Fabio Gastaldo

Sono mesi concitati quelli che stanno muovendo le nostre giornate. La pandemia CoViD-19 ha portato con sé numerosi interrogativi sia sotto il profilo prettamente sanitario e socio-politico, sia su un argomento sinora presente, ma lasciato ai margini delle preoccupazioni quotidiane: il trattamento dei dati personali.

Desiderose di intraprendere ogni misura di sicurezza sanitaria garantendo la protezione dei dati dei propri dipendenti, le aziende hanno sollevato e sottolineato sin da subito numerose questioni vertenti soprattutto sulla liceità delle finalità del trattamento dei dati sanitari dei dipendenti. Le risposte dal Garante per la protezione dei dati sono arrivate in poco tempo, lasciando però tracce di chiaro-scuro su quelli che sono i punti caldi del tema “trattamento dei dati personali al tempo dei CoViD-19”: dalla possibilità di misurare la temperatura ai propri dipendenti per evitare il contagio in azienda, alla comunicazione dei dati sanitari rilevati alle ASL e medici competenti, sino al termo-scanner di cui si accenna in questi giorni che hanno dato avvio alla Fase 2.

Nonostante la situazione così mutevole, il Garante Privacy ha da subito posto alcuni capisaldi nel trattamento dei dati: non  ha fatto divieto di utilizzare metodi e strumenti per garantire l’integrità fisica ai dipendenti delle aziende che hanno deciso di attuare misure di controllo della diffusione del virus, appellandosi sempre ai principi di liceità e trasparenza, affinché si possa continuare a garantire il massimo rispetto delle norme sanitarie imposte dal Governo unitamente a quelle Privacy prefissate dal GDPR.  Il Garante ha dunque provveduto ad emanare numerose linee guida e vademecum per permettere ai Titolari d’impresa di agire serenamente, ricordando anche che il trattamento dei dati sanitari deve essere sempre e comunque sottoposto a maggiori restrizioni e controlli, proprio per evitare la diffusione di dati riguardanti lo stato di salute delle persone. Tali misure si ricalcano nuovamente ai capisaldi della Privacy: raccogliere, trattare e comunicare i dati dei propri dipendenti solo per reale necessità agli organi competenti in materia di salute e sanità, di eliminare i dati nel momento in cui non sono più necessari, evitare la trasmissione di tali dati a terzi per “sola conoscenza” e la profilazione dei dipendenti. Dal canto suo, il dipendente deve essere informato sotto ogni aspetto del trattamento di dati sanitari, consci del periodo straordinario in cui stiamo vivendo. Inoltre, può richiedere in qualsiasi momento maggiori informazioni su chi tratta e detiene i suoi dati, nonché sui propri diritti che sono tuttora tutelati e garantiti dal GDPR.

Per le aziende, la nuova Fase 2 è rappresentata dal ritorno del termo-scanner (strumento già adottato da alcune imprese all’inizio della vicenda). L’uso di questo dispositivo non è considerato illecito dal Garante, bensì uno strumento che presenta una doppia faccia della stessa medaglia, ma comunque entrambe gestibili se sfruttate diligentemente e con criterio. Azienda e dipendente si trovano quindi ad essere vigilante e vigilato ed il secondo può anche sentir violati i propri diritti alla riservatezza e privacy. D’altronde, essere sottoposti a controlli così mirati e di natura sanitaria non rientra nella nostra routine lavorativa… e qui entra in gioco il ruolo del Titolare dell’azienda, il quale dovrà essere in grado di fornire informazioni dettagliate e trasparenti per garantire e dimostrare la liceità di questo trattamento straordinario.

“Spetta pertanto alle aziende che adottano i termoscanner di rassicurare gli utenti sul rispetto delle norme del Gdpr, avendo cura di espletare i vari adempimenti previsti dalla normativa sulla protezione dei dati personali, a partire dalla verifica della liceità del trattamento fino all’informativa da dare agli interessati” (fonte: https://www.federprivacy.org/informazione/punto-di-vista/covid-19-nella-fase-2-largo-ai-termoscanner-tra-business-e-sfide-sul-rispetto-della-privacy).

Da una parte la volontà del Titolare di garantire un ambiente di lavoro sicuro e sano, dall’altro il possibile e repentino diniego di sottoporsi a verifiche quotidiane sulla propria salute fanno intendere che i mesi che seguiranno non saranno proprio dei più idilliaci. L’importante, però, è garantire trasparenza: grazie al rispetto di tal principio, si possono superare anche gli ostacoli derivanti dalla volontà di proteggere la propria riservatezza.

Certo non è mai troppo tardi. A quattro anni dall’entrata in vigore del GDPR, due dalla sua attuazione e periodi di “prova” e di sospensione del regime sanzionatorio, è arrivata l’ora anche per il Garante per la Protezione dei Dati Personali italiano di attivarsi e di adempiere anche ai suoi, di obblighi. E come iniziare al meglio la propria attività se non iniziando a verificare il livello di attuazione della nuova normativa in materia di protezione dei dati?

Beh, non possiamo certo dire di non aver avuto tempo a sufficienza per regolarizzare le nostre posizioni e i nostri documenti, eppure le sanzioni stanno cogliendo impreparati i più.

Si sa, i colossi della telefonia sono sempre sotto attacco e sotto assedio: a causa della poca volontà (o poco ritorno…) di mettersi in pari con i compiti a casa, queste sono le aziende che hanno subìto quasi nell’immediatezza le conseguenze di telefonate e messaggi commercial-promozionali mandati a tappeto, anche a coloro che erano iscritti al Registro delle Opposizioni o non desideravano essere ricontattati.

Da qualche anno a questa parte il personale dipendente di aziende, scuole e pubbliche amministrazioni può usufruire di uno strumento molto utile per segnalare casi reali o presunti di illecito a cui ha avuto la sfortuna di assistere, o osservare. Si tratta del Whistleblowing (letteralmente “soffiatore nel fischietto”), ovvero di un iter di denuncia anonima del fatto. L’Ateneo coinvolto in questo caso si è “dimenticata” di ripristinare ed implementare le misure adeguate di sicurezza a seguito dell’aggiornamento software della piattaforma utilizzata dall’Università. Così, le informazioni riservate concernenti denunce e nomi sono rimasti leggibili ed indicizzate da alcuni motori di ricerca. L’Università è intervenuta sulle cache, cancellandone copia e deindicizzando ogni riferimento scappato dalla rete della privacy. Per la mancata adozione di linee adeguate di sicurezza, l’Ateneo ha così dovuto pagare un pegno di 30.000 Euro per la sua disattenzione… o superficialità.

La curiosità porta solo guai… come quelli che hanno bussato alla porta di uno specializzando, di un radiologo e di un terzo soggetto -che ha utilizzato le credenziali incustodite di un medico- hanno effettuato l’accesso ai dossier sanitari dei propri colleghi. La struttura sanitaria ha scoperto questo “slancio di interesse” tra colleghi effettuando i periodici controlli informatici. Intervenuto il Garante Privacy, è stato appurato che le misure tecniche e adeguate di sicurezza non corrispondevano alle linee guida emanate dall’Autorità in materia di Dossier Sanitario nel 2015. Anche qui la sanzione ammonta a 30.000Euro.

