Tag Archives: privacy

20 Feb 2017

A proposito di privacy. Intervista a Patrizia Meo

Bre Magazine di febbraio 2017 – di Emanuela Serughetti

Oggi più che mai è richiesta un’abdicazione alle proprie convinzioni o alla propria corriva interpretazione del rapporto con i figli e, in generale, del tipo di società in cui viviamo. Ciò che si è imparato fino ad oggi, frutto magari di vecchie scuole di pensiero e di vita, per quanto concerne il rapporto con gli altri, l’idea di socializzazione, di sicurezza e di relazione, è ormai scaduto e al pari di un’applicazione digitale deve essere continuamente aggiornato. Ci sono problematiche che i social networks hanno ultimamente portato alla luce, che vanno letteralmente contro il pelo della vita per come siamo stati abituati a conoscerla.

Leggi l’intero articolo qui BRE – 9 – Febbraio 2017-1

25 Gen 2017
25 Gen 2017

Chi è il DPO, il Data Protection Officer.

Il Gruppo dei Garanti Ue (WP 29) ha approvato lo scorso 13 dicembre tre documenti con indicazioni e raccomandazioni su importanti novità del Regolamento 2016/679 sulla protezione dei dati, in vista della sua applicazione da parte degli Stati membri a partire dal maggio 2018. Le linee guida, alla cui elaborazione il Garante italiano ha attivamente partecipato, riguardano il “responsabile per la protezione dei dati” (Data Protection Officer  – DPO), il diritto alla portabilità dei dati, l'”autorità capofila” che fungerà da “sportello unico” per i trattamenti transnazionali.

Le Linee guida sul DPO specificano i requisiti soggettivi e oggettivi di questa figura, la cui designazione sarà obbligatoria per tutti i soggetti pubblici e per alcuni soggetti privati sulla base di criteri che il Gruppo ha chiarito nel documento. Nel documento vengono illustrate (anche attraverso esempi concreti) le competenze professionali e le garanzie di indipendenza e inamovibilità di cui il DPO deve godere nello svolgimento delle proprie attività di indirizzo e controllo all’interno dell’organizzazione del titolare.

Linee guida sul Data protection Officer

28 Dic 2016

Una piattaforma web (con annesso archivio informatico) preordinata all’elaborazione di profili reputazionali concernenti persone fisiche e giuridiche. Un sistema, volto anzitutto a contrastare fenomeni basati sulla creazione di profili reputazionali “artefatti” o “inveritieri”, che permetterebbe di calcolare in maniera imparziale, affidabile e oggettivamente misurabile il “rating reputazionaledei soggetti censiti, sì da consentire a eventuali terzi di poter verificare la loro reale credibilità.

Il progetto è stato elaboratoda una organizzazione articolata in un’associazione e da una società preposta alla  gestione dell’iniziativa.

Secondo il Garante Privacy, questo progetto viola le norme del Codice sulla protezione dei dati personali e incide negativamente sulla dignità delle persone.

L’infrastruttura, dovrebbe raccogliere ed elaborare una mole rilevante di dati personali contenuti in documenti “caricati” volontariamente sulla piattaforma dagli stessi utenti o “pescati” dal web. Attraverso un algoritmo, il sistema assegnerebbe poi ai soggetti censiti degli indicatori alfanumerici in grado, secondo la società, di misurare in modo oggettivo l’affidabilità delle persone  in campo economico e professionale.

Nel disporre il divieto di qualunque operazione di trattamento presente e futura, il Garante ha ritenuto che il sistema comporti rilevanti problematiche per la privacy a causa della delicatezza delle informazioni che si vorrebbero utilizzare, del pervasivo impatto sugli interessati e delle  modalità di trattamento che la società intende mettere in atto. Pur essendo infatti legittima, in linea di principio, l’erogazione di servizi che possano contribuire a rendere maggiormente efficienti, trasparenti e sicuri i rapporti socioeconomici, il sistema in esame – realizzato  peraltro in assenza di una idonea base normativa – presuppone una raccolta massiva, anche on line, di informazioni suscettibili di incidere significativamente sulla rappresentazione economica e sociale di un’ampia platea di individui (clienti, candidati, imprenditori, liberi professionisti, cittadini). Il “rating reputazionale” elaborato potrebbe ripercuotersi sulla vita delle persone censite, influenzando le scelte altrui e  condizionando l’ammissione degli interessati a prestazioni, servizi o benefici.

