Tag Archives: privacy

PatriziaMeo Consulente Privacy e DPO > Blog > privacy
15 Apr 2020

La privacy non si ferma!

La privacy non si ferma!

Nel rispetto delle disposizioni normative atte a ridurre la diffusione della pandemia da COVID 19 lo
studio Patrizia Meo da alcune settimane opera in modalità smart working con efficienza e
puntualità, nella volontà di continuare a essere vicino ai propri clienti.
La privacy, in tempi straordinari come questi, è piùche mai importante.
Consulenza, documentazione, formazione, qualunque sia la vostra esigenza non esitate a contattarci via mail: info@patriziameo.it
Studio Patrizia Meo

23 Mar 2020

COVID 19. Misurazione della temperatura e trattamento dei dati

Con la progressiva emergenza del COVID 19, le imprese, gli enti e le strutture socio sanitarie, si trovano a prendere decisioni e iniziative importanti, in tempi ristretti, trovandosi a trattare un’ingente quantità di dati sullo stato di salute dei dipendenti e collaboratori.

In questo contesto, cosa deve fare il datore di lavoro e quali misure deve porre in essere, per non violare la normativa in materia di trattamento dei dati personali?

Le norme in materia di protezione dei dati (come il Regolamento generale sulla protezione dei dati) non ostacolano l’adozione di misure per il contrasto della pandemia di coronavirus. La lotta contro le malattie trasmissibili è un importante obiettivo condiviso da tutte le nazioni e, pertanto, dovrebbe essere sostenuta nel miglior modo possibile. Occorre tenere conto di una serie di considerazioni per garantire la liceità del trattamento di dati personali e, in ogni caso, si deve ricordare che qualsiasi misura adottata in questo contesto deve rispettare i principi generali del diritto e non può essere irrevocabile.

L’emergenza è una condizione giuridica che può legittimare limitazioni delle libertà, a condizione che tali limitazioni siano proporzionate e confinate al periodo di emergenza.

Sotto il profilo privacy, la temperatura corporea del lavoratore rappresenta un dato personale relativo alla sua salute, e di conseguenza la sua rilevazione è un’operazione di trattamento che, come tale, richiede lo svolgimento di specifici adempimenti. Vediamo insieme come.

Domande e risposte:

Nel controllare la temperatura dei dipendenti o collaboratori, come posso garantire la riservatezza?

E’ necessario che l’azienda metta in atto un percorso interno ad hoc, per misurare la temperatura. L’azienda deve disporre di una procedura interna e predisporre delle misure specifiche in caso di positività, in accordo con il medico del lavoro.

La persona che misura la temperatura, deve essere autorizzata dal titolare?

Si, bisogna individure i soggetti preposti alla misurazione della temperatura e fornire loro delle istruzioni.

I dipendenti devono essere informati circa il trattamento dei dati?

Si, è necessario informare i dipendenti ai sensi dell’art. 13 del GDPR. L’informativa potrà essere fornita anche oralmente o eventualmente posta all’ingresso dei locali in cui viene rilevata la temperatura.

Qual è la finalità e la base giuridica del trattamento posto in essere nel contesto emergenziale dovuto al Covid-19?

Con riferimento alla finalità del trattamento potrà essere indicata la prevenzione dal contagio da COVID-19. Come base giuridica può essere indicata l’implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. art. 1, n. 7, lett. d) del DPCM 11 marzo 2020.

Le strutture sanitarie attuano un monitoraggio clinico degli operatori sanitari con rilevazione della temperatura corporea prima dell’inizio del turno di lavoro, e il rilievo del rialzo dellatemperatura oltre i 37,3 °C comporta l’effettuazione del tampone naso-faringeo per ricerca di SARS-CoV-2 e l’allontanamento dal luogo dilavoro con sospensione dell’attività lavorativa (Ordinanza n. 514 del 21/03/2020 Regione Lombardia)

Per quanto tempo conservo i dati?

La temperatura dovrà essere registrata solo in caso di superamento della soglia dei 37,5°. L’eventuale conservazione dei dati si farà riferimento fino al termine dello stato d’emergenza. Ricordiamo che è opportuno raccogliere solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da COVID-19.

