La privacy policy di Wetransfer non è sufficiente a garantire la protezione quando vengono comunicati particolari categorie di dati contenuti nei files (relativi alle categorie particolari di dati personali dell'art. 9 del Regolamento UE 679/2016) e dati giudiziari (art. 10 del Regolamento UE 679/2016). Conseguentemente, in tali casi, è necessario introdurre l'ulteriore misura di sicurezza consistente nel criptare i files, oggetto di scambio in Cloud, all'interno di una cartella protetta da password, da comunicare al destinatario.

Le motivazioni del parere sono di seguito indicate.

In via preliminare, va premesso che il trattamento di dati personali, e specificatamente, l'operazione di trattamento consistente nella comunicazione di dati personali, conseguente alla trasmissione digitale di files contenenti dati personali, è consentito solo quando sussistono i seguenti presupposti:

- il titolare del trattamento ha fornito preventiva informativa all'interessato (ex art. 13 Regolamento UE 679/2016 in caso di raccolta presso l'interessato di dati - ex art. 14 Regolamento UE 679/2016 qualora i dati non siano stati ottenuti presso l'interessato).

- sussiste una idonea base giuridica che giustifichi il trattamento di dati personali, come previsto dall'art. 2-ter, del Decreto Legislativo 196/2003, secondo cui la comunicazione di dati personali, effettuata per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, è consentita se sussite una idonea base giuridica costituita esclusivamente da una norma di legge o, nei casi previsti dalla legge, di regolamento;

- è stato acquisito il consenso, nei casi richiesti dall'articolo 6 del Regolamento UE 679/2016.

Ciò premesso, il Codice dell'amministrazione digitale (Decreto Legislativo 82/2005), all'art. 51, stabilisce che, per quanto concerne la sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni:

• i documenti informatici devono essere custoditi e controllati con modalita' tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalita' della raccolta.

Ne consegue che, per garantire la protezione delle categorie particolari di dati personali contenuti nei files oggetto di comunicazione, e citati nell'art. 9 del Regolamento UE 679/2016 (dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona) e dei dati giudiziari citati nell'art. 10 del medesimo Regolamento, è necessario che, nel caso di specie, l'Amministrazione adotti ulteriori misure di sicurezza.

Si conferma, come proposto nella formulazione del quesito, l'adeguatezza della misura ulteriore di sicurezza consistente in:

- criptare i files oggetto di scambio in Cloud all'interno di una cartella protetta da password;

- comunicare al destinatario (nel caso di specie ai colleghi della pubblica amministrazione) le relative password per accedere alle cartelle con separato canale (es. mail).