Tag Archives: privacy

25 Ott 2016
2 Set 2016

Stop alla pubblicazione sul portale della Regione Basilicata dei dati personali di chi aspira a ricevere contributi per interventi di risparmio energetico, ma la cui domanda non è stata accolta, e dei dati di chi si trova in situazioni di disagio economico. A deciderlo il Garante della Privacy, che a seguito della segnalazione di un cittadino, ha stabilito che la Regione ha messo on line dati personali di migliaia di persone senza avere una idonea base normativa che glielo consentisse.

Gli obblighi di trasparenza previsti per legge stabiliscono infatti che vengano pubblicati on line solo i nominativi dei destinatari di sovvenzioni superiori a mille euro.

Dall’istruttoria del Garante è emerso, invece, che la Regione ha pubblicato, in graduatorie visibili a tutti, anche dati (il nominativo del richiedente, il codice identificativo, il costo preventivato complessivo, il contributo concedibile e, in alcuni casi, il motivo dell’esclusione) di persone che non avevano neanche ricevuto il contributo economico. Complessivamente sono stati messi on line, scaricabili e liberamente accessibili, dati personali relativi a oltre 10 mila persone di cui solo 935 beneficiari di contributi salvo scorrimento della graduatoria.

Le graduatorie, inoltre, essendo state formate in base all’Isee dei partecipanti, dando priorità ai soggetti che si trovano in condizioni di disagio economico, potrebbero rivelare situazioni di indigenza dei beneficiari collocati nei primi posti. L’Autorità privacy ha dunque vietato la diffusione in Internet dei dati personali riferiti a soggetti che non risultano destinatari del contributo economico (perché la relativa istanza è stata respinta o perché è ancora in fase istruttoria), nonché di quelli riferiti a soggetti la cui collocazione in graduatoria potrebbe rivelare una situazione di disagio economico.

La Regione dovrà conformare per il futuro la pubblicazione di atti e documenti in Internet alle disposizioni del Codice privacy,  prevedendo, ove necessario, un accesso alle informazioni delle graduatorie da parte degli interessanti mediante credenziali di autenticazione in aree ad accesso selezionato del sito web istituzionale, come previsto anche nelle Linee guida in materia di trasparenza e pubblicità (doc. web. 3134436).

Dopo l’intervento dell’Autorità la Regione ha dichiarato di aver provveduto alla cancellazione dei dati.

(Fonte Garante Privacy)

20 Giu 2016

La Regione Lazio, nella persona del Direttore della Direzione regionale salute e integrazione sociosanitaria, ha chiesto un parere sul documento denominato “Schema tipo di Regolamento aziendale sul trattamento dei dati nei processi di diagnosi e cura”, che è stato elaborato a seguito dell’adozione da parte di questa Autorità delle Linee guida in tema di dossier sanitario del 4 giugno 2015.

Lo schema tipo nasce da uno studio svolto dal Policlinico Umberto I di Roma nell’adempiere alle prescrizioni dettate dall’Autorità per rendere conforme al Codice privacy i trattamenti di dati effettuati attraverso il dossier sanitario aziendale. Esso evidenzia come l’analisi delle finalità, dei processi e degli strumenti è il primo passo per individuare gli adempimenti necessari in materia di protezione dei dati in ambito sanitario e indicare soluzioni operative rispettose dei diritti alla cura e alla riservatezza dei pazienti.

Tale approccio, messo in atto dalla Regione Lazio, si muove nella direzione sempre auspicata dal Garante privacy.  E’ questo, in sintesi, il giudizio espresso dall’Autorità su uno “Schema tipo di regolamento aziendale sul trattamento dei dati nei processi di diagnosi e cura“, elaborato dalla Regione Lazio a seguito dell’adozione delle Linee guida in tema di Dossier sanitario, varate nel 2015 dal Garante [doc. web. n. 5177496].