Se il dipendente presenta sintomi durante il corso dell’attività lavorativa, chi contatto?

Se il dipendente presenta sintomi da contagio Covid 19 è tenuto a dichiararlo immediatamente al datore di lavoro o all’ufficio del personale. Questi procederà:

  • con l’isolamento momentaneo in base alle disposizione dell’autorità sanitaria;
  • contatterà immediatamente i servizi sanitari competenti ed attenersi alle indicazioni fornite dagli operatori sanitari.

In questo caso deve essere garantita la riservatezza delle informazioni relative al possibile contagio da Coronavirus

Posso comunicare o diffondere il nominativo del dipendente risultato positivo?

No. I dati sullo stato di salute non possono essere diffusi. La Protezione civile o le autorità sanitarie provvederanno a contattare singolarmente i soggetti a rischio entrati in contatto con il lavoratore risultato positivo al fine di adottare gli opportuni provvedimenti. L’azienda deve definire le misure di sicurezza e organizzative adeguate a proteggere i dati.

Posso richiedere al dipendente la compilazione di un questionario in cui chiedo la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19?

Il datore di lavoro può richiedere la compilazione di questionari sulla provenienza da zone a rischio epidemiologico, ricordando che deve astenersi dal richiedere informazioni ulteriori circa le persone o in merito alle specificità dei luoghi. Ricordiamo di raccogliere solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da COVID-19.

L’azienda dovrà informare preventivamente il personale, e chi intende fare ingresso in azienda, della preclusione dell’accesso a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al COVID-19 o provenga da zone a rischio. Si farà riferimento in questo caso al Decreto Legge n. 6 del 23/02/2020, art. 1, lett. h) e i).

 

Lo Studio Patrizia Meo resta a disposizione per rispondere ai vostri quesiti

 

Questo articolo fa parte della rubrica “Appunti privacy durante l’emergenza Covid19”
www.patriziameo.it o pagina FB www.facebook.com/patriziameoconsulenteprivacy/

 Scrivi all’indirizzo mail: info@patriziameo.it

 

2 Mar 2020

Garante Privacy, no alle iniziative di raccolta dati “fai da te”, per emergenza Coronavirus

Soggetti pubblici e privati devono attenersi alle indicazioni del Ministero della salute e delle istituzioni competenti

Il Garante Privacy ha ricevendo numerosi quesiti da parte di soggetti pubblici e privati in merito alla possibilità di raccogliere, all’atto della registrazione di visitatori e utenti, informazioni circa la presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti, come misura di prevenzione dal contagio.

Analogamente, datori di lavoro pubblici e privati hanno chiesto al Garante la possibilità di acquisire una “autodichiarazione” da parte dei dipendenti in ordine all’assenza di sintomi influenzali, e vicende relative alla sfera privata.

Il Garante Privacy premette che la normativa d’urgenza adottata per far fronte all’emergenza Coronavirus prevede che chiunque abbia soggiornato negli 14 gg abbia soggiornato nelle zone a rischio epidemiologico, nonché nei comuni individuati dalle più recenti disposizioni normative, debba comunicarlo alla azienda sanitaria territoriale, anche per il tramite del medico di base, che provvederà agli accertamenti previsti come, ad esempio, l’isolamento fiduciario.

I datori di lavoro devono invece astenersi dal raccogliere:

  • informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa;
  • Utilizzare autocertificazioni in merito all’assenza di sintomi influenzali e vicende relative alla sfera privata.

La finalità di prevenzione dalla diffusione del Coronavirus deve infatti essere svolta da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato.

L’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.

Resta fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro.

Al riguardo, il Ministro per la pubblica amministrazione ha recentemente fornito indicazioni operative circa l’obbligo per il dipendente pubblico e per chi opera a vario titolo presso la P.A. di segnalare all’amministrazione di provenire da un’area a rischio.

In tale quadro il datore di lavoro  può invitare i propri dipendenti a fare, ove necessario, tali comunicazioni agevolando le modalità di inoltro delle stesse, anche  predisponendo canali dedicati; permangono altresì i compiti del datore di lavoro relativi alla necessità di comunicare agli organi preposti l’eventuale variazione del rischio “biologico” derivante dal Coronavirus per la salute sul posto di lavoro e gli altri adempimenti connessi alla sorveglianza sanitaria sui lavoratori per il tramite del medico competente, come, ad esempio, la possibilità di sottoporre a una visita straordinaria i lavoratori più esposti.

