7 Lug 2018

L’Autorità Garante della Protezione dei Dati ha pubblicato una scheda di sintesi per le aziende e gli enti.

Ecco i punti principali

Valutazione d’Impatto

Ai titolari spetta il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali, anche attraverso un apposito processo di valutazione che tenga conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative (anche di sicurezza) necessarie per mitigare tali rischi, eventualmente consultando il Garante alla luce di questa valutazione.

Il Registro dei trattamenti

Si tratta di uno strumento fondamentale per disporre di un quadro aggiornato dei trattamenti in essere. I contenuti minimi sono indicati all’art. 30 del Regolamento. Deve avere forma scritta, anche elettronica, e va esibito su richiesta al Garante.

Sicurezza dei dati

Il titolare e il responsabile del trattamento sono obbligati ad adottare misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio del trattamento (con l’obiettivo di evitare distruzione accidentale o illecita, perdita, modifica, rivelazione, accesso non autorizzato).

Il Responsabile della Protezione dei Dati (DPO)

La designazione (in vari casi obbligatoria) di un RPD riflette l´approccio responsabilizzante del Regolamento. Fra i suoi compiti rientrano la sensibilizzazione e formazione del personale, la sorveglianza sullo svolgimento della valutazione di impatto, la funzione di punto di contatto per gli interessati e per il Garante per ogni questione attinente l’applicazione del Regolamento.

 

Regolamento UE 2016 679. Una sintesi per aziende ed enti

30 Giu 2018

Una società di trasporto pubblico ferroviario  potrà dotare  di body cam (videocamere indossabili) gli addetti alla sicurezza e  i capitreno per contrastare e prevenire aggressioni furti e atti vandalici, in aumento negli ultimi anni. Ma dovrà adottare precise misure a tutela della riservatezza delle persone riprese [doc. web n. 8995107].

(Fonte Garante Privacy)

30 Giu 2018

La società xx dovrà rivedere le procedure, “ereditate” da da un’altra società in seguito alla fusione aziendale, con le quali gestisce telefonate ed sms promozionali, al fine di interrompere i contatti commerciali indesiderati. Non potrà inoltre utilizzare, per finalità di marketing, i dati personali di quanti non abbiano espresso un libero e valido consenso per tale trattamento. Questa la decisione adottata dal Garante al termine delle ispezioni avviate muovendo dalle numerose segnalazioni di utenti che protestavano per il disturbo arrecato dalla rete commerciale della società [doc. web n. 8995285].

Gli accertamenti – avviati nel 2016 con la collaborazione della Guardia di finanza – hanno confermato la presenza di molteplici violazioni, tra cui la ricezione di contatti commerciali in tempi successivi rispetto all’esercizio del diritto di opposizione. A fronte delle lamentele degli utenti, la società spesso si giustificava facendo riferimento a non meglio precisati disguidi tecnici.

(fonte Garante Privacy)

30 Apr 2018

Via libera del Garante privacy  a un sistema di geolocalizzazione satellitare dei veicoli della polizia municipale  che opera  nei territori di alcuni comuni aderenti a una convenzione  per la gestione associata del servizio [doc. web n. 8576577].

Scopo della localizzazione sarà quello di garantire la sicurezza e l’incolumità del personale e di ottimizzare l’impiego di operatori e veicoli della polizia municipale. Il sistema, sottoposto al vaglio dell’Autorità, sarà utile anche a rilevazioni di tipo statistico  e di rendicontazione del servizio.

I dati, che appariranno in tempo reale su un monitor presso la centrale operativa, saranno visualizzabili esclusivamente dal responsabile del servizio o da un suo delegato per localizzare la posizione dei veicoli e, se necessario, identificare l’operatore al solo scopo di coordinare in modo più efficiente il servizio o gestire eventuali situazioni di criticità o emergenza.