Per quanto riguarda, poi, l’asserita oggettività delle valutazioni, la società non è stata in grado di dimostrare l’efficacia dell’algoritmo che regolerebbe la determinazione dei “rating”  al quale dovrebbe essere rimessa, senza possibilità di contestazione, la valutazione  dei soggetti censiti. L’Autorità nutre, in generale, molte perplessità sull’opportunità di rimettere ad un sistema automatizzato ogni decisione su aspetti così delicati e complessi come quelli connessi alla reputazione. Senza contare, infatti, la difficoltà di misurare situazioni e variabili non facilmente classificabili, la valutazione potrebbe basarsi su documenti e certificati incompleti o viziati, con il rischio di creare profili inesatti e non rispondenti alla identità sociale delle persone censite.

Dubbi sono stati espressi dal Garante anche sulle misure di sicurezza del sistema –  basate, prevalentemente, su sistemi di autenticazione “debole” (user id e password) e su meccanismi di cifratura dei soli dati giudiziari secondo l’Autorità davvero inadeguate, specie se rapportate all’elevato numero di soggetti che potrebbero essere coinvolti e all’ingente quantitativo di informazioni, anche molto delicate, che verrebbero registrate all’interno della piattaforma.

Ulteriori criticità, infine, sono state ravvisate nei tempi di conservazione dei dati e nell’informativa da rendere agli interessati.

 

(Fonte Garante Privacy)
Per Saperne Di Più

13 Dic 2016

Il Garante ha dato il via libera ad un sistema di videosorveglianza intelligente da attivare presso l’edificio che ospita la sede della Città Metropolitana di Roma Capitale, volto a garantire la sicurezza degli accessi e la tutela del patrimonio.

Nel richiedere la verifica preliminare la Città Metropolitana ha motivato la necessità del sistema stante l’impossibilità  di vigilare 24 ore su 24 gli accessi e le uscite d’emergenza per mancanza di risorse umane ed economiche.

Esaminate le caratteristiche del sistema il Garante ha ritenuto proporzionato e quindi ammissibile il trattamento dei dati personali che la Città Metropolitana intende effettuare.

Le telecamere intelligenti, che controlleranno un edificio di trenta piani, destinato ad ospitare un numero molto elevato di dipendenti,  si attiveranno solo in caso di scavalco dei tornelli o di effrazione delle  uscite di emergenza. Nel caso di tentativo di accesso non autorizzato, rilevato da appositi sensori, il sistema invierà un segnale di allarme alla control room dell’edificio, presidiata 24 ore su 24 per tutto  l’anno da personale specializzato e adeguatamente formato.

La Città Metropolitana ha, inoltre, dichiarato che:

-“il sistema non rileva i percorsi degli interessati”;

-“le telecamere “intelligenti” sono spente nelle fasce orarie diurne e lavorative, più precisamente dalle ore 06:30 alle ore 20:30 dal lunedì al venerdì e si accendono in automatico al verificarsi di una effrazione. Nelle altre fasce orarie e nelle giornate non lavorative le telecamere in questione sono attive”;

-“sono state adottate le misure minime di sicurezza (artt. 31-36 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 e disciplinare tecnico All. B al medesimo Codice)”;

-“agli interessati sarà fornita adeguata informativa”; i cartelli sono “apposti prima del raggio di azione delle telecamere, in posizione tale da garantirne la lettura anche nelle ore notturne”;

-“il sistema non ha alcuna finalità di controllo a distanza dell’attività dei lavoratori essendo interamente ed esclusivamente dedicato a garantire la sicurezza dell’edificio, dei lavoratori e dei beni dell’Ente oltre a quelli privati”;

-“il periodo di mantenimento delle immagini registrate è di 24 ore, a ricoprimento automatico tramite le funzioni rese disponibili dalla specifica piattaforma software che ne gestisce l’archiviazione”.