Nel caso in cui, nel corso dell’attività lavorativa, il dipendente che svolge mansioni a contatto con il pubblico (es. URP, prestazioni allo sportello) venga in relazione con un caso sospetto di Coronavirus, lo stesso, anche tramite il datore di lavoro, provvederà a comunicare la circostanza ai servizi sanitari competenti e ad attenersi alle indicazioni di prevenzione fornite dagli operatori sanitari interpellati.

Le autorità competenti hanno, inoltre, già previsto le misure di prevenzione generale alle quali ciascun titolare dovrà attenersi per assicurare l’accesso dei visitatori a tutti i locali aperti al pubblico nel rispetto delle disposizioni d’urgenza adottate.

Pertanto, il Garante, accogliendo l’invito delle istituzioni competenti a un necessario coordinamento sul territorio nazionale delle misure in materia di Coronavirus, invita tutti i titolari del trattamento ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute e  dalle istituzioni competenti per la prevenzione della diffusione del Coronavirus, senza effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti.

Roma, 2 marzo 2020

(Garante privacy)

10 Feb 2020

Invio di mail ad indirizzi in chiaro. Perché è importante utilizzare lo strumento ccn (copia conoscenza nascosta).

L’autorità Garante Privacy, con provvedimento del 9 gennaio 2020, ammonisce la Provincia autonoma di Trento per l’invio di una e-mail destinata, contemporaneamente e con gli indirizzi in chiaro, a sedici genitori di bambini non in regola con l’obbligo delle vaccinazioni.

Il Garante ha precisato che le informazioni contenute nella comunicazione della Provincia sono qualificabili come dati relativi alla salute dei minori. Tali dati possono essere trattati solo sulla base di un idoneo presupposto giuridico, rispettando i principi di liceità, correttezza e trasparenza nonché di minimizzazione, in modo sicuro e solo se adeguati, pertinenti e limitati rispetto alle finalità per le quali sono trattati.

L’e-mail andava dunque inviata a ciascun genitore separatamente, in modo personalizzato, o utilizzando lo strumento della copia conoscenza nascosta (ccn), per rendere ogni indirizzo riservato.

Di conseguenza l’Autorità, oltre ad aver dichiarato illecito il trattamento, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, consistente nella violazione degli artt. 5 e 9 del Regolamento, ha ammonito la Provincia affinché provveda a conformare i trattamenti di dati personali che comportano l’invio di comunicazioni a mezzo posta elettronica alle disposizioni e ai principi in materia di protezione dei dati personali.

Nel caso specifico il Garante ha tenuto conto del fatto che l’illecito è stato un primo e isolato evento, dovuto alla disattenzione di una dipendente. Si è trattato di un “primo e isolato evento” “a formazione istantanea e che, quindi, non si è protratto nel tempo” non dovuto a “comportamenti dolosi da parte della dipendente”, ma a “disattenzione” e, nel manifestare la massima cooperazione con l’Autorità, ha confidato “in una mancata applicazione di sanzione alcuna e, in via subordinata, nell’emanazione di un ammonimento”.

L’Autorità ha inoltre tenuto conto che la violazione gli è stata notificata dalla Provincia stessa, che, a seguito dell’accaduto, ha informato del fatto gli interessati, scusandosi e adottando atti e iniziative volte a sensibilizzare il personale al rispetto della disciplina dei dati personali:

«alle sedici famiglie coinvolte è stata inviata una raccomandata A.R: nella quale sono state informate dell’accaduto e segnalate le scuse dell’Amministrazione, nonché richiamata la necessità di riservatezza e il divieto di comunicare o divulgare i dati di cui sono venute a conoscenza». «Al riguardo non è pervenuta alcuna risposta/osservazione da parte delle famiglie».

(Fonte Garante Privacy)

20 Dic 2019

Scuola e privacy, l’Autorità aggiorna le FAQ

Il Garante Privacy aggiorna il decalogo “Privacy e scuola”, dopo l’entrata in vigore del GDPR (Regolamento europeo per la protezione dei dati personali), pubblicando sul sito un elenco di domande più frequenti rivolte all’Autorità e le relative risposte.