I dati relativi al tempo di permanenza e ai chilometri percorsi in una determinata area saranno conservati per un periodo massimo di trenta giorni ai fini della rendicontazione. Le informazioni riferite ai dipendenti impiegati nel servizio, mai direttamente identificati e comunque non più identificabili a fine turno, “a fine giornata”, il Comune ha assicurato che il sistema prevede la rimozione delle tabelle di presa in carico dei veicoli, in modo da non permettere l’ulteriore identificabilità degli operatori, in relazione ai dati di localizzazione memorizzati:, non saranno utilizzate per finalità più strettamente legate alla gestione del rapporto di lavoro, quali la verifica della presenza in servizio, la commisurazione dell’orario di lavoro o per finalità disciplinari.

Il Garante, tenuto conto dalla particolare natura dell’attività di polizia locale e delle cautele proposte dal titolare a tutela degli interessati, ha ritenuto lecito, pertinente e non eccedente il trattamento dei dati personali mediante il sistema anche in considerazione del fatto che prima della sua installazione ciascun Comune aderente alla Convenzione acquisirà l’autorizzazione del Ministero del lavoro e delle politiche socialiDirezione territoriale del lavoro, in conformità alla disciplina in materia di controllo a distanza dei lavoratori.

Il Garante ha inoltre  previsto specifiche misure di sicurezza come la configurazione del sistema, in modo tale da consentire solo accessi autorizzati  tramite assegnazione di credenziali di autenticazione differenziate e limitando i profili autorizzati alla modifica e all’estrazione dei dati. Inoltre, il titolare dovrà fornire agli interessati:

un’informativa comprensiva di tutti gli elementi contenuti nell’articolo 13 del Codice  e a rendere chiaramente riconoscibili agli interessati i trattamenti che intende effettuare (art. 11, comma 1, lett. a), del Codice;

predisporre misure al fine di garantire agli interessati l’esercizio dei diritti previsti dagli articoli 7 e seguenti del Codice;

effettuare la notificazione al Garante ai sensi degli articoli 37 e ss., qualora il trattamento abbia effettivamente inizio prima del 25 maggio 2018 (tenendo conto che tale adempimento non sarà più dovuto in data successiva al 25 maggio p.v.).

 

(Fonte Garante Privacy)

30 Apr 2018

Il Garante privacy ha vietato al Comune l’ulteriore diffusione sul sito web istituzionale delle graduatorie di persone invalide o in stato di disagio e  che hanno usufruito di esenzioni o riduzioni della tassa sui rifiuti 2015 [doc. web n. 8576011].

L’Autorità, intervenuta a seguito di una segnalazione, ha accertato che due graduatorie, consultabili e scaricabili liberamente da alcuni link presenti sul sito  del Comune, riportavano in chiaro dati e informazioni personali di 3447 persone, ordinati in base alla situazione e economica. In particolare,  nel primo elenco erano indicati il nome e cognome, la data di nascita, il codice fiscale, il numero dei componenti del nucleo familiare di 3269 persone con reddito Isee familiare fino a 8mila euro, nel secondo elenco, erano riportati gli stessi dati personali di altre 178 persone invalide al cento per cento e con Isee fino a 10mila euro.

Con il provvedimento inibitorio il Garante, in base al Codice privacy e alla normativa sulla trasparenza, ha ritenuto illecito il trattamento messo in atto dal Comune e ha vietato l’ulteriore diffusione dei dati sullo stato di salute e delle informazioni sulle situazioni di disagio economico e sociale dei beneficiari.

(Fonte Garante Privacy)

 

30 Apr 2018

La CNIL, l’Autorità francese per la protezione dei dati, ha messo a disposizione un software di ausilio ai titolari in vista della effettuazione della valutazione d’impatto sulla protezione dei dati (DPIA).

Il software –  gratuito e liberamente scaricabile dal sito www.cnil.fr (https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil) – offre un percorso guidato alla realizzazione della DPIA, secondo una sequenza conforme alle indicazioni fornite dal WP29 nelle Linee-guida sulla DPIA.