La Città metropolitana ha dichiarato che il sistema non ha alcuna finalità di controllo a distanza dell’attività dei lavoratori e non rileverà i percorsi degli interessati.

Roma Capitale ha inoltre dichiarato di aver adottato le misure minime di sicurezza, che fornirà agli interessati adeguata informativa e che conserverà le immagini solo per 24 ore.

13 Dic 2016

Sì del Garante Privacy alla sperimentazione di un progetto pilota di autenticazione basato sul riconoscimento vocale e facciale per la consegna dei cedolini on line. Il Consorzio per il Sistema Informativo (Csi) Piemonte potrà testare in un contesto “reale” e per un periodo di tempo limitato una app installata sugli smartphone di quei dipendenti che accetteranno di utilizzarla per accedere al servizio “cedolini on line“, in alternativa al sistema in uso basato su user id e password.

Il Consorzio per il Sistema Informativo – CSI Piemonte (di seguito, il consorzio) ha presentato una richiesta di verifica preliminare, in relazione al trattamento di dati personali biometrici ˗basato su sistemi di riconoscimento vocale e facciale ˗nell’ambito della partecipazione al progetto PIDaaS (Private IDentity as a Service), co-finanziato dal Programma quadro per l’innovazione e la competitività dell’Unione europea.

I “volontari”, tramite la app, potranno  visualizzare e scaricare il cedolino mensile, il modello CU,  la posizione assicurativa per chi aderisce al Fondo pensione. Il test consentirà al Consorzio di verificare l’accuratezza, la facilità d’uso e la sicurezza, anche sotto il profilo dei dati personali, del servizio di autenticazione biometrica.

L’ok del Garante si riferisce esclusivamente alla fase sperimentale e non riguarda eventuali future applicazioni “a regime” del sistema che dovranno essere sottoposte a un nuovo vaglio dell’Autorità.

Per innalzare il livello di protezione dei dati dei partecipanti al test  il Garante ha prescritto l’adozione di ulteriori misure rispetto a quelle già previste dal Csi. In primo luogo, il Consorzio dovrà fare in modo che la sperimentazione non coinvolga meccanismi e applicativi aziendali utilizzati nella gestione del rapporto di lavoro. Gli utenti che decideranno di aderire alla sperimentazione (dalla quale potranno recedere in qualsiasi momento) dovranno quindi accedere ad una installazione di test creata ad hoc, contenente solo i loro cedolini.

Il progetto prevede la comunicazione di alcuni dati personali riferiti ai partecipanti al partner spagnolo del progetto (EURECAT-Technology Centre of Catalonia, mentre secondo quanto dichiarato i dati condivisi con altri due partner sono previamente anonimizzati), il consorzio con propria determinazione dovrà individuare i termini e le condizioni delle operazioni di comunicazione e del successivo trattamento dei dati conferiti, compreso il profilo della sicurezza. In particolare, fermo restando l’obbligo di comunicare al Garante il verificarsi di violazioni dei dati biometrici (data breach) o incidenti informatici il consorzio dovrà predisporre una procedura per la gestione congiunta degli eventuali incidenti di sicurezza che dovessero verificarsi.

Il Consorzio, inoltre, dovrà fornire agli aderenti all’iniziativa apposite credenziali e un indirizzo di posta elettronica temporaneo per avere accesso alla sezione della intranet da cui si avvia la fase di registrazione per effettuare il login alla app. I dati biometrici poi, dovranno essere cancellati in modo irreversibile al termine della sperimentazione o su richiesta del partecipante.