Di particolare interesse,  la conferma della liceità della richiesta di una copia della carta d’identità del delegante e del delegato. Facendo riferimento al principio della responsabilità (accountability), che deve muovere ogni soggetto pubblico, il Garante ha risposto: “ è facoltà delle istituzioni scolastiche regolare e modulare tale modalità, assicurando al tempo stesso le cautele necessarie a garantire l’identificabilità dei soggetti coinvolti e che i dati eventualmente raccolti siano protetti (da accessi abusivi, rischi di perdita o manomissione) con adeguate misure di sicurezza.”

1) La scuola deve rendere l’informativa?

Sì. Tutte le scuole – sia quelle pubbliche, sia quelle private – hanno l’obbligo di far conoscere agli “interessati” (studenti, famiglie, professori, etc.) come vengono trattati i loro dati personali. Devono cioè rendere noto – attraverso un’adeguata informativa con le modalità ritenute più opportune, eventualmente anche online – quali dati raccolgono, come li utilizzano e a quale fine.

2) È possibile accedere ai propri dati personali detenuti dagli istituti scolastici?

Sì. Ogni persona ha diritto di conoscere se sono conservate informazioni che la riguardano, di farle rettificare se erronee o non aggiornate. Per esercitare questi diritti è possibile rivolgersi direttamente al “titolare del trattamento” (in genere l’istituto scolastico di riferimento). Se la scuola non risponde o il riscontro non è adeguato, è possibile rivolgersi al Garante o alla magistratura ordinaria.

3) È possibile accedere alla documentazione relativa ad alunni e studenti in possesso della scuola?

Sì. È possibile accedere agli atti e ai documenti amministrativi detenuti dalla scuola ai sensi dalla legge n. 241 del 1990 (artt. 22 ss.)

4) In caso di delega per prelevare il proprio figlio a scuola, è necessario fornire copia della carta d’identità del delegante e del delegato?

Sulla base del principio generale di accountability, è facoltà delle istituzioni scolastiche regolare e modulare tale modalità, assicurando al tempo stesso le cautele necessarie a garantire l’identificabilità dei soggetti coinvolti e che i dati eventualmente raccolti siano protetti (da accessi abusivi, rischi di perdita o manomissione) con adeguate misure di sicurezza.

5) Gli esiti degli scrutini o degli esami di Stato sono pubblici?

Sì. Le informazioni sul rendimento scolastico sono soggette ad un regime di conoscibilità stabilito dal MIUR. Nel pubblicare i voti degli scrutini e degli esami nei tabelloni, l’istituto scolastico deve evitare, però, di fornire informazioni sulle condizioni di salute degli studenti o altri dati personali non pertinenti. Il riferimento alle “prove differenziate” sostenute, ad esempio, dagli studenti con disturbi specifici di apprendimento (DSA) non va inserito nei tabelloni, ma deve essere indicato solamente nell’attestazione da rilasciare allo studente.

6) Le scuole possono trattare le categorie particolari di dati personali?

Le scuole possono trattare le categorie particolari di dati personali (es. dati sulle convinzioni religiose, dati sulla salute) solo se espressamente previsto da norme di legge o regolamentari. In ogni caso non possono essere diffusi i dati relativi alla salute: non è consentito, ad esempio, pubblicare online una circolare contenente i nomi degli studenti con disabilità oppure quegli degli alunni che seguono un regime alimentare differenziato per motivi di salute.

7) Nelle comunicazioni scuola-famiglia possono essere inseriti dati personali degli alunni?

No, nelle circolari, nelle delibere o in altre comunicazioni non rivolte a specifici destinatari non possono essere inseriti dati personali che rendano identificabili gli alunni (ad esempio, quelli coinvolti in casi di bullismo o quelli cui siano state comminate sanzioni disciplinari o interessati da altre vicende delicate).

8) Chi può trattare i dati degli allievi disabili o con disturbi specifici dell’apprendimento (DSA)?