È inutile… la curiosità si paga cara e le misure adeguate di sicurezza devono essere costantemente controllate e implementate per mantenere un alto livello di sicurezza, per evitare di mettere nei guai i propri clienti e dipendenti. …e per non dover aprire il portafoglio…

2 milioni di telefonate e 22 milioni di sms. No, non sono i messaggi che inviamo e le chiamate che effettuiamo nell’arco della vita, ma sono i contatti promozionali che Vodafone ha recentemente inoltrato ai consumatori che, stanchi di essere letteralmente sommersi dalle offerte indesiderate e non richieste, hanno sporto denuncia al Garante della Privacy. L’Autorità ha messo un freno al “telemarketing selvaggio”, dopo aver scoperto che, tra l’altro, la compagnia telefonica trattava i dati di clienti che non avevano dato alcun consenso per essere contattati. Anche Wind-Tre, compagnia nata da H3G, ha agito alla stessa maniera, utilizzando dati senza consenso, anche di chi aveva espressamente richiesto l’opposizione al trattamento dei suoi dati di contatto, poiché quei numeri risultano non essere mai stati inseriti all’interno delle black list della compagnia telefonica.

Tutti abbiamo diritto alla quiete e a non sentire squillare il telefono che ci costringe ad una corsa precipitosa per rispondere al numero sconosciuto o privato, per poi scoprire che si trattava di vendita e di offerte delle più disparate. Il GDPR, ovvero il Reg. UE 679/2016, non cita espressamente il telemarketing, ma nel considerando 39 e agli Artt. 5, 13 e 14 co. 2 del GDPR viene affrontato ciò che mina le fondamenta di questo nuovo mercato, ovvero il lasso temporale per cui i dati possono essere trattati e conservati presso l’azienda.

Per ciò che concerne l’invio e la ricezione delle newsletter, la questione è molto semplice: ora le aziende che effettuano tali operazioni devono scrivere, all’interno di ogni mail che spediscono, le modalità attraverso cui l’utente può richiedere o effettuare autonomamente la disiscrizione dal servizio, al fine di evitare di conservare troppo a lungo i dati dei consumatori. Si può dire che la decisione se continuare a ricevere mail pubblicitarie è una decisione diretta del consumatore. A seguito dell’entrata in vigore del GDPR, le newsletter possono essere inoltrate nel momento in cui l’utente acconsente liberamente ed espressamente al trattamento dei suoi dati per il fine pubblicitario (consenso che, ricordiamo, può essere sempre e in qualsiasi revocato). Per contro, il consenso non deve essere richiesto se sul sito web è presente un box di iscrizione apposito “newsletter” che il cliente può compilare per ricevere le comunicazioni commerciali. Se decide di non ricevere più tali comunicazioni, spesso è sufficiente cliccare su una dicitura quale “clicca qui per annullare l’iscrizione alla newsletter”: da quel momento, il mittente non è più autorizzato alla trasmissione di comunicazioni commerciali.

Per quanto riguarda le telefonate provenienti da call center, è possibile iscriversi al registro delle opposizioni (disciplinato dalla L. 05/2018: disposizioni in materia di iscrizione e funzionamento del registro delle opposizioni): qualunque chiamata di telemarketing si dovesse ricevere senza aver espressamente manifestato la volontà di essere contatti, diventa sanzionabile. La stretta è arrivata qualche mese fa, a seguito di continue telefonate anche a quei consumatori che avevano declinato il ricontatto, forti anche della loro iscrizione al registro.

Con la stretta del GDPR, le aziende devono prestare la massima attenzione per non contattare coloro che vogliono rimanere anonimi al telemarketing. Certo è che i grandi colossi di questo nuovo ramo del mercato, o quelle aziende e società che si appoggiano a loro per vendere pacchetti ed offerte, sono nell’occhio del ciclone e sono tenuti a trattare i dati personali responsabilmente, verificando costantemente chi effettivamente ha espresso il consenso per essere chiamato, perché ogni consumatore ha il diritto di decidere a chi consegnare i suoi dati di contatto.

Intanto, il Garante Privacy ha agito contro le compagnie di telefonia avviando procedure sanzionatorie e vietandole di contattare i consumatori che non avevano prestato il consenso e sono state sollecitate a rivedere le loro politiche aziendali in ambito marketing. Ancora, devono aggiornare quotidianamente le loro liste di contatti, proprio per assicurare al consumatore di non ricevere chiamate indesiderate.

“Non ha più senso parlare di riservatezza online, le norme sociali sono cambiate” così esordiva il CEO di Facebook Mark Zuckerberg in una delle sue interviste, affermando inoltre che ormai nessuno ha problemi a condividere i propri dati personali sul social network, puntando il dito contro gli utenti e sentendosi così (quasi) legittimato ad effettuare  trattamenti illeciti di dati personali.

 

Non passa giorno che non postiamo foto, inviti e partecipazioni ad eventi, idee ed opinioni su tutto quello che succede perché ormai, diciamolo onestamente, siamo diventati tutti molto social. Viviamo nella ferma convinzione che se non si posta sul social network del momento una foto comprensiva di geolocalizzazione e stato d’animo annesso e non completiamo la frase “in compagnia di…” ci sentiamo esclusi dalla vita sociale. Ebbene, crediamo di non nuocere a nessuno se rendiamo partecipi i nostri 800 amici  di quello che stiamo vivendo, dimenticandoci che dare informazioni su di noi, su ciò che facciamo e dove ci troviamo diventa una ghiotta occasione per chi, con queste informazioni, ci lavora smuovendo dati e capitali – intesi proprio nel vero termine della parola. A causa della poca trasparenza di Facebook e dalla leggerezza dell’utente, è proprio quest’ultimo a pagare le conseguenze maggiori vedendo i suoi dati ceduti ad agenzie di marketing, ma non solo, senza aver fornito consenso alcuno rimanendo così vittima di trattamenti illeciti di dati personali.

L’ultimo caso che ha coinvolto il colosso Facebook è quello di Cambridge Analytica, per cui Zuckerberg è stato chiamato da Europa e Stati Uniti per giustificare l’utilizzo irregolare ed illecito dei dati di circa 50 milioni di utenti (dichiarati dallo stesso Zuckerberg come molti di più), al fine di manipolare e guidare le ultime elezioni americane che hanno visto gli staff politici coinvolti nella corsa elettorale impegnati nello studio dei profili degli elettori americani.

I Senatori americani Amy Klobuchar e John Kennedy affermano che il problema di fondo si trova nell’enorme quantità di dati ammassati da Facebook, Google e Twitter, colossi che si sentono autorizzati a trattarli “quando vendono pubblicità, compresa pubblicità politica”. L’utente Facebook pensa che la sua bacheca sia protetta dalla privacy, ma numerosi e complicati algoritmi calcolano le preferenze, gli stati d’animo, i like e i desideri delle persone consentendo, nel caso dello scandalo di Cabridge Analytica, di studiare slogan e discorsi a tavolino che il futuro presidente americano dovrà tenerr alla comunità. Insomma: diamo al popolo ciò che il popolo vuole.

Il caso di Cambridge Analyitica non è l’unico in cui Zuckerberg e la sua azienda sono coinvolti. nell’ultimo periodo infatti, egli è stato accusato di aver concluso dei contratti che prevedevano la cessione di dati personali tra lui e le compagnie produttrici di smartphones, anche qui per carpire illegittimamente informazioni sulle preferenze degli utenti.

Insomma, per concludere si può dire che quello che spetta al nuovo regolamento europeo è un compito arduo: da una parte punta a proteggere sempre di più i dati forniti online da utenti europei e dall’altra vuole responsabilizzare le persone, cercando di consapevolizzarle sul pericolo di vedere i propri dati utilizzati per fini manipolatori. Quel che è certo, è che gli scandali Facebook dovrebbero far capire a tutti noi “utenti social” che dobbiamo essere più consapevoli dell’importanza che hanno i nostri dati personali.

 

Fonti:   www.corriere.it            www.garanteprivacy.it            www.federprivacy.org

 

 

Incontrato ed intervistato dal giornalista de “Il Sole 24 Ore” Antonello Cherchi, il Segretario Generale del Garante della Privacy, Avv. Giuseppe Busia, chiarisce alcuni punti essenziali del nuovo regolamento europeo 679/2016 entrato in vigore il 25 maggio scorso.