Infine, il consorzio dovrà:

  1. effettuare la notificazione al Garante ai sensi dell’articolo 37, comma 1, lett. a), del Codice;
  2. fornire agli interessati un’informativa comprensiva di tutti gli elementi contenuti nell’articolo 13 del Codice, anche in conformità al principio di correttezza in base al quale il titolare è tenuto a rendere chiaramente riconoscibili agli interessati i trattamenti che intende effettuare (art. 11, comma 1, lett. a), del Codice);
  3. predisporre misure al fine di garantire agli interessati l’esercizio dei diritti previsti dagli articoli 7 e seguenti del Codice (anche alla luce di quanto stabilito dall’art. 100, comma 2, del Codice).

(Garante Privacy)

12 Dic 2016

Non si può invocare il diritto all’oblio per vicende giudiziarie di particolare gravità e il cui iter processuale si è concluso da poco tempo. In questi casi prevale l’interesse pubblico a conoscere le notizie. Con questa motivazione, il Garante privacy ha dichiarato infondata la richiesta di deindicizzazione di alcuni articoli presentata da un ex consigliere comunale coinvolto in un’indagine per corruzione e truffa.

Una vicenda  iniziata nel 2006 e conclusasi (per lui) nel 2012 con sentenza di patteggiamento e pena interamente coperta da indulto. Di fronte al no di Google di accogliere le sue richieste di deindicizzazione, l’ex consigliere aveva presentato un ricorso  al Garante chiedendo la rimozione di alcuni url che risultavano digitando il suo nome e cognome nel motore di ricerca e che facevano riaffiorare l’indagine in cui era rimasto coinvolto.  A suo dire, non ricoprendo più incarichi pubblici e operando in un settore privato, la permanenza in rete di notizie, risalenti a circa dieci anni prima e ormai prive di interesse, gli avrebbero arrecato un danno all’immagine, alla vita privata e all’attuale attività lavorativa.

Nel rigettare la richiesta, l’Autorità, alla luce delle Linee guida dei Garanti europei,  ha rilevato che sebbene il trascorrere del tempo sia la componente essenziale del diritto all’oblio, questo elemento incontra un limite quando le informazioni di cui si chiede la deindicizzazione siano riferite a reati gravi e che hanno destato un forte allarme sociale. Le richieste vanno quindi valutate con minor favore, anche se devono essere  analizzate caso per caso.

Nella circostanza specifica nonostante fosse trascorso un certo lasso di tempo dai fatti riportati negli articoli, ha sottolineato l’Autorità, meritava considerazione il fatto che la vicenda giudiziaria si fosse definita solo pochi anni prima. Oltre a ciò, alcuni url riattualizzavano la notizia richiamandola in articoli relativi ad una maxi inchiesta sulla corruzione pubblicati fino al 2015 e la loro relativa attualità dimostra l’interesse ancora vivo e attuale dell’opinione pubblica.

(Fonte Garante Privacy)

21 Nov 2016

Torniamo a parlare del consenso nell’attività di marketing. Nonostante il Garante Privacy si sia più volte espresso in materia e abbia emanato delle “Linee guida in materia di attività promozionale e contrasto allo spam” del 4 luglio 2013, in alcuni siti per procedere agli acquisti, il consenso è unico e generico.

Il caso specifico si muove a seguito di alcune segnalazioni ricevute dall’Autorità che ha avviato degli accertamenti, da cui è emerso che una società aveva offerto alla propria clientela la possibilità di gestire la scheda anagrafica, i consumi e le fatture direttamente sul sito web. Per usufruire di tali servizi, però, i clienti dovevano completare una procedura di registrazione dove erano costretti a barrare un’unica casella per concedere un consenso onnicomprensivo al trattamento dei loro dati personali sia per le finalità legate alla gestione del contratto, sia per la ricezione di messaggi di posta elettronica contenenti pubblicità o altro materiale promozionale. Una modalità che, in concreto, violava il principio, più volte rimarcato dal Garante, in base al quale il consenso, per essere ritenuto valido, non deve essere condizionato, ma libero, specifico e informato.