La versione in lingua italiana è stata messa a punto anche con la collaborazione del Garante per la protezione dei dati personali.

ll software qui presentato NON costituisce un modello al quale fare riferimento in ogni situazione di trattamento, essendo stato concepito soprattutto come ausilio metodologico per le PMI. Offre in ogni caso un focus sugli elementi principali di cui si compone la procedura di valutazione d’impatto sulla protezione dei dati. Potrebbe costituire quindi un utile supporto di orientamento allo svolgimento di una DPIA, ma non va inteso come schema predefinito per ogni valutazione d’impatto che va integrata in ragione delle tipologie di trattamento esaminate.

Fonte Garante Privacy

4 Apr 2018

Il Garante Privacy ha rilasciato apposite FAQ consultabili sul proprio sito istituzionale sul Responsabile della Protezione dei Dati (anche conosciuto con la dizione in lingua inglese data protection officer – DPO), figura prevista dall’art. 37 del Regolamento (UE) 2016/679.

Si tratta di un soggetto designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e controllo, consultive, formative e informative relativamente all’applicazione del Regolamento medesimo. Coopera con l’Autorità (e proprio per questo, il suo nominativo va comunicato al Garante) e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali (artt. 38 e 39 del Regolamento).

Sono tenuti alla designazione del responsabile della protezione dei dati personali il titolare e il responsabile del trattamento che rientrino nei casi previsti dall’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679. Si tratta di soggetti le cui principali attività (in primis, le attività c.d. di “core business”) consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relative a condanne penali e a reati (per quanto attiene alle nozioni di “monitoraggio regolare e sistematico” e di “larga scala”, v. le “Linee guida sui responsabili della protezione dei dati” del 5 aprile 2017, WP 243). Il diritto dell’Unione o degli Stati membri può prevedere ulteriori casi di designazione obbligatoria del responsabile della protezione dei dati (art. 37, par. 4).

Ricorrendo i suddetti presupposti, sono tenuti alla nomina, a titolo esemplificativo e non esaustivo: istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle “utilities” (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.

Il ruolo di responsabile della protezione dei dati personali può essere ricoperto da un dipendente del titolare o del responsabile (non in conflitto di interessi) che conosca la realtà operativa in cui avvengono i trattamenti; l’incarico può essere anche affidato a soggetti esterni, a condizione che garantiscano l’effettivo assolvimento dei compiti che il Regolamento (UE) 2016/679 assegna a tale figura. Il responsabile della protezione dei dati scelto all’interno andrà nominato mediante specifico atto di designazione, mentre quello scelto all’esterno, che dovrà avere le medesime prerogative e tutele di quello interno, dovrà operare in base a un contratto di servizi. Tali atti, da redigere in forma scritta, dovranno indicare espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento.

Modello comunicazione al Garante dei dati dell’RPD

3 Apr 2018

No al controllo massivo e alla conservazione senza limite delle email. Il Garante per la privacy ha vietato ad una società il trattamento di dati personali effettuato sulle email aziendali dei dipendenti in violazione della normativa sulla protezione dei dati e di quella sulla disciplina lavoristica. La società dovrà ora limitarsi a conservare i dati a fini di tutela dei diritti nel giudizio pendente. L’Autorità – intervenuta  a seguito del reclamo di un dipendente – ha accertato che la società trattava in modo illecito i dati personali contenuti nelle email in entrata e in uscita, anche di natura privata e goliardica, scambiate dal lavoratore con alcuni colleghi e collaboratori. I dati raccolti nel corso di un biennio erano poi stati utilizzati per contestare un provvedimento disciplinare cui era seguito il licenziamento del dipendente poi annullato dal giudice del lavoro [doc. web n. 8159221].

 

(Fonte Garante privacy)

29 Mar 2018

Il Garante per la privacy ha autorizzato [doc. web n. 8159431] l’Azienda Mobilità e Trasporti di Genova (AMT S.p.A.) ad installare sul parabrezza anteriore dei propri veicoli aziendali un dispositivo denominato “Roadscan DTW”, in grado di registrare, in caso di incidenti, le immagini relative alla sede stradale prospiciente il veicolo o, su comando attivato dall’autista, le immagini della zona interna del mezzo e di localizzarlo senza riprendere il conducente.