La conoscenza di tali dati è limitata ai soli soggetti a ciò legittimati dalla normativa scolastica e da quella specifica di settore, come ad esempio i docenti, i genitori e gli operatori sanitari che congiuntamente devono predisporre il piano educativo individualizzato (L. n. 104/92, L. n. 328/2000 e D.Lgs. n. 66/2017).

9) L’utilizzo degli smartphone all’interno delle scuole è consentito?

Spetta alle istituzioni scolastiche disciplinare l’utilizzo degli smartphone all’interno delle aule o nelle scuole stesse. In ogni caso, laddove gli smartphone siano utilizzati per riprendere immagini o registrare conversazioni, l’utilizzo dovrà avvenire esclusivamente per fini personali e nel rispetto dei diritti delle persone coinvolte.

10) Violano la privacy le riprese video e le fotografie raccolte dai genitori durante le recite, le gite e i saggi scolastici?

No. Le immagini, in questi casi, sono raccolte per fini personali e destinate a un ambito familiare o amicale. Va però prestata particolare attenzione alla eventuale pubblicazione delle medesime immagini su Internet e sui social network. In caso di diffusione di immagini dei minori diventa infatti indispensabile ottenere il consenso da parte degli esercenti la potestà genitoriale.

11) È possibile registrare la lezione da parte dell’alunno?

Sì. È lecito registrare la lezione per scopi personali, ad esempio per motivi di studio individuale, compatibilmente con le specifiche disposizioni scolastiche al riguardo. Per ogni altro utilizzo o eventuale diffusione, anche su Internet, è necessario prima informare le persone coinvolte nella registrazione (professori, studenti…) e ottenere il loro consenso.

12)  Gli allievi con DSA possono utilizzare liberamente strumenti didattici che consentano loro anche di registrare (c.d. “strumenti compensativi e aumentativi”)?

Sì. La specifica normativa di settore (L. n. 170/2010) prevede che gli studenti che presentano tali disturbi hanno il diritto di utilizzare strumenti di ausilio per una maggiore flessibilità didattica. In particolare, viene stabilito che gli studenti con diagnosi DSA possono utilizzare gli strumenti di volta in volta previsti dalla scuola nei piani didattici personalizzati che li riguardano (ivi compreso il registratore o il pc). In questi casi non è necessario richiedere il consenso delle persone coinvolte nella registrazione.

13) Gli istituti scolastici possono pubblicare sui propri siti internet le graduatorie di docenti e personale ATA?

Sì. Questo consente a chi ambisce a incarichi e supplenze di conoscere la propria posizione e il proprio punteggio. Tali liste devono però contenere solo il nome, il cognome, il punteggio e la posizione in graduatoria. È invece eccedente la pubblicazione dei numeri di telefono e degli indirizzi privati dei candidati.

14) Si possono installare telecamere all’interno degli istituti scolastici?

Sì, ma l’eventuale installazione di sistemi di videosorveglianza presso le scuole deve garantire il diritto dello studente alla riservatezza. Può risultare ammissibile l’utilizzo di tali sistemi in casi di stretta indispensabilità, al fine di tutelare l’edificio e i beni scolastici da atti vandalici, circoscrivendo le riprese alle sole aree interessate. È inoltre necessario segnalare la presenza degli impianti con cartelli. Le telecamere che inquadrano l’interno degli istituti possono essere attivate solo negli orari di chiusura, quindi non in coincidenza con lo svolgimento di attività scolastiche ed extrascolastiche. Se le riprese riguardano l’esterno della scuola, l’angolo visuale delle telecamere deve essere opportunamente delimitato. [Progetti di revisione della disciplina sull’utilizzo degli strumenti di videosorveglianza negli istituti scolastici sono attualmente all’attenzione del Parlamento.]

15) Le scuole possono consentire a soggetti legittimati di svolgere attività di ricerca tramite questionari, da sottoporre agli alunni, contenenti richieste di informazioni personali?

Sì, ma soltanto se i ragazzi e, nel caso di minori, chi esercita la responsabilità genitoriale, siano stati preventivamente informati sulle modalità di trattamento e sulle misure di sicurezza adottate per proteggere i dati personali degli alunni e, ove previsto, abbiano acconsentito al trattamento dei dati. Ragazzi e genitori devono, comunque, avere sempre la facoltà di non aderire all’iniziativa.