Lo schema prevede:

  • il censimento di tutti i trattamenti di dati personali svolti all’interno della struttura compresi quelli per fini di ricerca e amministrativi;
  • l’individuazione delle diverse figure (medici, personale sanitario, dottorandi) responsabili a vario titolo dei trattamenti,
  • la designazione e protocolli di vigilanza sull’operato degli incaricati;
  • l’analisi degli strumenti informatici utilizzati e i relativi obblighi di sicurezza.

Per la gestione dei servizi informatici attraverso il cloud computing – attesa la particolare delicatezza dei dati oggetto di trattamento e delle operazioni su di essi eseguibili, nonché la vastità della platea di interessati e di titolari che dovrebbero adottare tale schema – si richiede l’attuazione di specifiche misure al fine di tutelare le informazioni trattate. Pertanto, si richiamano al riguardo le indicazioni fornite in proposito da questa Autorità con la scheda di documentazione su “Cloud computing: indicazioni per l’utilizzo consapevole dei servizi” (disponibile in www.gpdp.it, doc. web n. 1819933), nonché le cautele individuate dal Gruppo art. 29 dei Garanti europei nel “Parere 05/2012 sul cloud computing”, WP 196 del 1° luglio 2012 (doc. web n. 2133003).

Il documento “fotografa” anche i numerosi processi di diagnosi e cura presenti in una struttura sanitaria (ad es., accesso al pronto soccorso, ricovero ordinario, ricovero in day surgery), anche in riferimento alle forme di assistenza previste per particolari patologie (ad es., le cronicità, le prestazioni peculiari come la consegna diretta dei farmaci).

Lo schema sarà sottoposto all’approvazione della Giunta regionale affinché possa essere utilizzato dalle aziende sanitarie del servizio sanitario regionale come riferimento per la stesura del proprio regolamento aziendale.

(Fonte Garante Privacy)

20 Mag 2016

No a troppe informazioni che rendono identificabile un bambino malato. Il diritto del minore alla riservatezza prevale sul diritto di cronaca e neanche il consenso dei genitori autorizza il giornalista a riportare informazioni che possano nuocere al suo sviluppo.

Il Garante Privacy a seguito della pubblicazione di diversi dati identificativi di una bambina (fotografie, il nome, il luogo di residenza, l’età, il nome e il cognome della madre, il nome della scuola frequentata), su alcune testate giornalistiche, ha avviato d’ufficio un’istruttoria, in cui ha chiesto alle società proprietarie delle testate, a fornire proprie osservazioni nonché a rappresentare eventuali iniziative assunte spontaneamente a tutela della minore

Il Garante ha tuttavia ritenuto di non dover adottare alcun provvedimento inibitorio, poiché le testate, appena avuta notizia dell’avvio dell’istruttoria, hanno eliminato gli articoli dalla rete o oscurato i dati che rendevano identificabile la bambina.

La vicenda descritta negli articoli affronta, a parere dell’Autorità, un tema di indubbio interesse pubblico, riguardando il dibattito in corso sul rapporto rischi benefici delle vaccinazioni.

Nel riportare la notizia, i giornalisti devono però tener conto delle regole che disciplinano il rapporto tra attività giornalistica e protezione dei dati personali e delle garanzie poste a tutela dei più piccoli.

Nel caso di specie trovano applicazione le norme che regolano il rapporto tra attività giornalistica e protezione dei dati personali, nonché i principi e le specifiche garanzie poste a tutela della dei minori. In particolare:

  • l’art. 137, comma 3, del Codice il quale dispone che in caso di diffusione di dati personali per finalità giornalistiche restano fermi i limiti del diritto di cronaca a tutela dei diritti di cui all’articolo 2 del medesimo Codice (dignità, riservatezza, identità personale e protezione dei dati personali) e, in particolare, il limite dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico;
  • l’art. 7 del codice di deontologia il quale afferma che il diritto del minore alla riservatezza deve essere sempre considerato come primario rispetto al diritto di cronaca e stabilisce che «al fine di tutelarne la personalità, il giornalista non pubblica i nomi dei minori coinvolti in fatti di cronaca, né fornisce particolari in grado di condurre alla loro identificazione» (comma 1).