Nonostante il GDPR (acronimo di General Data Protection Regulation – regolamento europeo sulla protezione dei dati personali) sia stato approvato dall’Unione Europea due anni fa, l’Italia non ha ancora recepito la normativa europea, causando un vuoto normativo all’interno del nostro ordinamento. Il Decreto Legislativo, fermo presso il nostro Parlamento, avrà quindi il compito di abrogare le norme italiane in contrasto con quelle europee sancite dal GDPR e chiarificherà le modalità di raccolta, trattamento e cancellazione dei dati. Come sottolinea l’Avv. Busia, il recepimento del GDPR all’interno dell’ordinamento nazionale è molto importante, poiché il GDPR è un regolamento che rispecchia anche il cambiamento culturale europeo, volto verso l’internazionalizzazione e la facilitazione del libero mercato e della concorrenza leale tra aziende ed organizzazioni sparse in Europa, pur garantendo la massima protezione dei dati personali e, quindi, della privacy. Per permettere tutto questo, l’Europa ha redatto il regolamento 679/2016 tenendo conto dei principi di autonomia ed autodeterminazione degli Stati europei: essi sono invitati a plasmare e adattare le norme del GDPR ai propri ordinamenti nazionali, senza, ovviamente, stravolgerne il significato.

Il GDPR, chiarisce ancora Busia, è quel regolamento nato dalla volontà di offrire maggiori strumenti di tutela a tutti, dai privati alle imprese, dalle pubbliche amministrazioni alle organizzazioni, implementando diritti già presenti e garantendone altri. Quindi oltre a poter chiedere l’accesso, la modifica e la cancellazione dei dati che l’interessato ha fornito, dal 25 maggio 2018 egli può avvalersi anche del diritto all’oblio e alla portabilità. Il primo è un plus del diritto di cancellazione, per cui il dato in oggetto e su richiesta dell’interessato deve essere eliminato in modo permanente da qualsiasi registro e database. Per portabilità, chiarisce l’Avvocato Busia, si intende quel diritto per cui l’interessato può richiedere lo spostamento di tutti i suoi dati conservati in modo elettronico da una piattaforma ad un’altra, evitando così il monopolio aziendale, soprattutto quello che opera tra i social networks.

Sono proprio i social networks a destare maggiormente l’attenzione dei legislatori di Bruxelles e non solo per la quantità di dati che trattano quotidianamente, ma anche per l’età degli utenti. Punto caldo del GDPR è proprio quello che riguarda i minorenni. La normativa europea afferma che il minore di 16 anni non può esprimere un consenso senza la tutela dei genitori o di chi ne fa le veci. Il limite d’età non è fisso per tutti gli Stati d’Europa: anche qui il nuovo regolamento europeo ha lasciato ampia discrezionalità ai legislatori nazionali, i quali possono abbassare il limite del consenso fino a 13 anni. Non è detto che maggiore è l’età per dare il proprio consenso e maggiore consapevolezza dell’utente, in quanto molto spesso i giovani mentono sulla loro età pur di iscriversi ai social. Se il minorenne dichiarasse la sua vera età al momento dell’iscrizione aiuterebbe la piattaforma ad inserire contenuti idonei alla sua fascia d’età, afferma Busia che chiude il concetto elencando i principi fondamentali del consenso: esso deve essere vero, reale e libero.