Il sistema permetterà la ricostruzione dinamica di eventuali sinistri e la prevenzione e il contrasto di atti di vandalismo, potenziando la sicurezza dei passeggeri e degli autisti.

Il trattamento potrà essere effettuato solo per le finalità previste e nel rispetto di idonee misure di sicurezza volte a preservare l’integrità dei dati e prevenire accessi abusivi da parte di personale non autorizzato. A tutela dei lavoratori, la società ha concordato con le organizzazioni sindacali l’utilizzo del dispositivo secondo le finalità dichiarate, in base all’art. 4 dello Statuto.

Le informazioni relative alla localizzazione tramite GPS non potranno essere utilizzate per rintracciare on line il veicolo, né per definirne a posteriori il percorso effettuato.

L’utilizzo di tale sistema, secondo quanto indicato dalla Società, consentirebbe la “registrazione di immagini riferite allo spazio esterno corrispondente allo specchio visivo del conducente con visuale fissa e lente grandangolare ed a quello interno”, relativamente ai soli 20 secondi antecedenti e successivi al verificarsi di un evento che lasci supporre un sinistro ovvero su diretta attivazione dell’autista. Ma non solo, lo stesso sistema è in grado di memorizzare anche ulteriori informazioni quali: accelerazione / decelerazione, deviazione della direzione a destra/sinistra, accelerazione / decelerazione zenitale (sobbalzo), velocità istantanea, localizzazione del veicolo con sistema GPS. Il tutto, secondo quanto dichiarato dalla Società, con l’obiettivo di permettere la ricostruzione dinamica di eventuali sinistri nonché per la prevenzione e il contrasto di atti di vandalismo, potenziando così la sicurezza dei passeggeri e degli autisti.

I dati raccolti in occasione di sinistro potranno essere conservati sino a 24 mesi, scadenza del temine di prescrizione previsto dal Codice civile.

La società dovrà adottare un modello semplificato di informativa inglobata in un pittogramma (da collocare su ogni veicolo aziendale), che renda noto agli interessati (utenti, dipendenti e terzi) che in caso di sinistro le immagini saranno registrate.

(Fonte Garante Privacy)

3 Mar 2018

L’Ispettorato Nazionale del Lavoro (INL) ha emanato la circolare n. 5 del 19 febbraio 2018, con la quale fornisce indicazioni operative in ordine alle problematiche inerenti l’installazione e l’utilizzazione di impianti audiovisivi e di altri strumenti di controllo, ai sensi dell’art. 4 della legge n. 300/1970.

Una prima questione che l’INL  prende in considerazione, riguarda le modalità secondo cui effettuare l’istruttoria, finalizzate al rilascio dei provvedimenti autorizzativi in materia, che non deve essere una valutazione tecnica dei dispositivi ma bensì una valutazione delle motivazioni che ne giustificano e legittimano l’utilizzo nonché della correlazione tra tali motivazioni e lo strumento da utilizzare.

“ ..l’oggetto dell’attività valutativa, infatti, va concentrata sulla effettiva sussistenza delle ragioni legittimanti l’adozione del provvedimento, tenendo presente in particolare la specifica finalità per la quale viene richiesta la singola autorizzazione e cioè le ragioni organizzative e produttive, quelle di sicurezza sul lavoro e quelle di tutela del patrimonio aziendale.”

Conseguentemente, le eventuali condizioni poste all’utilizzo delle varie strumentazioni utilizzate devono essere necessariamente correlate alla specifica finalità individuata nell’istanza senza, però, particolari ulteriori limitazioni di carattere tecnico. L’eventuale ripresa dei lavoratori, di norma, dovrebbe avvenire in via incidentale e con carattere di occasionalità ma nulla impedisce, se sussistono le ragioni giustificatrici del controllo (ad esempio tutela della “sicurezza del lavoro” o del “patrimonio aziendale”), di inquadrare direttamente l’operatore, senza introdurre condizioni quali, per esempio, “l’angolo di ripresa” della telecamera oppure “l’oscuramento del volto del lavoratore”.