Nell’informativa (resa nell’ambito di un documento denominato “Trattamento dei dati personali”) si avvisavano gli interessati che «i dati […] potranno essere utilizzati da xx […] per la stipulazione e la gestione del contratto di erogazione dei Servizi indicati al punto 1 delle condizioni generali di contratto e per tutte le conseguenti operazioni di Suo interesse» (afferenti alla sfera contrattuale), nonché «al fine di inviarLe periodicamente messaggi contenenti pubblicità, materiale pubblicitario, annunci interni, iniziative promozionali, comunicazioni commerciali».

A fronte delle diverse finalità così identificate, non veniva però richiesto nel sito web uno specifico consenso per il trattamento dei dati raccolti per finalità promozionali; era invece possibile manifestare un unico consenso onnicomprensivo (“accetto”/”non accetto”) in relazione ai diversi trattamenti descritti nell’informativa.

Pertanto, i clienti non devono essere obbligati a rilasciare il consenso a ricevere comunicazioni promozionali, per poter usufruire dei servizi on line. Il consenso deve essere manifestato liberamente e non deve essere condizionato.

Nel corso dell’istruttoria, inoltre, il Garante ha rilevato che il ramo aziendale di fornitura del gas era stato acquisito da un’altra società, che non aveva provveduto, come previsto dalla normativa, a inviare ai nuovi clienti l’informativa relativa al trattamento dei dati personali.

L’azienda xxx, non risulta inoltre aver adempiuto all’obbligo di informativa di cui all’art. 13, comma 4, del Codice, in base al quale «se i dati personali non sono raccolti presso l’interessato, l’informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all’atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione».

La tesi sulla mancanza di informativa dell’azienda non è conforme alla legge: non sarebbe stato possibile rendere l’informativa in forma individuale agli interessati perché «ne sarebbe disceso un impiego di mezzi manifestamente sproporzionato ‒ anche per costi e oneri ‒ rispetto al diritto tutelato», si è autonomamente determinata a procedere alla pubblicazione sul proprio sito web di una pagina dedicata ai “clienti ex xxx”.

Tale modalità, se del caso, avrebbe eventualmente dovuto essere stabilita dal Garante, come previsto dall’art. 13, comma 5, lett. c), del Codice, previamente adito, quale misura appropriata, ad esito di un’apposita valutazione sull’impossibilità (o eccessiva onerosità) in concreto dell’adempimento dell’obbligo informativo in forma individuale.

L’Autorità ha quindi vietato al primo operatore energetico, che aveva predisposto lo sportello per i servizi on line, di utilizzare per finalità di marketing i dati personali di cui era ancora in possesso in assenza di un valido consenso. Ha invece prescritto alla società acquirente del ramo gas di provvedere quanto prima a informare i clienti sulle modalità di trattamento dei loro dati.

(Fonte Garante Privacy)

20 Nov 2016

La Corte di Cassazione, con la sentenza 8.11.2016 n. 22662, ha affrontato il tema dei limiti di legittimità dei c.d. controlli difensivi (art. 4 della L. 300/70 precedente le modifiche), finalizzati non a verificare l’esatto adempimento delle obbligazioni direttamente scaturenti dal rapporto di lavoro, ma a tutelare il patrimonio aziendale e/o ad impedire la perpetrazione di comportamenti illeciti.
Ancora una volta torna in primo piano il delicato profilo della legittimità dei controlli difensivi effettuati dal datore di lavoro che, sebbene ancora riferito a fattispecie avvenute prima dell’entrata in vigore della riforma del Jobs Act, rimane un tema di frequente contrasto.

I giudici di legittimità hanno affermato che i controlli difensivi, nel testo vigente all’epoca dei fatti, richiedono certamente il previo accordo con le rappresentanze sindacali aziendali, ma solo nel caso in cui da essi “derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori”.
In tal modo, si escludono dall’applicazione dell’art. 4 della L. 300/70 i controlli diretti ad appurare comportamenti estranei all’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro enon, invece, quando riguardino la tutela di beni esterni al rapporto stesso. pertanto, se le telecamere installate non comportano alcun controllo a distanza del dipendente, per la loro attivazione non è necessario l’accordo stipulato con la rappresentanza sindacale o l’autorizzazione alla DTL.