(Fonte Grante Privacy)

20 Set 2019

Articolo pubblicato sulla rivista Panorama n. 39 del 18 Settembre 2019

Crescono le esigenze dell’impresa e cresce l’universo della consulenza. È un mondo articolato, che va dagli studi legali specializzati nei più vari ambiti del diritto e nella protezione della privacy e dei patrimoni sino a realtà particolari come broker del noleggio e start up davvero innovative.
 Fra i protagonisti anche i partner tecnologici, forti della visione strategica e degli strumenti più efficaci per affrontare le sfide dell’Industria 4.0.
17 Giu 2019

Responsabilità del dirigente scolastico per violazione privacy

Risponde il dirigente scolastico del danno causato all’istituto dal pagamento di una sanzione amministrativa irrogata dal Garante della privacy per la pubblicazione online di una circolare contente dati di alunni disabili, sentenza n. 246/2019 la Corte dei Conti- Sezione Giurisdizionale per il Lazio.

La Sezione giurisdizionale per il Lazio è stata chiamata a pronunciarsi sulla pretesa fatta valere dalla Procura regionale a carico della Dirigente scolastica di un Istituto professionale e di tre docenti appartenenti all’Istituto stesso, per asserito danno indiretto cagionato all’amministrazione di appartenenza, derivante dalla pubblicazione sulla rete internet di una circolare contenente dati idonei a rivelare lo stato di salute di alunni minori affetti da disabilità.

La pubblicazione della circolare, contente dati di studenti minori di età e disabili, era stata valutata dal Garante della Protezione dei dati Personali quale lesione al diritto alla riservatezza dei minori e delle famiglie, e come tale punita con l’irrogazione di una sanzione amministrativa, per violazione dell’art. 22, comma 8 del Codice per la protezione di dati personali, per un importo di euro 20.000,00. Tale sanzione fu pagata con i fondi della scuola.

La sezione ha ritenuto il comportamento del Dirigente scolastico gravemente negligente per non aver tenuto conto della necessità della riservatezza dei dati idonei a rivelare lo stato di salute degli studenti minori dell’Istituto affetti da disabilità, ed ha consentito la divulgazione nella rete internet della circolare in forma integrale, non avendo prescritto alcun divieto di pubblicazione, né in ultimo controllato che la circolare, a differenza di quelle adottate di consueto, non venisse pubblicata sul sito web dell’Istituto.

La divulgazione del nominativo ha così leso la personalità dello studente disabile, che si è conseguentemente lamentato del trattamento illecito dei dati personali.

Tale sanzione, con decisione pur sempre riconducibile alla Dirigente scolastica, è stata pagata con fondi appartenenti all’Istituto, le cui casse risultano quindi essere state depauperate ad opera della condotta ad un tempo attiva ed omissiva della Dirigente scolastica, compendiatasi in una grave violazione della normativa a presidio della tutela del diritto alla riservatezza, a cui si è posto rimedio con il pagamento con denaro pubblico.

La Corte ha inoltre stabilito che nessuna colpa può essere addossata a chi ha scritto e pubblicato manualmente la circolare, in quanto la responsabilità di verificare la correttezza e la legittimità di una circolare è solo del dirigente scolastico e non può essere estesa ai docenti coinvolti nella stesura e nella pubblicazione.

Sul dirigente scolastico gravava l’obbligo di verificare la correttezza e la legittimità della circolare sottoscritta e di monitorarne i successivi passaggi fino anche ad impedirne la pubblicazione, in quanto il Dlgs 165/ 2001 attribuisce direttamente alla dirigenza la responsabilità dell’organizzazione e della gestione scolastica.

http://www.dirittodeiservizipubblici.it/

12 Mag 2019

No al silenzio assenso per la videosorveglianza

Nessun silenzio-assenso sulla richiesta di autorizzazione all’installazione e utilizzo nei luoghi di lavoro degli impianti audiovisivi e degli altri strumenti di controllo previsti dall’art. 4, comma 1, della L. n.300/1970 e successive modificazioni. A chiarirlo è il Ministero del Lavoro nell’interpello n.3/2019 in risposta all’istanza presentata dal Consiglio nazionale dell’Ordine dei Consulenti del Lavoro, precisando che la stessa norma non consente l’installazione e l’utilizzo degli impianti di controllo senza un atto espresso di autorizzazione sia di carattere negoziale, come un accordo sindacale, sia di carattere amministrativo, come un provvedimento, per via della disuguaglianza di stato tra datore di lavoro e lavoratori.