Nel regolamento europeo si sottolinea più volte la necessità di offrire maggiore tutela al cittadino che inizia con il fornire al cittadino delle informative privacy semplici, chiare, immediate e dirette. Il problema che i diversi Garanti Privacy hanno riscontrato in questi anni di “rodaggio” della normativa privacy è che nessuno perdeva del tempo a leggere informative troppo complesse e giuridiche. L’obiettivo, dice ancora Busia, è quello di semplificare il più possibile l’informativa, anche attraverso l’uso di schemi ed immagini per offrire la possibilità al cittadino di scegliere se offrire o meno il suo consenso, confermando così la presa di coscienza e la consapevolezza di essere responsabile delle sue azioni e scelte, ovvero rispondendo al principio di responsabilizzazione presente nel reg. 679/2016.

L’Avv. Busia sottolinea l’importanza del dialogo tra cittadino, impresa e autorità. È proprio qui che il Segretario Generale del Garante della Privacy spiega la figura del Data Protection Officer (o DPO – Responsabile per la Protezione dei Dati). Il DPO è una figura essenziale, caldamente consigliata dal GDPR se non obbligatoria per aziende rispondenti a determinate caratteristiche, perché è il punto di contatto tra il Garante Privacy (di cui è il referente) e l’organizzazione presso cui lavora, aiutandola e suggerendole nuove soluzioni. I dati di tutti i DPO verranno raccolti in un registro nazionale e avranno sempre più spesso contatti con le istituzioni europee per permettere la creazione di una rete e di un dialogo tra i diversi DPO degli Stati dell’Unione Europea, per cui continueranno a confrontarsi sui problemi che mano a mano si riscontreranno con l’applicazione della nuova normativa. I Garanti Privacy nazionali vareranno nuove linee guida che faciliteranno e spiegheranno l’applicazione delle norme previste dal regolamento europeo, garantendo sempre e comunque ampie libertà di azione alle pubbliche amministrazioni, aziende e privati.

Ecco la video intervista completa: http://stream24.ilsole24ore.com/video/norme-e-tributi/privacy-ecco-che-cosa-cambiera-25-maggio/AEDF6moE

Intervistato dal giornalista di Italia Oggi Antonio C. Messina, il Presidente del Garante per la Protezione dei Dati Personali, Antonello Soro, risponde alle domande che tutti si pongono da quando è stato emanato il Regolamento Europeo 679/2016 sul trattamento dei dati personali (GDPR) a questa parte, ovvero da due anni.

Nonostante l’idea comune sia quella che il GDPR abbia complicato ulteriormente la materia privacy, il Presidente Soro sostiene che, in realtà, il regolamento sia l’espressione di un cambiamento per le aziende che andranno via via incontro a “nuove sfide di un’economia fondata sui dati”. Egli afferma ancora che la nuova normativa deve essere considerata come una nuova opportunità di crescita delle imprese a livello concorrenziale e come una “risorsa reputazionale” che indica il livello di credibilità e serietà dell’azienda. Per adempiere in modo ottimale al GDPR, il Presidente del Garante sottolinea l’importanza della preparazione in materia di dipendenti e personale per una loro maggiore responsabilizzazione nel momento in cui dovranno trattare i flussi di dati presenti in azienda. Il Dott. Soro sottolinea ancora l’importanza delle misure di sicurezza e tecnico-organizzative per garantire il rispetto della privacy e della protezione del dato.

Analizzando la relazione tra GDPR ed enti pubblici, il Presidente afferma ancora che, per ovviare al problema del recepimento della normativa da parte delle pubbliche amministrazioni, sono stati organizzati numerosi corsi formativi. Il Garante sta lavorando per pubblicare nuove linee guida, FAQ e materiale sul Reg. UE 679/2016 per facilitare la materia a tali enti, nonché alle micro-piccole e medie imprese.

Concludendo l’intervista, il giornalista Messina porta l’attenzione su uno dei temi focali del nuovo Regolamento Europeo: le sanzioni. Analizzate ancora una volta dal Dott. Soro, le sanzioni saranno comminate secondo un approccio gradualistico (da amministrative a pecuniarie) alle aziende, associazioni ed organizzazioni che violano le norme del GDPR.

Fonte: Italia Oggi del 21/05/2018

intervista di A. C. Messina