Nel caso in disamina la condotta della lavoratrice oggetto della ripresa video non solo non atteneva alla prestazione lavorativa ma non differiva in alcun modo da quella illecita posta in essere da un qualsiasi soggetto estraneo all’organizzazione del lavoro. Il c.d. controllo difensivo, pertanto, non atteneva all’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro, ma era destinato ad accertare un comportamento che poneva in pericolo la stessa sicurezza dei lavoratori, oltre al patrimonio aziendale, determinando la diretta implicazione del diritto del datore di lavoro di tutelare la propria azienda mediante gli strumenti connessi all’esercizio dei poteri derivanti dalla sua supremazia sulla struttura aziendale.

Pertanto la Cassazione ha dichiarato legittimo il licenziamento operato nei confronti della dipendente che aveva sottratto una busta contenente denaro dalla cassaforte aziendale, sfilandola dalla fessura con un tagliacarte. La condotta era ricavabile da un filmato prodotto da una telecamera preposta al controllo della predetta cassaforte.

7 Nov 2016

La scuola a prova di privacy, la nuova guida del Garante Privacy, per “insegnare la privacy e rispettarla a scuola. L’obiettivo è quello di aiutare  studenti, famiglie, professori e la stessa amministrazione scolastica a muoversi agevolmente nel mondo della protezione dei dati.

La guida si  articola in cinque brevi capitoli, che riportano regole ed esempi:

  1. Regole generali;
  2. Vita dello studente;
  3. Mondo connesso e nuove tecnologie;
  4. Pubblicazione on line;
  5. Videosorveglianza e altri casi

In più troviamo due sezioni “di servizio” (Parole chiave; Appendice – per approfondire) utili per comprendere meglio la specifica terminologia utilizzata nella normativa sulla privacy e per avere un sintetico quadro giuridico di riferimento.

La guida – che si apre all’insegna dell’ “insegnare la privacy, rispettarla a scuola” –  raccoglie i casi affrontati dal Garante con maggiore frequenza, al fine di offrire elementi di riflessione e indicazioni  per i tanti quesiti che vengono posti dalle famiglie e dalle istituzioni: da come trattare correttamente i dati personali degli studenti (in particolare quelli sensibili, come condizioni di salute o convinzioni religiose) a quali regole seguire per pubblicare dati sul sito della scuola o per comunicarli alle famiglie; da come usare correttamente tablet e smartphone nelle aule scolastiche a quali cautele adottare per i dati  degli allievi con disturbi di apprendimento.

Il vademecum dedica inoltre particolare attenzione alla “scuola 2.0” e al corretto uso delle nuove tecnologie, al fine di prevenire atti di cyberbullismo o altri episodi che possano segnare negativamente la vita dei più giovani.

Attenzione alla pubblicazione delle immagini sui social, diventa infatti necessario ottenere il consenso informato delle persone presenti nelle fotografie o video.

Ancora: Le lezioni possono essere registrate? Come si possono prevenire fenomeni come il cyberbullismo o il sexting? Quali accortezze adottare nel pubblicare le graduatorie del personale scolastico? Ci sono cautele specifiche per la fornitura del servizio mensa o per la gestione del “curriculum dello studente”?

Queste sono alcune domande a cui risponde la guida.

Le scuole sono chiamate ogni giorno ad affrontare la sfida più difficile, quella di educare le nuove generazioni non solo alla conoscenza di nozioni basilari e alla trasmissione del sapere, ma soprattutto al rispetto dei valori fondanti di una società. Nell’era di internet e in presenza di nuove forme di comunicazionee condivisione questo compito diventa ancora più cruciale – sottolinea il Presidente dell’Autorità, Antonello Soro. “E’ importante – continua Soro – riaffermare quotidianamente, anche in ambito scolastico, quei principi di civiltà, come la riservatezza e la dignità della persona, che devono sempre essere al centro della formazione di ogni cittadino”.

Scarica l’opuscolo dal sito del Garante privacy