Infatti, le disposizioni contenute all’art. 4 affidano, in primis, ad un accordo tra la parte datoriale e le rappresentanze sindacali la possibilità di impiego degli impianti e degli altri strumenti che consentano anche il controllo dell’attività dei lavoratori. In mancanza di accordo, l’installazione è subordinata all’autorizzazione dell’Ispettorato del lavoro.

Già con nota del 16 aprile 2012 (prot. n. 7162) la Direzione Generale per l’attività ispettiva del Ministero aveva fornito istruzioni operative in relazione al rilascio delle autorizzazioni previste dall’articolo 4 della legge n. 300del 1970. In quella occasione era stata sottolineata la necessità di considerare i presupposti legittimanti la richiesta di installazione di impianti di controllo, ovvero l’effettiva sussistenza delle esigenze organizzative e produttive, sottolineando inoltre il necessario rispetto del Codice per la privacy, nonché dei successivi provvedimenti del Garante, in particolare delle prescrizioni del Provvedimento generale sulla videosorveglianza dell’8 aprile 2010, nel quale, tra l’altro, si afferma l’esclusione dell’applicazione del principio del silenzio-assenso in questo caso specifico.

(Fonte: Consulenti del Lavoro)

12 Mag 2019

Pec avvocati insicure. L’Autorità avvia un’istruttoria.

“Abbiamo avviato l’istruttoria, necessaria ad accertare le relative responsabilità e a prescrivere le misure opportune per limitare i danni suscettibili di derivarne agli interessati: in particolare avvocati e loro assistiti”. Il presidente dell’Autorità garante per la protezione dei dati personali, Antonello Soro, risponde così all’Agi in relazione al caso del”hackeraggio delle email di migliaia di avvocati romani ad opera di Anonymous.

“Sin da ora – sottolinea Soro – emerge l’assoluta inadeguatezza delle misure di sicurezza correlate alla gestione di un servizio, quale la pec, che dovrebbe garantire la massima riservatezza e su cui, peraltro, si basa l’intera architettura del processo telematico”.

Il Presidente Antonello Soro, interviene con questo comunicato stampa dopo l’attacco di Anonymous alle caselle pec degli avvocati di Roma, circa 30mila e-mail certificate violate, comprese quella della sindaca Virginia Raggi.

«Salve cittadini Italiani, oggi Anonymous, con questa operazione e con l’avvicinarsi dell’anniversario della loro cattura, vuole ricordare i vecchi Amici Aken e Otherwise arrestati nel Maggio 2015», si legge nel post del network pro-Wikileaks che annuncia l’operazione di hackeraggio. E conclude: «Non avete capito che Anonymous non ha leader? Arrestati 2 altri 100 ne nascono. Abbiamo continuato la nostra lotta, e nonostante gli arresti noi non ci arrendiamo».

Il Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche (Cnaipic) della Polizia Postale è ora al lavoro per accertare l’esatta portata della violazione rivendicata da Anonymous Italia. Al momento la Procura capitolina non ha formalmente aperto un fascicolo di indagine ma il Cnaipic è intervenuta per acquisire dati ed elementi per le indagini successive.

L’attacco informatico subito dall’Ordine degli Avvocati di Roma – sottolinea il presidente Antonino Galletti – «rappresenta una gravissima violazione non solo della privacy degli iscritti e dell’integrità dell’istituzione forense, ma anche una violazione penalmente rilevante di un diritto costituzionalmente garantito, quale quello dell’inviolabilità della corrispondenza». «I tecnici della azienda di software che fornisce l’infrastruttura tecnologica all’Ordine capitolino – spiega – sono al lavoro insieme ai funzionari della polizia postale per verificare l’entità del danno e chiudere la falla. Secondo le verifiche dell’azienda, le caselle di posta violate sono quelle i cui titolari non hanno cambiato la password iniziale assegnata dal fornitore. Tutti i responsabili – conclude – saranno naturalmente denunciati all’autorità giudiziaria».

 

Fonte: Il Sole 24 Ore, Garante Privacy

29 Mar 2019

Braccialetto elettronico al polso degli operatori ecologici. No del Garante

Bocciato il “braccialetto” elettronico al polso degli operatori ecologici. Il Garante per la privacy ha chiesto ad una società che si occupa della raccolta dei rifiuti per conto della municipalizzata di un comune di utilizzare dispositivi elettronici alternativi che non ledano la dignità della persona.

La pronuncia è arrivata a conclusione di un procedimento aperto d’ufficio sull’onda dell’interesse mediatico suscitato dalla vicenda.

Nell’aprile dello scorso anno la società aveva consegnato a più di 70 dipendenti addetti alla pulizia delle strade dei dispositivi indossabili dotati anche di un gps, con i quali effettuare la lettura delle etichette elettroniche collocate sui cestini getta rifiuti e segnalare l’eventuale spostamento di quelli non ancorati al suolo. Obiettivo dichiarato della società era quello di rendicontare il lavoro svolto all’Azienza municipalizzata comunale.

Solo dopo l’avvio dell’istruttoria dell’Autorità la società aveva stipulato un accordo sindacale nel  quale si stabiliva, tra l’altro, la lettura quotidiana dei tag per ogni turno di lavoro e si limitava l’attivazione del gps al massimo ad un turno di lavoro a settimana, previa comunicazione al lavoratore.

E’ emerso che nel modello di informativa ai dipendenti, quanto alle finalità dei sistemi si fa riferimento ad “esigenze di sicurezza [e] tutela del patrimonio aziendale” che, con riguardo all’uso dei “dispositivi mobili”, non sono menzionate né nelle note di riscontro inviate all’Autorità nel presente provvedimento né nel menzionato accordo dell’11 giugno 2018.

Pertanto, la società  dovrà provvedere ad aggiornare l’ informativa da fornire ai dipendenti ai sensi dell’art. 13 del Regolamento, escludendo il riferimento alla menzionata finalità relativamente al trattamento dei dati da effettuarsi mediante dispositivi mobili.

Il Garante Privacy, pur giudicando tale configurazione non in contrasto con i principi di necessità e proporzionalità del Regolamento Ue rispetto alle finalità perseguite dalla società, ha tuttavia ritenuto necessario individuare ulteriori misure maggiormente rispettose della dignità dei lavoratori, prescrivendo alla società:

  • di individuare i tempi di conservazione dei registri necessari a gestire le eventuali contestazioni da parte della società municipalizzata
  • di indicare preventivamente e tassativamente i casi specifici (descritti nel dettaglio) nei quali si renderà necessario interconnettere le informazioni allo scopo di poter ricostruire fatti oggetto di contestazione
  • di adottare misure tecnologiche e organizzative idonee a mantenere separate le basi di dati, in particolare quelli trattati attraverso i registri, quando la conservazione è necessaria a fini amministrativi
  • di effettuare una valutazione di impatto sulla protezione dei dati (DPIA), come previsto dal GDPR, viste le concrete caratteristiche del sistema tecnologico
  • di adottare un dispositivo che per le sue caratteristiche esteriori (morfologia) non sia lesivo della dignità e comunque non sia percepito come tale dal dipendente.

Il sistema consente infatti  il trattamento di dati personali di lavoratori identificabili. Sebbene i “braccialetti” siano collegati alle zone di spazzamento e non ai singoli dipendenti, attraverso i registri dei turni di lavoro è possibile individuare il dipendente che ha effettuato le rilevazioni dei tag e, quando previsto, la relativa geolocalizzazione mediante il gps.

Il Garante ha peraltro raccomandato, come indicato anche nell’accordo sindacale, l’adozione di un dispositivo che per le sue caratteristiche esteriori non sia lesivo della dignità e comunque non sia percepito come tale dal dipendente, considerato che dovrà essere utilizzato, anche se con diverse funzionalità, dai lavoratori per ogni turno di servizio.

Fonte: Garante Privacy

Potrebbe interessarti:

Dispositivi indossabili per tutelare i pazienti non auto sufficienti