Il principio di essenzialità dell’informazione e la speciale tutela a favore del minore devono essere inoltre interpretati alla luce della particolare protezione accordata, anche nell’esercizio dell’attività giornalistica, alle informazioni idonee a rivelare lo stato di salute (art. 139 del Codice). Con riguardo al caso di specie, e proprio in relazione a malattie gravi riferibili a una persona identificata e identificabile, il codice di deontologia prescrive al giornalista di rispettarne la dignità, la riservatezza e il decoro personale e di astenersi dal pubblicare dati analitici (art. 10). Anche la Carta di Treviso, richiamata dal citato art. 7 del codice di deontologia, stabilisce che, in caso di bambini malati, occorre porre “particolare attenzione e sensibilità nella diffusione delle immagini e delle vicende” che li riguardano al fine di evitare forme di sensazionalismo lesive della loro personalità.

E, anche se in questo caso la diffusione di dati personali è avvenuta con il consenso dei genitori, questo elemento, sottolinea l’Autorità, non è di per sé sufficiente a legittimare l’identificabilità del minore. Il consenso parentale non esime infatti il giornalista dal valutare il potenziale pregiudizio che può derivare dalla pubblicazione di informazioni così dettagliate.

Il giornalista è chiamato ad adottare le cautele di volta in volta più opportune per tutelare il minore, senza per questo abdicare al ruolo fondamentale di denuncia e informazione della collettività. Tale principio, più volte affermato dall’Autorità, trova conferma anche nella Carta di Treviso, secondo cui, “a prescindere dall’eventuale consenso dei genitori, il  minore non va coinvolto in forme di comunicazioni lesive dell’armonico sviluppo della sua personalità“.

(Fonte Garante Privacy)

20 Apr 2016

L’Autorità Garante Privacy si è pronunciata nei confronti della società Facebook, a seguito di un ricorso da parte un utente che non aveva ricevuto dal servizio di assistenza della società Facebook, una risposta soddisfacente alla sua istanza presentata ai sensi degli artt. 7 e 8 del Codice in materia di protezione dati personali.

Nel caso in questione, l’utente, titolare di un account Facebook, è stato vittima di attività configuarbili come minacce, tentativo di estorsione, sostituzione di persona e indebita intrusione in sistema informatico da parte di una persona, anch’essa utente Facebook, che dopo aver chiesto ed ottenuto la propria “amicizia”, avrebbe intrattenuto con lo stesso “una corrispondenza telematica inizialmente di carattere confidenziale ma successivamente concludente nei tentativi di reato“.

Infatti, dopo essersi insinuato fra i suoi contatti in modo amichevole e confidenziale, aveva iniziato a ricattarlo richiedendogli con insistenza delle somme di denaro.

Non avendo accettato le richieste di denaro, la persona “amica” avrebbe creato un falso account, utilizzando i suoi dati personali e la fotografia postata sul profilo dell’interessato, dal quale avrebbe inviato a tutti i contatti Facebook dell’interessato fotografie e video artefatti con fotomontaggio (che lo ritraevano “intento in attività sessuali anche con minori“) gravemente lesivi dell’onore e del decoro oltre che dell’immagine pubblica e privata del ricorrente, noto professionista e titolare di una carica istituzionale in ambito locale.

L’interessato aveva immediatamente chiesto a Facebook, tramite il previsto servizio on-line, la rimozione delle false foto/video montaggi a contenuto diffamatorio ricevendo “notizia da terzi che il falso profilo “Facebook” era stato eliminato e che le conversazioni presenti sull’account” di sua effettiva titolarità “erano state oscurate con dicitura di indisponibilità“.