Il Provvedimento non sarà più legato al posizionamento predeterminato e l’esatto numero delle telecamere da installare fermo restando, comunque, che le riprese effettuate devono necessariamente essere coerenti e strettamente connesse con le ragioni legittimanti il controllo e dichiarate nell’istanza, ragioni la cui effettiva sussistenza va sempre verificata in sede di eventuale accertamento ispettivo.

Ciò in quanto lo stato dei luoghi e il posizionamento delle merci o degli impianti produttivi è spesso oggetto di continue modificazioni nel corso del tempo (si pensi ad esempio alla rotazione delle merci nelle strutture della grande distribuzione) e pertanto rendono scarsamente utile una analitica istruttoria basata su planimetrie che nel corso del breve periodo non sono assolutamente rappresentative del contesto lavorativo.

Il provvedimento autorizzativo viene rilasciato sulla base delle specifiche ragioni dichiarate dall’istante in sede di richiesta. L’attività di controllo, pertanto, è legittima se strettamente funzionale alla tutela dell’interesse dichiarato, interesse che non può essere modificato nel corso del tempo nemmeno se vengano invocate le altre ragioni legittimanti il controllo stesso ma non dichiarate nell’istanza di autorizzazione. Gli eventuali controlli ispettivi successivi al rilascio del provvedimento autorizzativo, pertanto, dovranno innanzitutto verificare che le modalità di utilizzo degli strumenti di controllo siano assolutamente conformi e coerenti con le finalità dichiarate.

Nei casi in cui le videocamere o fotocamere si attivino esclusivamente con impianto di allarme antintrusione inserito, e quindi esclusivamente al di fuori dell’orario di lavoro, non sussiste alcuna possibilità di controllo “preterintenzionale” sul personale e pertanto il rilascio del provvedimento autorizzativo non richiede l’espletamento della valutazione istruttoria, secondo le modalità di cui  alla nota n. 299 del 28 novembre 2017.

L’accesso alle immagini registrate, sia da remoto che “in loco”, invece, deve essere necessariamente tracciato anche tramite apposite funzionalità che consentano la conservazione dei “log di accesso” per un congruo periodo, non inferiore a sei mesi. In considerazione di ciò, lo stesso INL ha ritenuto che l’utilizzo del sistema della “doppia chiave fisica o logica” non sia più una condizione necessaria nell’ambito dei provvedimenti autorizzativi da rilasciare.

Quanto invece al “perimetro” spaziale di applicazione della disciplina in esame, l’orientamento giurisprudenziale tende ad identificare come luoghi soggetti alla normativa in questione anche quelli esterni dove venga svolta attività lavorativa in modo saltuario o occasionale (ad es. zone di carico e scarico merci). La Corte di Cassazione penale (sent. n. 1490/1986) afferma infatti che l’installazione di una telecamera diretta verso il luogo di lavoro dei propri dipendenti o su spazi dove essi hanno accesso anche occasionalmente, deve essere preventivamente autorizzata da uno specifico accordo con le organizzazioni sindacali ovvero da un provvedimento dell’Ispettorato del lavoro.

Sarebbero invece da escludere dall’applicazione della norma quelle zone esterne estranee alle pertinenze della ditta, come ad es. il suolo pubblico, anche se antistante alle zone di ingresso all’azienda, nelle quali non è prestata attività lavorativa.

Il riconoscimento biometrico, installato sulle macchine con lo scopo di impedire l’utilizzo della macchina a soggetti non autorizzati, necessario per avviare il funzionamento della stessa, può essere considerato uno strumento indispensabile a “…rendere la prestazione lavorativa…” e pertanto si possa prescindere, ai sensi del comma 2 dell’art. 4 della L. n. 300/1970, sia dall’accordo con le rappresentanze sindacali sia dal procedimento amministrativo di carattere autorizzativo previsto dalla legge.

(circolare INL 5/2018 del 19 febbraio 2018)

Potrebbe interessarti: