Categoria PRIVACY

Disponibilità delle due aziende ad avviare, in collaborazione con l’Autorità, iniziative di informazione e sensibilizzazione per un uso responsabile

Si sono svolti nel pomeriggio del 9 settembre, due incontri tra il Garante della protezione dei dati personali e i rappresentanti rispettivamente di Facebook e Luxottica.

Scopo degli incontri, richiesti dalle due società, è stato quello di avviare un confronto riguardo alle domande poste dall’Autorità a Facebook sulle implicazioni per la riservatezza delle persone legate all’utilizzo degli smart glasses Ray-Ban Stories recentemente introdotti sul mercato. Gli occhiali sono dotati di funzionalità “Facebook View” che permette la registrazione audio e video.

Nei giorni scorsi l’Autorità aveva avviato una procedura formale presso la competente Autorità Garante irlandese (DPC-Data Protection Commission), per richiedere una serie di informazioni utili a valutare la compatibilità degli smart glasses con le norme sulla privacy.

Nel corso degli incontri, le due società si sono dichiarate disponibili a lavorare, anche in raccordo con l’Autorità, per avviare iniziative di informazione e sensibilizzazione con l’obiettivo di responsabilizzare sia coloro che acquisteranno gli occhiali sia tutti i cittadini. L’Autorità si riserva di valutare l’efficacia delle proposte operative che saranno presentate dalle società.

Facebook ha informato di avere già inviato all’Autorità Garante irlandese (DPC) le risposte alle domande poste dal Garante, a fini dell’esame da parte di quest’ultimo.

Fonte : Garante Privacy

Nei giorni scorsi l’Autorità è intervenuta per accertare il corretto trattamento dei dati effettuato mediante l’utilizzo di droni con una richiesta di informazioni inviata al Comune di Bari. L’Ente, secondo quanto risulta da un comunicato presente sul sito istituzionale e da notizie di stampa, in aggiunta alla flotta di droni già utilizzata dalla Polizia locale, ne vorrebbe utilizzare altri per monitorare “eventuali assembramenti incompatibili con le limitazioni dovute alla gestione della pandemia da Covid”.

Il Comune entro 20 giorni dovrà fornire al Garante tutte le informazioni richieste (caratteristiche tecniche dei droni, finalità perseguite, tempi di conservazione delle immagini, comunicazioni a soggetti terzi), inviando copia dell’eventuale valutazione d’impatto sulla protezione dei dati prevista dal Regolamento Ue.

A fine agosto, una analoga richiesta di informazioni è stata inviata a Roma Capitale. Secondo notizie di stampa, infatti, dall’autunno prossimo la Polizia Locale di Roma sarà dotata di 9 piccoli droni per il monitoraggio ed il controllo del territorio cittadino (illeciti ambientali, rifiuti abusivi, roghi tossici, abusi edilizi, esigenze di traffico). Con l’avvio dell’istruttoria il Garante intende verificare l’impatto dell’iniziativa sulla privacy delle persone interessate e il puntuale rispetto della normativa in materia di trattamento dei dati. Entro 20 giorni Roma Capitale oltre fornire le informazioni richieste dovrà inviare copia della valutazione d’impatto o specificare i motivi per i quali non ha ritenuto di doverla effettuare.

Infine, è stata inviata una richiesta di informazioni alla Azienda Usl Roma 3 per verificare il corretto trattamento dei dati personali, anche di tipo sanitario, nell’ambito di una iniziativa in programma il 4 e il 5 settembre sulle spiagge di Ostia. Secondo notizie di stampa l’azienda sanitaria mediante un drone intenderebbe rilevare la temperatura corporea a tutte le persone presenti in spiaggia. Considerata la delicatezza dei trattamenti di dati personali che si intendono effettuare, in assenza di una chiara base giuridica che li possa legittimare, il Garante ha chiesto all’azienda di fornire una serie di chiarimenti. Entro 7 giorni l’azienda dovrà specificare, tra l’altro, chi sia il titolare del trattamento dei dati delle persone sottoposte alla rilevazione della temperatura corporea, i motivi della rilevazione, l’affidabilità degli strumenti utilizzati, le conseguenze previste per chi risultasse avere una temperatura superiore a quella fisiologica, quali informazioni saranno rese agli interessati e come verranno fornite.

Fonte: Garante Privacy

Le palestre non possono conservarne copia né registrare la data di scadenza

Vietato richiedere e conservare copia del Green Pass

In questo contesto vale, probabilmente, la pena ricordare che la disciplina sul Green Pass prevede che lo stesso debba – nei soli luoghi nei quali è necessario ai sensi di quanto previsto dalla legge – essere semplicemente esibito all’ingresso e debba essere letto dagli incaricati esclusivamente attraverso l’apposita App Verifica Covid-19 messa a punto dal Governo, app che consente al verificatore di accedere solo a un’informazione binaria: il titolare del documento ha o non ha un Green Pass valido senza alcun riferimento né alla condizione – vaccino, guarigione dal Covid19 o tampone – che ha portato al rilascio del Green Pass né alla data di scadenza del documento medesimo.

La richiesta, quale condizione per la frequentazione del centro sportivo o della palestra, di copia del documento e di indicazione della data di scadenza e la successiva conservazione di tali elementi, pertanto, rappresentano una violazione della vigente disciplina in materia di protezione dei dati personali giacché il titolare del trattamento – palestra, centro sportivo o qualsiasi altro analogo soggetto – non ha titolo per acquisire la data di scadenza del Green Pass e conservare gli altri dati personali contenuti nel medesimo documento.

È un trattamento di dati non necessari

È evidente e comprensibile che la prassi che si sta andando diffondendo renderebbe più facile la vita ai gestori di palestre e centri sportivi e, forse, anche ad abbonati e associati ma, al tempo stesso, frustra gli obiettivi di bilanciamento tra privacy, tutela della salute e riapertura del Paese che si sono perseguiti con il Green Pass giacché mette in circolazione una quantità di dati personali superiori a quelli necessari e, soprattutto, ne determina la raccolta e la moltiplicazione in una serie di banche dati diversamente sicure.

Sotto tale profilo vale, infatti, la pena di ricordare che la scadenza del Green Pass è diversa a seconda della ragione all’origine della sua emissione con la conseguenza che conoscerla consente a chiunque di sapere se siamo vaccinati, se siamo stati contagiati o ci siamo semplicemente fatti un tampone mentre, come detto, nel suo utilizzo normale e legale il Green Pass è neutro rispetto a tali circostanze.

Tutto questo senza dire che il Green Pass certifica una circostanza dinamica con la conseguenza che chi ieri ha consegnato un certificato vaccinale valido fino a una certa data, in un momento successivo ma precedente alla scadenza potrebbe essere contagiato e il suo Green Pass perdere di validità.

Si rischia anche di trattare dati inesatti

A seguire strade diverse rispetto a quelle previste dalla legge si rischia, quindi, anche di trattare dati inesatti perché si considera in possesso di un Green Pass valido un soggetto che, magari, non lo è più.

Le regole, insomma, ci sono e la comodità non consente di derogarvi.

Fonte: Garante Privacy

Il Garante per la protezione dei dati personali, in via d’urgenza, ha espresso parere favorevole sullo schema di decreto del Presidente del Consiglio dei ministri che introduce modalità semplificate di verifica delle certificazioni verdi del personale scolastico, alternative a quelle ordinarie che prevedono l’uso dell’App VerificaC19, che rimane comunque utilizzabile.

Il testo recepisce le indicazioni fornite dal Garante nell’ambito delle interlocuzioni informali e delle riunioni con i rappresentati del Ministero dell’istruzione e del Ministero della salute, al fine di assicurare il corretto adempimento degli obblighi in materia di green pass per il personale scolastico e il rispetto della disciplina di protezione dei dati personali, nonché di evitare conseguenze discriminatorie, anche indirette, nel contesto lavorativo.

In particolare, le istituzioni scolastiche, in qualità di datori di lavoro, si limiteranno a verificare – attraverso il Sistema informativo dell’istruzione-Sidi e la Piattaforma nazionale-DGC – il mero possesso della certificazione verde Covid-19 da parte del personale, trattando esclusivamente i dati necessari.

Il processo di verifica dovrà essere effettuato quotidianamente prima dell’accesso dei lavoratori in sede e dovrà riguardare solo il personale per cui è prevista l’effettiva presenza in servizio nel giorno della verifica, escludendo comunque chi è assente per specifici motivi: ad esempio, per ferie, permessi o malattia.

A seguito dell’attività di controllo del green pass, i soggetti tenuti alle verifiche potranno raccogliere solo i dati strettamente necessari all’applicazione delle misure previste in caso di mancato rispetto degli obblighi sul green pass (ad esempio assenza ingiustificata, sospensione del rapporto di lavoro e del pagamento dello stipendio).

Particolare attenzione è stata posta anche sulle misure di sicurezza da adottare. I soggetti tenuti ai controlli potranno accedere, in modo selettivo, ai soli dati del personale in servizio presso le istituzioni scolastiche di propria competenza. Per evitare eventuali abusi, le operazioni di verifica del possesso delle certificazioni Covid-19 da parte dei soggetti tenuti ai controlli saranno oggetto di registrazione in appositi log (conservati per dodici mesi), senza però conservare traccia dell’esito delle verifiche.

È inoltre previsto che la valutazione di impatto, effettuata dal Ministero della Salute, relativa ai trattamenti connessi all’emissione e alla verifica delle certificazioni verdi Covid-19, sia integrata e aggiornata tenendo conto degli specifici scenari di rischio legati ai dati sanitari del circa un milione di lavoratori della scuola, prestando particolare attenzione alle possibili conseguenze discriminatorie, anche indirette, nel contesto lavorativo.

Fonte: Garante privacy

Sanzione da 2,6 milioni di euro per violazione delle norme sulla privacy, dello statuto dei lavoratori e della normativa sul lavoro tramite piattaforme digitali.

Questo quanto comminato dal Garante per la protezione dei dati personali a un’azienda di gestione rider al termine di un’attività istruttoria e di vigilanza.

In particolare gli illeciti contestati all’azienda hanno interessato l’uso degli algoritmi per la gestione dei lavoratori in maniera discriminatoria, senza l’utilizzo di tutele nella gestione delle valutazioni e giudizi.

Il Garante ha concesso all’azienda 90 giorni di tempo per intervenire sugli algoritmi utilizzati, quindi 60 giorni di tempo per intervenire su altre violazioni riguardanti: la verifica dell’esattezza e della pertinenza dei dati utilizzati in particolare per l’assegnazione delle consegne e il rating; eventuali usi impropri di meccanismi reputazionali.

“Il Garante ha pertanto prescritto alla società di individuare misure per tutelare i diritti e le libertà dei rider a fronte di decisioni automatizzate, compresa la profilazione”.

FONTE: garanteprivacy

Durante la sua 41a sessione plenaria, il Comitato europeo per la protezione dei dati ha adottato raccomandazioni sulle misure che integrano gli strumenti di trasferimento dei dati per garantire il rispetto del livello UE di protezione dei dati personali, nonché raccomandazioni sulle cosiddette “garanzie essenziali europee” in rapporto alle misure di sorveglianza.

Entrambi i documenti sono stati adottati successivamente alla sentenza “Schrems II” della CGUE. A seguito della sentenza del 16 luglio scorso, i titolari del trattamento che utilizzino clausole contrattuali tipo sono tenuti a verificare, caso per caso e, ove opportuno, in collaborazione con il destinatario dei dati nel paese terzo, se la legislazione del paese terzo garantisca un livello di protezione dei dati personali trasferiti sostanzialmente equivalente a quello vigente nello Spazio economico europeo (SEE).  La CGUE ha consentito agli esportatori di aggiungere misure supplementari alle clausole contrattuali tipo per garantire l’effettivo rispetto di tale livello di protezione qualora le garanzie contenute nelle clausole contrattuali tipo non siano sufficienti.

Le raccomandazioni intendono assistere i titolari e responsabili del trattamento che siano esportatori di dati nell’individuazione e nell’attuazione di adeguate misure supplementari, ove queste siano necessarie per garantire ai dati trasferiti verso paesi terzi un livello di protezione sostanzialmente equivalente. In tal modo, il comitato mira a un’applicazione coerente del RGPD e della sentenza della Corte in tutto il SEE.

Andrea Jelinek, la presidente del comitato europeo per la protezione dei dati, ha dichiarato: “Il comitato è pienamente consapevole dell’impatto della sentenza Schrems II su migliaia di imprese dell’UE e dell’importante responsabilità che tale sentenza attribuisce agli esportatori di dati. Il comitato si augura che le raccomandazioni possano aiutare gli esportatori di dati a individuare e attuare misure supplementari efficaci laddove siano necessarie. Il nostro obiettivo è consentire trasferimenti leciti di dati personali verso paesi terzi, garantendo nel contempo che ai dati trasferiti sia assicurato un livello di protezione sostanzialmente equivalente a quello vigente  all’interno del SEE.”

Le raccomandazioni offrono una sequenza logica delle attività di analisi  che gli esportatori di dati devono compiere per stabilire se siano tenuti a mettere in atto misure supplementari al fine di trasferire i dati al di fuori del SEE conformemente al diritto dell’UE, e per aiutarli a individuare le misure più efficaci. Per assistere gli esportatori di dati, le raccomandazioni contengono anche un elenco non esaustivo di esempi di misure supplementari nonché alcune delle condizioni necessarie per rendere efficaci le singole misure.

Tuttavia, spetta in ultima analisi agli esportatori effettuare la valutazione in concreto alla luce dello specifico trasferimento, del diritto del paese terzo e dello strumento di trasferimento utilizzato. Gli esportatori di dati devono procedere con la dovuta diligenza e documentare accuratamente il processo valutativo, in quanto saranno chiamati a rispondere delle decisioni assunte su tale base, in linea con il principio di responsabilizzazione previsto dal RGPD. Inoltre, gli esportatori di dati dovrebbero essere consapevoli  del fatto che non in tutti i casi potrebbe essere possibile mettere in atto misure supplementari sufficienti.

Le raccomandazioni sulle misure supplementari saranno sottoposte a consultazione pubblica. Saranno applicabili immediatamente dopo la loro pubblicazione.

Il comitato ha adottato anche una serie di raccomandazioni sulle garanzie essenziali europee relativamente alle misure di sorveglianza. Le raccomandazioni sulle garanzie essenziali europee sono complementari alle raccomandazioni sulle misure supplementari. Le raccomandazioni sulle garanzie essenziali europee forniscono agli esportatori di dati elementi utili a stabilire se il quadro giuridico che disciplina in paesi terzi l’accesso delle autorità pubbliche ai dati per fini di sorveglianza configuri un’ingerenza giustificata nei diritti alla vita privata e alla protezione dei dati personali, e quindi non sia in contrasto con gli impegni assunti dall’esportatore e dall’importatore attraverso lo strumento di trasferimento utilizzato fra quelli di cui all’articolo 46 del RGPD.

La presidente del comitato aggiunge: “Le implicazioni della sentenza Schrems II interessano  tutti i trasferimenti verso paesi terzi. Pertanto, non vi sono soluzioni rapide né una soluzione valida per tutti i trasferimenti, in quanto ciò significherebbe ignorare la grande eterogeneità dei contesti in cui operano gli esportatori di dati. Questi ultimi dovranno valutare i rispettivi trattamenti e trasferimenti di dati e adottare misure efficaci tenendo conto dell’ordinamento giuridico dei paesi terzi verso i quali trasferiscono o intendono trasferire i dati stessi.”