Inoltre, l’interessato aveva provveduto anche ad inviare a Facebook Ireland Ltd. una raccomandata in cui chiedeva:

  1. a) la conferma dell’esistenza e la comunicazione in forma intelligibile di tutti i dati che lo riguardano (informazioni e fotografie) detenuti in relazione ai profili Facebook aperti a suo nome;
  2. b) di conoscere l’origine dei dati, le finalità, le modalità e la logica del trattamento, gli estremi identificativi del titolare e del responsabile, nonché i soggetti o le categorie di soggetti cui i dati sono stati comunicati o che possono venirne a conoscenza;
  3. c) la cancellazione e il blocco del falso account e dei dati, fotografia inclusa, illecitamente inseriti dallo stesso falso account e condivisi nel social nework, oltre all’attestazione che tale operazione è stata portata a conoscenza di coloro ai quali i dati sono stati comunicati o diffusi;
  4. d) e  si è opposto al trattamento dei dati in questione.

Facebook Ireland Ltd. invia in risposta le istruzioni per accedere ai propri dati tramite il servizio “download tool”, una serie di dati non intelligibili perchè indicati con codici, numeri e sigle, e comunque parziali in quanto limitati ai dati relativi all’account Facebook valido del ricorrente e non anche i dati trattati dal falso account e condivisi nel social network. Tramite questo servizio l’interessato ha avuto anche modo di riscontrare come tutte le conversazioni con l’autore del falso account (sia quelle colloquiali che quelle integranti gli asseriti illeciti) non erano state cancellate, nonostante dopo la segnalazione del ricorrente fossero risultate, secondo informazioni ricevute da terzi, indisponibili nel proprio account.

A questo punto, l’interessato si rivolge al Garante Privacy, il quale ai fini della valutazione del caso, si sofferma ad accertare il diritto ad esso applicabile, partendo da un’analisi delle attività rispettivamente svolte da Facebook Italy S.r.l. e da Facebook Ireland Ltd.

Facebook Italy s.r.l., è una società che ha per oggetto “la fornitura di servizi internet e di servizi di vendita, la vendita di spazi pubblicitari on-line, il marketing ed ogni attività connessa“, pur non risultando il trattamento dei dati personali in questione effettuato direttamente dal predetto stabilimento italiano, lo stesso viene comunque svolto “nel contesto delle attività” di Facebook Italy s.r.l. e considerato altresì che le attività delle due società sono “inestricabilmente connesse” poiché l’attività svolta da Facebook Italy s.r.l. è volta a rendere economicamente redditizio il servizio reso da Facebook Ireland Ltd.

Sulla base di questo, il Garante afferma l’applicabilità della legge italiana, e quindi del Codice Privacy e accoglie il ricorso, anche alla luce della direttiva 95/46/EC e delle sentenze della Corte di Giustizia europea “Google Spain” del 13 maggio 2014 e “Weltimmo” del 1 ottobre 2015.

Pertanto, ordina alla società Facebook di comunicare in forma intelligibile al ricorrente tutti i dati che lo riguardano detenuti in relazione ai profili Facebook aperti a suo nome, nonché di fornire all’interessato indicazioni circa le richieste di cui all’art. 7, comma 2, del Codice.

Inoltre, ordina ai gestori di non effettuare, con effetto immediato dalla data di ricezione del presente provvedimento, alcun ulteriore trattamento dei dati riferiti all’interessato, inseriti nel social network dal falso account, con conservazione di quelli finora trattati ai fini della eventuale acquisizione da parte dell’autorità giudiziaria.

(Fonte Garante Privacy)

20 Mar 2016

Il Garante per la protezione dei dati personali ha espresso un parere condizionato sullo schema di decreto legislativo recante il riordino della disciplina sugli obblighi di pubblicità, trasparenza e informazioni da parte della pubbliche amministrazioni.

