Trattamenti basati sul consenso: sentenza della Corte europea

La Corte di giustizia europea ha consigliato, per i trattamenti basati sul consenso, di fare in modo che le informazioni da fornire all’interessato siano tali da consentirgli di individuare in modo semplice le conseguenze del consenso prestato.

corso_agg_dpo
modlelo_rel_ann_DPO

Sentenza N° 11 C-61/19 Orange Romania SA/ANSPDCP dell’11/11/2020

Preventivo.info – nuova versione del marketplace per i consulenti che cercano clienti

E’ on line la nuova versione del sito www.preventivo.info dove i consulenti sicurezza del lavoro, sistemi di gestione, privacy, modelli 231 possono acquisire nuovi incarichi di consulenza.

#modelli231 #sicurezzadelavoro #privacy #gdpr #dpo #consulenti #consulente

Brexit e protezione dei dati personali: ultimi aggiornamenti

Tra i molti problemi che l’Unione Europea deve affrontare, nelle relazioni con il Regno Unito, sono quelli afferenti al trattamento il trasferimento di dati personali. Ecco la situazione.

corso_agg_dpo

modlelo_rel_ann_DPO

Quando, il 31 dicembre 2020, il Regno Unito uscirà dall’unione europea, tutti gli accordi precedentemente in essere, afferenti al trattamento di dati personali, dovranno essere rivisti e aggiornati, perché, a tutti gli effetti, il Regno Unito diventerà paese terzo. Come i lettori ricordano, il trasferimento di dati dall’unione europea ad un paese terzo può avvenire se vengono soddisfatte una o più di queste condizioni:

  • il paese terzo può essere inserito in una lista di paesi, per i quali vale una decisione di adeguatezza. Ciò significa che la commissione dell’unione europea ritiene che, a tutti gli effetti, le regole afferenti alla protezione dei dati personali, in vigore nel paese terzo, sono di livello sufficientemente elevato e paragonabile a quelle esistenti nell’Unione Europea. I lettori possono consultare sul sito della commissione europea l’elenco dei paesi inseriti in questo elenco: uno degli ultimi paesi recentemente inserito è il Giappone;
  • il trasferimento nel paese terzo può essere consentito solamente se avviene tra un titolare residente unione europea ed un titolare residente nel paese terzo, solo a condizione che siano state stipulate delle garanzie adeguate, illustrate nell’articolo 46 del regolamento europeo, che possono garantire agli interessati al trattamento una efficiente e tempestiva cautela, in caso di anomalie;
  • infine, il trasferimento in paese terzo può essere consentito dopo la stipula di regole vincolanti di impresa, ma solo fra due titolari che facciano riferimento allo stesso gruppo economico multinazionale.

Caso affatto particolare è quello del trasferimento di dati con gli Stati Uniti, per i quali vale lo specifico accordo chiamato Privacy shield.

Orbene, appare chiaro che fra tra le tre ipotesi illustrate la prima è quella che permetterebbe una più morbida separazione tra titolari con sede nella unione europea e titolari con sede nel Regno Unito.

Per la verità, gli esperti ritengono che il Regno Unito abbia addirittura delle regole ancora più vincolanti, rispetto a quelle in vigore dell’unione europea; in particolare, è bene ricordare che la prima legge sulla protezione dei dati personali, che venne pubblicata nel Regno Unito, aveva anni di anticipo, rispetto alla legge 679 / 96, che istituì la protezione dati personali in Italia.

Chi scrive ricorda benissimo come l’allora Garante studiò attentamente le regole già in vigore nel Regno Unito e si “appropriò” di alcune tecniche assai efficienti ed efficaci, come ad esempio la possibilità di presentare una notifica di trattamento con uno strumento informatico. Questa possibilità era già in vigore nel Regno Unito, compilando un modulo informatico e gestendolo attraverso il servizio postale.

Stante i numerosissimi vincoli operativi ed economici, che continueranno esistere anche dopo il 31 dicembre 2020, è importante che i lettori, che sono potenzialmente coinvolti in questa problematica, tengano sotto stretto controllo la situazione, per evitare che alla mattina del 1 gennaio 2021, nessun dato possa essere trasferito tra la unione europea ed il Regno Unito!

Adalberto Biasiotti

 Questo articolo è pubblicato sotto una Licenza Creative Commons.

Tratto da: https://www.puntosicuro.it/security-C-124/privacy-C-89/brexit-protezione-dei-dati-personali-ultimi-aggiornamenti-AR-20582/ – Copyright © All Rights reserved 1999-2019 – All Rights Reserved.