Le autorità  di protezione dei dati del SEE continueranno a coordinare le loro azioni in seno al comitato per garantire l’applicazione coerente del diritto dell’UE in materia di protezione dei dati.

COMUNICATO STAMPA EDPB

Fonte: garanteprivacy.it

Il Garante della Pvivacy ha apportato delle integrazioni alle FAQ Covid-19 e protezione dei dati personali e in particolare al capitolo FAQ –Trattamento dei dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria, riguardano Contact tracing e utilizzo di applicativi che non trattano dati personali.

I due nuovi argomenti sono:

• “Sono utilizzabili applicativi con funzionalità di “contact tracing” in ambito aziendale?
• Al fine di contenere il rischio di contagio sul luogo di lavoro sono disponibili applicativi che non trattano dati personali?

Nelle risposte: il contact tracing è disciplinato esclusivamente dall’art. 6, Dl 30.4.2020, n. 28. Il ricorso ad applicativi senza trattamento dei dati personali è consentito. “Ciò nel caso in cui il dispositivo utilizzato non sia associato o associabile, anche indirettamente (es. attraverso un codice o altra informazione), all’interessato né preveda la registrazione dei dati trattati”. Applicazioni per il conteggio delle persone, dispositivi che controllano la soglia di distanziamento fisico; applicativi sui tornelli di ingresso.

Le FAQ del Garante della Privacy per la gestione dell’emergenza Covid sono suddivise in:

• contesto sanitario;
• enti locali;
• lavoro pubblico e privato;
• scuola;
• sperimentazioni cliniche e ricerche mediche;

FONTE: Garante Privacy

Sono state approvate dal Comitato Europeo per la Protezione dei Dati – EDPB le nuove linee guida sull’ambito territoriale, documento per il quale era stata indetta una consultazione pubblica il 16 novembre 2018.

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3). Il documento, per ora soltanto in inglese, interessa l’applicazione del Regolamento Ue 2016/679 in relazione a situazioni come il criterio dello stabilimento sul territorio, targeting, luogo soggetto al diritto di un Satto membro.

Questo l’indice:

Applicazione del criterio dello stabilimento – Articolo 3 (1);

Applicazione del criterio di targeting – Art 3 (2);

Applicazione in un luogo in cui il diritto degli Stati membri si applica in virtù del diritto internazionale;

Rappresentante di responsabili del trattamento o responsabili del trattamento non stabiliti nell’Unione.

FONTE: Garante Privacy

È stato pubblicato dal Garante della Privacy un avviso pubblico per l’avvio di una consultazione prevista dal provvedimento del 13 dicembre 2018 “che individua le prescrizioni contenute nelle Autorizzazioni generali nn. 1/2016, 3/2016, 6/2016, 8/2016 e 9/2016 che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice“.

L’avviso è stato pubblicato sulla Gazzetta Ufficiale n. 9 l’11 gennaio 2019 e raccoglierà contributi fino a 60 giorni dalla pubblicazione. Attraverso l’indirizzo consultazione.prescrizioni@gpdp.it.

Obiettivo del Garante è raccogliere pareri su: risvolti applicativi e criticità del provvedimento.

Aspetti riscontrabili o già riscontrati.

Le autorizzazioni citate nell’avviso sono in dettaglio le seguenti, tutte pubblicate il 15 dicembre 2016:

• Autorizzazione generale n. 1/2016 al trattamento dei dati sensibili nei rapporti di lavoro;
• Autorizzazione generale n. 3/2016 al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni;
• Autorizzazione generale n. 6/2016 al trattamento dei dati sensibili da parte degli investigatori privati;
• Autorizzazione generale n. 8/2016 al trattamento dei dati genetici;
• Autorizzazione generale n. 9/2016 al trattamento dei dati personali effettuato per scopi di ricerca scientifica.

Info: Garante Privacy