L’Autorità ritiene necessario, in primo luogo, sviluppare alcuni criteri di delega non adeguatamente articolati. Si propone quindi di razionalizzare e rimodulare gli obblighi di pubblicazione in funzione di tre criteri essenziali: grado di esposizione dei singoli titolari di funzioni pubbliche al rischio corruttivo, funzionalità del dato da pubblicare rispetto alla effettiva necessità di conoscenza da parte dei cittadini e bilanciamento delle esigenze di trasparenza con il diritto alla protezione dei dati.

La trasparenza della P.A. deve garantire il diritto dei cittadini di essere informati sulla funzione pubblica ed il suo esercizio, rispettando la disciplina in materia di privacy. Il tema dell’applicazione delle disposizioni sulla trasparenza da parte della PA è, infatti, particolarmente complesso e necessita di un approccio equilibrato per evitare che i diritti fondamentali alla riservatezza e alla protezione dei dati possano essere gravemente pregiudicati da una diffusione, non adeguatamente regolamentata, di documenti che riportino delicate informazioni personali. Occorre quindi tenere in considerazione i rischi per la vita privata e per la dignità delle persone interessate che possono derivare da obblighi di pubblicazione sul web di dati personali non sempre indispensabili a fini di trasparenza. Rischi che emergono ancora di più in considerazione della delicatezza di alcune informazioni e della loro facile reperibilità grazie ai motori di ricerca.

L’Autorità ha anche chiesto di precisare meglio l’estensione degli obblighi di trasparenza, definendoli in maniera puntuale e non con un generico ed indeterminato rinvio alla “normativa vigente”.

A parere del Garante è irragionevole estendere automaticamente gli obblighi di trasparenza (come il mantenimento sul web per cinque anni, l’obbligo di indicizzazione, la vigilanza dell’Anac) e le relative sanzioni a tutti i dati, documenti, e informazioni resi pubblici sulla base di obblighi giuridici regolati da specifiche norme di settore, aventi spesso finalità notevolmente diverse (si pensi, ad esempio, alle pubblicazioni matrimoniali).

Alcune modifiche sono poi suggerite rispetto alla disciplina dell’accesso modellata sull’esempio del FOIA (Freedom of Information Act) anglosassone che, salvo alcune eccezioni, sancisce il diritto di chiunque di accedere a dati e documenti detenuti dalle pubbliche amministrazioni, anche senza motivazione.

Allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche, chiunque «ha diritto di accedere ai dati e documenti detenuti dalle pubbliche amministrazioni», senza alcuna limitazione quanto alla legittimazione soggettiva del richiedente e senza motivazione, salvo le eccezioni previste dall’art. 5-bis (che prevedono ipotesi in cui l’accesso civico debba essere rifiutato perché reca pregiudizi a interessi pubblici e privati).

Anzitutto, ove si richieda di accedere a dati personali, il Garante propone di accogliere l’istanza solo se funzionale a un interesse ritenuto prevalente rispetto al diritto alla riservatezza, ovvero oscurando i dati personali presenti. L’Autorità propone anche di escludere l’accesso a dati sensibili, giudiziari o di minori, in ragione della tutela rafforzata che l’ordinamento riconosce a tali dati.

Si suggerisce poi di demandare a un regolamento attuativo l’individuazione, nel dettaglio, delle categorie di dati e documenti suscettibili di accesso e dei casi di rigetto dell’istanza a fini di tutela delle persone interessate. Questo per evitare, in assenza di parametri certi, interpretazioni difformi da parte delle singole amministrazioni, tali da poter determinare un diverso grado di tutela della riservatezza e un’ ingiustificata disparità di trattamento per i cittadini.

In assenza delle modifiche richieste dal Garante vi è, infatti, il rischio di errate interpretazioni da parte delle diverse amministrazioni, suscettibili di comportare conseguenze paradossali.