NEWSLETTER N. 469 del 26 ottobre 2020 – Garante Privacy

corso_agg_dpo

NEWSLETTER N. 469 del 26 ottobre 2020

• Nuove ispezioni del Garante su fatturazione elettronica, data breach e food delivery
• Sanità, Garante: più cautele nell’uso dell’algoritmo per individuare i pazienti a rischio
• Referti on line accessibili ad altri pazienti, il Garante sanziona un policlinico

modlelo_rel_ann_DPO

Raccolta delle principali disposizioni adottate in relazione allo stato di emergenza epidemiologica da Covid-19 aventi implicazioni in materia di protezione dei dati personali (AGGIORNATO AL 13 OTTOBRE

corso_agg_dpo

Raccolta delle principali disposizioni adottate in relazione allo stato di emergenza epidemiologica da Covid-19 aventi implicazioni in materia di protezione dei dati personali (AGGIORNATO AL 13 OTTOBRE

modlelo_rel_ann_DPO

Sicurezza dei dati personali dei lavoratori nella fase 2 della emergenza COVID-19 in Italia

corso_agg_dpo

Un interessante articolo da consultare Camilla Martins dos Santos Benevides, Sicurezza dei dati personali dei lavoratori nella fase 2 della emergenza COVID-19 in Italia

modlelo_rel_ann_DPO

Newsletter del Garante del 30/9/2020

corso_agg_dpo

NEWSLETTER N. 468 del 30 settembre 2020

• Concorsi pubblici, Garante: i dati dei partecipanti devono essere blindati
• Spid: ok del Garante privacy a nuove modalità per il rilascio dell’identità digitale
• Accesso civico: no ai dati sulla salute che rendono identificabili le persone

modlelo_rel_ann_DPO

Concorsi pubblici, Garante: i dati dei partecipanti devono essere blindati
Sanzionati un’azienda ospedaliera e una società per complessivi 140mila euro

Per aver trattato illecitamente i dati di oltre 2000 aspiranti infermieri l’Azienda ospedaliera Cardarelli di Napoli si è vista applicare dal Garante per la privacy una multa di 80mila euro. Un’altra sanzione di 60mila euro è stata irrogata alla società che gestiva la piattaforma per la raccolta online delle domande dei partecipanti.

A seguito di una segnalazione, con la quale si lamentava il fatto che i dati dei candidati alla selezione – in alcuni casi anche relativi alla salute (titoli di preferenza e certificazioni mediche) – fossero liberamente accessibili online, l’Autorità ha avviato una complessa istruttoria, anche attraverso accertamenti ispettivi, che ha messo in luce numerosi e gravi inadempimenti alla disciplina di protezione dati.

Collegandosi alla piattaforma per la gestione delle domande, per un’errata configurazione dei sistemi, in un determinato arco temporale era stato infatti possibile visualizzare un elenco di codici, assegnati ai candidati al momento dell’iscrizione al concorso, che attraverso semplici passaggi consentivano l’accesso a un’area del portale nella quale erano contenuti i documenti presentati dai partecipanti. Utilizzando i codici si sarebbe perfino potuto modificare i dati personali inseriti dai concorrenti. L’Autorità – composta dal Presidente Pasquale Stanzione, dalla Vicepresidente Ginevra Cerrina Feroni e dai Componenti Agostino Ghiglia e Guido Scorza – ha ritenuto illeciti i trattamenti di dati personali svolti dall’Azienda ospedaliera e dalla Società perché effettuati in violazione delle norme del Regolamento europeo.

Entrambi i soggetti non avevano infatti adottato adeguate misure tecniche e organizzative per garantire la sicurezza e l’integrità dei dati. L’Azienda ospedaliera, oltretutto, non aveva fornito ai partecipanti una idonea informativa e aveva anche omesso di regolamentare il rapporto con la Società che gestiva la piattaforma con un contratto o con un altro atto giuridico che disciplinasse il trattamento di dati effettuato per suo conto. Il Garante infine, rilevato che la Società continuava a conservare e rendere disponibili sulla propria piattaforma i dati dei partecipanti anche dopo la cessazione della fornitura del servizio, ha vietato ogni ulteriore trattamento ad eccezione di quanto necessario per la difesa dei diritti in sede giudiziaria. Entro 30 giorni la Società dovrà comunicare all’Autorità le iniziative prese per assicurare la cessazione del trattamento.

Nella quantificazione della sanzione il Garante ha tenuto in particolare considerazione il fatto che le violazioni sono connesse a un trattamento iniziato subito dopo la definitiva applicazione del Regolamento.

L’Autorità tenuto conto della particolare delicatezza dei dati diffusi, oltre alla sanzione pecuniaria ha applicato la sanzione accessoria della pubblicazione dei due provvedimenti sul proprio sito web.


Spid: ok del Garante privacy a nuove modalità per il rilascio dell’identità digitale
Riconoscimento da remoto senza la presenza contestuale di un operatore

Via libera del Garante per la protezione dei dati personali alle nuove modalità di rilascio delle identità digitali mediante il riconoscimento da remoto, grazie alle modifiche delle modalità attuative dello Spid (Sistema pubblico per la gestione dell’identità digitale di cittadini e imprese), proposte dall’Agid (Agenzia per l’Italia digitale). La nuova procedura di riconoscimento da remoto introdotta dall’Agid non prevede più la presenza contestuale dell’operatore del gestore Spid e del richiedente, che dovrà però effettuare un bonifico dal suo conto corrente.

In sintesi, per ottenere Spid con la nuova modalità, il richiedente, dopo una prima registrazione sul sito del gestore, dovrà avviare una sessione automatica audio-video, durante la quale mostrerà il proprio documento di riconoscimento e il tesserino del codice fiscale o la tessera sanitaria. In più, per evitare tentativi di furti di identità, la procedura è stata rafforzata con specifiche misure di sicurezza e verifiche incrociate: durante la sessione audio-video, infatti il richiedente dovrà leggere un codice ricevuto via sms o tramite un’apposita App installata sul cellulare personale. È inoltre previsto che il richiedente effettui un bonifico da un conto corrente italiano a lui intestato o cointestato, indicando nella causale uno specifico codice precedentemente ricevuto. Tutte queste informazioni e la registrazione audio-video saranno in seguito verificate dall’operatore di back-office che procederà al rilascio dell’identità digitale.

Nel corso delle interlocuzioni per il rilascio del parere, come ulteriore misura di garanzia e per poter valutare l’affidabilità della procedura, il Garante per la privacy ha chiesto che il gestore dell’identità digitale sottoponga a ulteriori controlli a campione le richieste, facendo verificare nuovamente l’audio-video a un secondo operatore. Al termine di un periodo di test di sei mesi delle nuove procedure, l’Agid dovrà trasmettere al Garante un report con l’esito di queste verifiche, così da valutare l’efficacia del controllo di secondo livello.

L’Agid dovrà poi inviare al Garante i report settimanali, redatti dai gestori Spid, relativi alle richieste di rilascio respinte per profili critici connessi al trattamento dei dati personali e configurabili come tentativi fraudolenti. Tali riscontri potranno essere utili al Garante per svolgere eventuali accertamenti e valutare la necessità di individuare ulteriori misure tecniche e organizzative per rafforzare il procedimento di identificazione da remoto.

Accesso civico: no ai dati sulla salute che rendono identificabili le persone

Non si possono diffondere dati sulla salute che rendano anche indirettamente identificabili le persone. Lo ha ribadito il Garante per la protezione dei dati personali dando ragione al Responsabile per la prevenzione della corruzione e della trasparenza della Regione Autonoma Valle d’Aosta, che aveva parzialmente negato l’accesso a particolari dati concernenti la distribuzione dei casi di Covid-19 registrati nella Regione ad un giornalista che ne aveva fatto richiesta.

Il giornalista aveva chiesto i dati suddivisi per Comune, sesso, età, esito, domicilio, data delle diagnosi di infezione, numero ed esiti dei tamponi eseguiti per paziente e numero, distribuzione per Comune e dati relativi alle telefonate pervenute all’apposita struttura della Regione, da ultimo le persone prese in carico per infezione da Covid-19.

Pur riconoscendo l’“interesse conoscitivo” alla base della richiesta, la Regione, per evitare che le persone contagiate venissero identificate, aveva accordato solo un accesso parziale a questi dati: aveva fornito alcuni tipi di dati in forma aggregata (tamponi effettuati ogni settimana e casi positivi totali nell’intero periodo, per ogni Comune; casi positivi, guariti e decessi nell’intera regione, tutte informazioni suddivise per sesso) e negato l’accesso ad altri.

Il Garante ha ritenuto corretto l’operato della Regione nel parere fornito a quest’ultima a seguito della richiesta di riesame avanzata dal giornalista. La generale conoscenza del complesso delle informazioni richieste, ha osservato il Garante, poteva infatti consentire, in ragione dello scarso numero degli abitanti che caratterizza molti Comuni valdostani, di identificare i soggetti colpiti dal virus.

Il Garante ha peraltro ricordato che, qualora l’istanza riguardi dati personali relativi alla salute, l’accesso civico deve essere escluso, così come previsto dalla normativa in materia di trasparenza e come confermato anche dalle Linee guida dell’Anac in materia di accesso civico.