Archivi categoria: Uncategorized

Garante privacy: no spam ai possessori di carte fedeltà

Non è lecito l’invio di comunicazioni commerciali ai possessori di tessere fedeltà che non abbiano espresso uno specifico e libero consenso all’uso dei propri dati a fini di marketing. E’ quanto ribadito dal Garante Privacy in un provvedimento con cui ha imposto a un’importante catena di negozi una serie di misure per garantire il rispetto delle misure poste a tutela della privacy dei consumatori.

Il provvedimento è stato adottato in seguito alle violazioni segnalate da alcuni clienti e confermate da un’ispezione svolta dall’Autorità con l’ausilio del Nucleo speciale privacy della Guardia di Finanza, prima dell’applicazione del nuovo Regolamento UE sulla protezione dei dati personali (Gdpr), al termine della quale la stessa Guardia di Finanzia aveva provveduto a contestare direttamente in loco una sanzione amministrativa.

I clienti si erano lamentati per la continua e indesiderata ricezione in posta elettronica di offerte commerciali da parte dell’azienda di cui possedevano una carta fedeltà. Gli interessati avevano, peraltro, chiesto più volte alla società, sia telefonicamente, sia tramite procedure automatizzate, di cancellare il proprio indirizzo dalla mailing list pubblicitaria, ma senza ottenere alcun risultato.

Nel corso dell’istruttoria avviata dal Garante, l’impresa si è giustificata affermando di non essere stata in grado di bloccare l’invio di e-mail pubblicitarie per problemi connessi alle sue banche dati – contenenti dati di oltre dieci milioni di clienti – che, in quel periodo, erano in fase di migrazione verso un’unica piattaforma.

Dall’ispezione sono emersi ulteriori problemi relativi alla gestione dei dati personali dei clienti. E’ stato in particolare accertato che il consenso al trattamento dei dati per l’invio di comunicazioni commerciali – acquisito attraverso i vecchi moduli di adesione al programma fedeltà – non poteva essere ritenuto valido, poiché i clienti erano costretti a rilasciarlo per poter ottenere iservizi proposti con la carta fedeltà. Inoltre, il sistema informativo della società non era in grado di tracciare e gestire adeguatamente le richieste di esercizio dei diritti degli interessati, in particolare quello di opposizione al trattamento per finalità di marketing, e di interrompere, di conseguenza l’invio di spam.

Nel suo provvedimento, il Garante ha quindi prescritto misure per mettersi in regola con le nuove disposizioni in materia di protezione dei dati personali e, esercitando per la prima volta i nuovi poteri correttivi offerti dal Gdpr, ha “ammonito” la società a non utilizzare più, per finalità di marketing, i dati personali degli interessati, raccolti mediante i moduli relativi alla fidelity card contestata. Ha inoltre vietato l’utilizzo, per gli stessi fini, dei dati di qualunque interessato, in assenza di un comprovato consenso, libero e specifico. Alla società è stato ingiunto, infine, di implementare misure organizzative e tecniche adeguate per garantire la corretta gestione dei diritti degli interessati, assicurando anche il tracciamento puntuale delle richieste ricevute dalla clientela, e così poter comprovare il rispetto (accountability) degli adempimenti privacy.

 

L’aggiornamento annuale del DPO

In questo video ti spiego perchè è necessario svolgere l’aggiornamento annuale come Data Protection Officer.

Ti segnalo il corso on line Aggiornamento DPO 2019 – Guarda i contenuti dal seguente link

Dr. Matteo Rapparini – CEO Edirama – http://www.consulenzaprivacy.org

British Airways è riuscita a far registrare un nuovo, poco invidiabile, record: a seguito della violazione informatica subita nel 2018, l’Information Commissioner’s Office (ICO) le ha inflitto una multa da 204 milioni euro (183 milioni di sterline), una cifra che rappresenta l’1,5% del fatturato annuo della compagnia aerea e la pena pecuniaria più alta al mondo mai comminata per un furto informatico di dati. Una cifra così elevata è giustificata dall’applicazione delle norme relative al GDPR, che prevedono una pena pecuniaria massima pari al 4% del fatturato aziendale.

Marketing: no alla raccolta punti “acchiappa consensi”

Per poter partecipare ad un programma di raccolta punti e usufruire così di piccoli vantaggi il cliente non deve essere obbligato ad esprimere il consenso a ricevere pubblicità. Il principio è stato ribadito dal Garante privacy che ha vietato a una nota marca di pannolini l’ulteriore trattamento per finalità promozionali dei dati di oltre un milione e mezzo di persone, acquisiti in modo illecito mediante il form “raccolta punti” del sito della società.

Dagli accertamenti svolti dal Garante in collaborazione con il Nucleo speciale privacy della guardia di finanza, a seguito di una segnalazione, è emerso che solo nei primi due mesi del 2018 la società ha inviato newsletter promozionali a circa un milione di indirizzi e-mail raccolti e utilizzati senza un valido consenso.

Ai clienti interessati alla raccolta punti, infatti, non veniva data la possibilità, come richiesto dalla normativa, di esprimere un consenso libero e specifico per le singole finalità di trattamento che la società intendeva svolgere, tra le quali vi era appunto l’attività promozionale. Per poter completare la registrazione e aderire al programma di fidelizzazione i clienti erano invece obbligati a rilasciare due consensi generici, uno per la società e uno per i marchi collegati.

Oltre a disporre il divieto, il Garante ha ingiunto alla società, qualora intenda svolgere attività promozionali, di modificare il form di raccolta dati presente sul sito, affinché gli utenti possano esprimere un consenso libero e informato per tale finalità.

Per i trattamenti illeciti è stata applicata una sanzione amministrativa che la società ha già pagato.

Informazioni commerciali e Gdpr: le nuove regole 

Informazioni commerciali e Gdpr: le nuove regole 
Il Garante privacy approva il Codice di condotta proposto dall’Ancic

Maggiore tutela delle persone censite, valutazione di impatto sulla protezione dei dati, adeguamento alle best practices europee, un nuovo organismo di monitoraggio sulle imprese aderenti al Codice. Queste sono alcune delle misure indicate nel Codice di condotta predisposto dall’Associazione Nazionale tra le Imprese di Informazioni Commerciali e di Gestione del Credito (Ancic), e approvato dal Garante per la privacy dopo un complesso iter di elaborazione.

Il testo sostituisce e aggiorna il vecchio Codice deontologico sulle informazioni commerciali – che rimarrà comunque in vigore fino al 19 settembre 2019 – aiutando le imprese del settore ad adeguarsi al Regolamento Ue in materia di protezione dati (Gdpr) e alla normativa italiana, modificata a fine 2018.

Nel Codice di condotta trova concreta applicazione il principio di responsabilizzazione (la cosiddetta accountability), fortemente sostenuto nel Gdpr, che impone alle associazioni di categoria e alle imprese un’applicazione consapevole, trasparente, effettiva delle norme regolamentari.

Con il nuovo testo, le società che offrono informazioni sull’affidabilità commerciale di imprenditori e manager potranno trattare i dati personali dei soggetti censiti senza richiederne il consenso – basandosi sul legittimo interesse – ma dovranno garantire maggiori tutele agli interessati, informandoli correttamente sui trattamenti effettuati e garantendo loro il pieno esercizio dei diritti previsti dalla normativa privacy, come l’opposizione al trattamento, la rettifica o l’aggiornamento dei dati.

Diverse le novità introdotte. I fornitori aderenti dovranno operare secondo un approccio basato sul rischio, adottando misure tecniche, informatiche, procedurali, fisiche e organizzative utili a prevenire o minimizzare i rischi di distruzione, perdita, modifica e divulgazione non autorizzata o di accesso ai dati personali. Ogni fornitore dovrà inoltre impegnarsi ad osservare le linee guida, le raccomandazioni e le best practices adottate dal Comitato europeo per la protezione dei dati (EDPB) o da altre autorità di settore competenti, e dovrà designare – quando previsto – un responsabile per la protezione dei dati (Rpd/Dpo).

Sarà infine istituito un Organismo di monitoraggio (Odm) indipendente, esterno all’Ancic, composto da soggetti scelti secondo i criteri di onorabilità, autonomia, indipendenza e professionalità previsti dal Regolamento Ue e dettagliati nelle Linee guida europee recentemente approvate in via definitiva. L’Odm dovrà verificare l’osservanza del codice di condotta da parte degli aderenti e gestire la risoluzione dei reclami.

L’Autorità segnala che ha approvato il codice di condotta, ma ne ha subordinato l’efficacia al completamento della fase di accreditamento dell’Organismo di monitoraggio, come previsto dal Regolamento Ue sulla privacy. Per procedere in tal senso occorrerà però aspettare la conclusione dei lavori – in seno all’Edpb, organismo che riunisce tutti i Garanti europei – per la definizione di criteri uniformi per l’accreditamento.

Nel sottolineare l’importanza del nuovo Codice di condotta, l’Autorità ricorda che il suo rispetto potrà servire alle imprese a dimostrare la conformità alla normativa del trattamento dei dati personali da esse effettuato.

Gli aspetti critici dell’attività del DPO

A più di un anno dell’applicazione del Reg. Ue 2016/679, è possibile tracciare un primo bilancio anche della nuova figura professionale introdotta, quella del Data Protection Officer.
I mille dubbi sull’operatività del DPO non si sono completamente dipanati, nel corso dei mesi. Anzi in molti casi i dubbi e le questioni irrisolte hanno continuato ad alimentare il dibattito tra gli esperti e non, in rete e nei convegni in tutta Italia.

Home.jpg
Se è pur vero che per il DPO non sono previste sanzioni esplicitamente richiamate dalla nuova normativa, è pur sempre vivo il pericolo per qualcuno di “incappare” in qualche problematica, con risvolti legali anche importanti e ,come tutte le questioni di legge, fastidiose.
Le assicurazioni professionali garantiscono e tutelano il singolo DPO in modo più o meno completo, ma la complessità della materia e della sua applicazione alle singole realtà aziendali, accompagnate anche da una non completa preparazione professionale, possono creare situazioni critiche in qualsiasi momento.
Infatti il ruolo di DPO, normato come un supervisore, si pone all’interno dell’azienda in una posizione che può apparire in alcuni contesti, scomoda, a tal punto da generare anche sottili azioni di “sabotaggio” anche culturale, se non “operativo” (nei casi peggiori), in ambito privacy.
Il suo posizionamento tra il titolare dei trattamenti dati e la più alta gerarchia aziendale, crea in alcuni contesti dinamiche di gestione dei dati personali che lo stesso DPO può faticare a individuare, a prevenire trovandosi poi a gestire improvvisi e importanti databreach e rapporti con il Garante, con gravi conseguenze per l’azienda.

In questo contesto è fondamentale che il DPO comprenda l’importanza di definire gli aspetti più sensibili della propria professione, andando a pianificare nei dettagli ogni singola dinamica, che se fuori controllo, possono esplodere con conseguenze gravi e “attriti” con l’azienda e il titolare trattamenti dati, dalle conseguenze anche risarcitorie.

Vediamo un breve elenco degli aspetti che un DPO deve con maggiore attenzione valutare nello svolgimento della propria attività:
_ autonomia operativa sia dal punto di vista di budget di spesa, sia dal punto di vista della gerarchia aziendale
_ coinvolgimento in ogni questione che riguarda i trattamenti dei dati personali in azienda
_ partecipazione alle riunioni dell’alta direzione
_ documentare sempre situazioni in cui il proprio parere non è condiviso ad esempio dal Titolare trattamenti dati
_ comunicazione della propria nomina a tutto il personale dell’azienda in modo tale che la sua presenza e le sue funzioni siano note all’interno dell’azienda
_ ricorrere quando necessario a consulenti esterni per problematiche tecniche o legali che non è in grado di risolvere.

Per aiutare il singolo DPO a valutare la presenza di possibili criticità nella propria professione, Edirama ha realizzato il software Check DPO, uno strumento veloce, completo, personalizzabile e utilizzabile per illimitati check-up della professione del DPO.
Rispondendo a 23 quesiti che abbracciano 23 aspetti operativi dell’attività professionale del DPO, il software fornisce un quadro esaustivo delle criticità professionali, indicando anche le soluzioni operative per correggerle.

In questo modo il DPO può valutare il proprio status professionale in ogni singola azienda nelle quali ricopre tale funzione, utilizzando il software Check DPO, individuando criticità che possono portare a problematiche le cui conseguenze possono essere anche gravi.
Il software è disponibile su http://www.edirama.org dove è possibile consultare la video demo

Per maggiori informazioni
Dr. Matteo Rapparini
http://www.edirama.org
Tel. 051-35.38.38
info@edirama.org