Si pensi all’accoglimento di una richiesta di accesso alla lista nominativa dei bambini iscritti a una scuola, corredata dagli ulteriori dati di cui questa dispone (dal domicilio alla composizione o allo stato reddituale della famiglia, a eventuali disabilità). O si consideri un’istanza di accesso all’anagrafe tributaria, ove confluiscono, tra gli altri, tutti i dati relativi a saldi, movimenti e giacenza media dei conti correnti dei cittadini. Per non pensare all’ostensione, a chiunque ne faccia richiesta, di informazioni sulla salute o la vita sessuale dei singoli, detenuti da strutture ospedaliere e di cura.

Per quanto riguarda la durata degli obblighi di pubblicazione, lo schema indica un termine generale di pubblicità dei dati di 5 anni, decorrenti dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo di pubblicazione, seppur con l’indicazione tre deroghe che giustificano l’ostensione anche allo scadere e/o a prescindere dal termine di 5 anni. Il Garante ha osservato che tale termine, applicabile indiscriminatamente a qualunque tipo di dato, non è compatibile con il principio, di origine comunitaria, di proporzione tra il tempo in cui l’atto rimane pubblico e le finalità per le quali esso è reso noto o trattato, principio peraltro recepito dal Codice in materia di protezione dei dati personali all’art. 11, c. 1, lett. d) ed e) ed all’art. 7, c. 3, lett. b).

L’Autorità suggerisce, infine, di disciplinare con criteri di maggiore proporzionalità gli obblighi di pubblicazione dei dati patrimoniali per il personale pubblico (e i relativi coniugi e parenti entro il secondo grado), modulando gli obblighi di trasparenza a seconda del ruolo e della carica ricoperta. Lo scopo è quello di evitare che – con la prevista estensione ai dirigenti degli obblighi stabiliti per i titolari di incarichi politici – si determinino ingerenze eccessive nella vita privata di un ambito vastissimo di dipendenti pubblici (sarebbero oltre 140 mila i dirigenti tenuti alla pubblicazione della situazione patrimoniale, senza contare coniugi e parenti fino al secondo grado).

 

(Parere 3 marzo 2016 Garante Privacy)

20 Mar 2016

Durante l’audizione, 8 marzo 2016, presso la Commissione Affari Sociali della Camera dei Deputati, il Garante della Privacy, Antonello Soro, sottolinea l’importanza della digitalizzazione nel campo della sanità e come questa vada incoraggiata, per migliorare l’efficienza della sanità.

Il Garante ha spigato che questo processo deve essere governato con molta attenzione, in quanto coinvolge categorie di dati personali (c.d. ipersensibili) tra le più delicate e, per questo, meritevoli di quella tutela rafforzata. I dati sanitari, se illecitamente trattati sono infatti suscettibili di esporre l’interessato a forme di discriminazione rese possibili soltanto dalla conoscenza di aspetti così intimi, quali quelli “idonei a rivelare lo stato di salute dell’interessato“.

La perdita, la sottrazione, l’alterazione, l’abuso di un dato sanitario rende vulnerabili banche dati essenziali e, insieme, viola quanto di più intimo e privato vi è nella persona: ne tocca la dignità.

Per Soro, nella digitalizzazione della sanità la frammentazione, l’assenza di un piano organico di sicurezza sono più pericolose che in ogni altro settore. La carente sicurezza dei dati può rappresentare, in altri termini, una causa di malasanità.

Invece, la protezione dei dati personali deve rappresentare un fattore determinante di efficienza sanitaria.

(Fonte Garante Privacy)

20 Lug 2015

Il Garante Privacy, il 4 Giugno 2015, ha adottato le nuove Linee Guida sul Dossier Sanitario Elettronico alle quali dovranno attenersi tutte le Strutture Sanitarie, pubbliche e private, che utilizzano o che intendono istituire il Dossier Sanitario elettronico.

Sul tema il Garante era già intervenuto nel 2009 con le “Linee guida in tema di Fascicolo Sanitario Elettronico (Fse) e di Dossier Sanitario“(provv. del 16 luglio 2009), in cui aveva dato una definizione di FSE (Fascicolo Sanitario Elettronico) e Dossier Sanitario.

