati
    • ✅ Trattare i dati in modo che non possano più essere attribuiti a un interessato specifico senza informazioni aggiuntive, conservate separatamente
    • Pubblicare i dati con un nome di fantasia
    • Rendere i dati anonimi in modo irreversibile

    I dati pseudonimizzati restano dati personali, perché con le informazioni aggiuntive si può risalire alla persona. I dati davvero anonimi, invece, sono fuori dall’ambito del GDPR.

    📚 Art. 4, n. 5, e considerando 26, Reg. UE 2016/679

Concorsi in cui esce questa materia

Altri quiz gratuiti