Attraverso le Nuove Linee Guida, il Garante Privacy fornisce un quadro di riferimento unitario, che i titolari del trattamento dovranno seguire per conformarsi ai principi stabiliti dal Codice Privacy, visto il crescente utilizzo di questi strumenti in ambito sanitario.

Allo scopo di agevolare la lettura del documento, nell’allegato C vengono riportate le definizioni dei principali vocaboli utilizzati nelle Linee Guida.

Vediamo in dettaglio quali sono le principal novità che vengono introdotte:

  •  Libera scelta al paziente, che dovrà poter decidere in piena libertà se far costituire o meno il dossier sanitario, quindi un trattamento Specifico e Facoltativo;
  • Consenso L’interessato dovrà scegliere in piena libertà, se adottare il Dossier Sanitario o meno (Facoltatività del Consenso). In assenza del consenso il medico avrà a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista;
  • Consenso specifico, per poter inserire nel dossier informazioni particolarmente delicate (infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia);
  •  Informativa chiara in cui andrà indicato chi avrà accesso ai suoi dati e che tipo di operazioni potrà compiere. L’informativa dovrà seguire tutti gli elementi previsti dall’art. 13 del Codice.
  • Esercizio dei diritti al paziente (art.7 e ss. del Codice), tra cui il diritto di accesso ai dati, di integrazione, di rettifica, di oscuramento di alcuni dati o documenti sanitari che non intende far confluire nel dossier, di conoscere il reparto, la data e l’orario in cui è avvenuta la consultazione del suo Dossier Sanitario;
  • Elevate misure di sicurezza, tra cui la separazione dei dati sanitari dai dati personali, la cifratura dei dati sensibili, l’accesso al Dossier Sanitario solo al personale sanitario coinvolto nella cura, la tracciatura automatica (da conservare per almeno 24 mesi) di ogni operazione (inclusa la mera visualizzazione) sul Dossier Sanitario;
  • Data Breach, segnalazione al Garante Privacy entro 48 ore di eventuali violazioni di dati o incidenti informatici, attraverso un modulo predisposto ad hoc.

Possiamo notare come nelle Linee Guida il Garante sottolinei l’importanza dell’adozione di Misure di Sicurezza specifiche, cioè: Sistemi di Autenticazione e di Autorizzazione; Tracciabilità degli accessi e delle operazioni effettuate ; Sistemi di Audit Log; Separazione e cifratura dei dati.

Inoltre, novità che anticipa il Nuovo Regolamento Europeo, il Data Breach. La comunicazione obbligatoria da inviare al Garante Privacy, in caso di incidenti informatici (accessi abusivi, azione di malware, etc.), oppure nel caso di violazione. La comunicazione andrà fatta entro 48 ore attraverso uno schema che troviamo nell’ allegato B delle Linee Guida sul Dossier Sanitario. A ciò si aggiunge, o meglio come auspica il Garante, di individuare una figura come responsabile del trattamento dei dati, il Data Protection Officer (DPO). Questi sarà il referente con il Garante e dovrà relazione nei casi di data breach.

20 Mar 2015

Con la sentenza n. 3122 depositata il 17 febbraio 2015, la Cassazione è nuovamente intervenuta sull’utilizzo in giudizio delle prove acquisite mediante strumenti di controllo a distanza diretti a verificare le condotte illecite dei dipendenti.

La vicenda trae origine dal licenziamento intimato per giusta causa a tre lavoratori di una raffineria che erano stati scoperti nell’atto di compiere un’operazione fraudolenta ai danni della propria azienda. In particolare, gli stessi erano stati sorpresi mentre, insieme ad alcuni autisti, alteravano il carico effettivo delle autobotti, sottraendo carburante.

L’azienda datrice di lavoro aveva avuto conoscenza di tale fatto grazie ad un filmato effettuato dalla Guardia Di Finanza.

Nel caso in esame la ripresa era idonea a provare un fatto costituente reato e successivamente la Corte ha affermato che, in tema di controllo a distanza  del lavoratore, “le garanzie procedurali imposte dalla Legge n. 300 del 1970, articolo 4, comma 2, per l’installazione di impianti e apparecchiature di controllo richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, dai quali derivi la possibilità di verifica a distanza dell’attività dei lavoratori, trovano applicazione ai controlli, c.d. difensivi, diretti ad accertare comportamenti illeciti dei lavoratori”,  purché “tali comportamenti riguardino l’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro, e non, invece, quando riguardino la tutela di beni estranei a rapporto stesso”.

Pertanto, devono ritenersi legittimi i controlli, anche se “occulti”, diretti ad accertare comportamenti del prestatore illeciti e lesivi del patrimonio e dell’immagine aziendale.

La Corte ha inoltre ribadito che «al fine di dimostrare l’illecito posto in essere da propri dipendenti, di utilizzare le risultanze di registrazioni video operate fuori dall’azienda da un soggetto terzo, del tutto estraneo all’impresa e ai lavoratori dipendenti della stessa, per esclusive finalità “difensive” del proprio ufficio e della documentazione in esso custodita, con la conseguenza che tali risultanze sono legittimamente utilizzabili nel processo dal datore di lavoro».

Quindi, si debbano ritenere legittimi i controlli, anche se nascosti, volti ad accertare comportamenti illeciti del lavoratore e lesivi del patrimonio e dell’immagine aziendale.

6 Ott 2014

Mio articolo pubblicato in essecome n. 6/2014, pag. 53

Si possono installare le telecamere private per la salvaguardia della propria abitazione a condizione che non venga ripresa la strada pubblica. Il rischio è quello di violare la privacy! In questo caso, infatti, l’attività viene classificata come trattamento dati e va applicata la direttiva 95/46 relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione dei dati, recepita in Italia con Dlgs n. 196/2003 (“Codice in materia di protezione dei dati personali”). Quindi, “vista” limitata alle telecamere.

La recente sentenza della Corte di Giustizia Europea (C 212/13) sull’installazione della videosorveglianza sulla propria abitazione, riaccende il dibattito in merito alle riprese ai fini personali e, più in particolare, ponendo il dubbio se le medesime rientrano o meno nel campo d’applicazione della Direttiva Europea sulla Privacy (95/46/CE), recepita in Italia con il D.lgs. 196/03 (Codice Privacy).

L’art. 3 paragrafo 2 della Direttiva prevede che questa non si applica al trattamento di dati personali effettuati da una persona fisica per l’esercizio di attività a carattere “esclusivamente personale o domestico”.

Nel caso in esame, la Corte di Giustizia è stata chiamata a pronunciarsi su un episodio accaduto nella Repubblica Ceca, in cui un cittadino privato aveva installato un sistema di videosorveglianza a seguito di alcuni eventi di vandalismo contro la sua abitazione. Le immagini registrate sono servite ad individuare gli autori, i quali hanno contestato la legittimità delle registrazioni e l’Ufficio per la tutela dei dati personali ha dato ragione ai ricorrenti. Il proprietario del sistema avverso questa decisione presenta ricorso alla Corte Suprema Amministrativa della Repubblica Ceca che, prima di pronunciarsi, sottopone la questione interpretativa ai giudici di Lussemburgo, chiedendo «se il fatto di tenere in funzione un sistema di videocamera installato su un’abitazione familiare allo scopo di proteggere la proprietà, la salute e la vita dei proprietari possa rientrare nell’ambito della direttiva europea sulla privacy oppure se l’attività è lecita e, quindi, consentita al privato senza particolari obblighi (informativa e consenso).

http://www.securindex.com/news/leggi/911/videosorveglianza-in-casa-quando-si-applica-la-normativa-privacy