L'articolo Legittimo il potere dell’AGCOM di intervenire a tutela del diritto d’autore proviene da Giurdanella.it.
]]>In particolare, le delibere impugnate sono quelle di modifica del Regolamento in materia di tutela del diritto d’autore sulle reti di comunicazione elettronica e procedure attuative ai sensi del decreto legislativo 9 aprile 2003, n. 70”, e cioè la delibera 490/18/CONS e la delibera n. 189/23/CONS.
Il menzionato Regolamento, approvato dall’AGCOM in data 12 dicembre 2013 con la delibera n. 680/13/CONS, viene adottato al fine di dare effettività alle norme contenute nella legge sul diritto d’autore n. 633/1941 e nel d.lgs. n. 70/2003 teso a contrastare le violazioni online.
Le delibere censurate hanno riconosciuto in capo all’AGCOM dei poteri inibitori, cautelari e sanzionatori nei casi di violazione delle norme a tutela del diritto d’autore online.
Più nel dettaglio, è stato attribuito all’Autorità:
1) il potere di ordinare agli internet service provider di disabilitare, senza indugio e comunque non oltre 30 minuti dalla notificazione dell’ordine, l’accesso alle opere digitali;
2) il potere di ordinare la rimozione selettiva delle opere digitali inserite online in violazione delle norme poste a tutela del diritto d’autore.
Ebbene, i ricorrenti hanno contestato:
a) la sussistenza del potere regolamentare di AGCOM in materia di diritto d’autore, sul presupposto che la disciplina di poteri capaci di incidere negativamente su posizioni giuridiche soggettive costituzionalmente garantite sarebbe coperta dalla riserva di legge di cui all’art. 23 della Costituzione;
b) la conformità delle previsioni introdotte dall’AGCOM con i principi di legalità, di tipicità dei provvedimenti e di tassatività delle fattispecie sanzionate;
c) il riconoscimento in capo all’AGCOM di un potere cautelare e sanzionatorio finalizzato ad assicurare il rispetto dei diritti di proprietà intellettuale, affermando che un potere di tal fatta spetterebbe solamente all’autorità giurisdizionale e non ad un organo amministrativo.
Con la sentenza del 22 gennaio 2024, n. 1223, il T.A.R. Lazio ha ritenuto infondate tutte le censure mosse dai ricorrenti.
Secondo il ragionamento dei giudici, infatti, il riconoscimento in capo all’AGCOM di un potere di intervento così incisivo non solo si giustifica perché appare finalizzato “a fornire strumenti di rapido intervento nei confronti dei fenomeni massivi di violazioni del diritto d’autore online”, ma non è neppure in conflitto con l’esercizio della funzione giurisdizionale.
Prova ne è che sono state previste norme che impongono di archiviare il procedimento avviato dall’AGCOM nell’ipotesi in cui l’interessato abbia adito l’autorità giudiziaria.
Ed ancora, il Collegio ha precisato che nell’applicazione della disciplina del diritto d’autore sulle reti di comunicazione elettronica si è dovuto operare un importante bilanciamento tra diversi diritti, ossia tra la libertà di manifestazione del pensiero e di espressione e il diritto alla privacy e l’accesso corretto dei cittadini alla cultura e ad internet.
Tale bilanciamento si è realizzato con l’adozione di misure di concreto contrasto al fenomeno della pirateria online, tanto al fine di incentivare lo sviluppo dell’offerta legale delle opere digitali e la corretta fruizione delle stesse, quanto al fine di vigilare, accertare ed eventualmente far cessare le violazioni del diritto d’autore realizzate in rete.
In tal senso appare allora legittimo il potere di AGCOM di ordinare ai prestatori di servizi “di disabilitare l’accesso a contenuti diffusi abusivamente mediante il blocco della risoluzione DNS dei nomi di dominio e il blocco dell’instradamento del traffico di rete verso gli indirizzi IP”.
Del pari legittima è la previsione che impone ai soggetti destinatari dell’ordine di disabilitazione di eseguire il provvedimento “senza alcun indugio e, comunque, entro il termine massimo di trenta minuti dalla notificazione”.
La contestata esiguità del termine di 30 minuti è, a dire dei giudici, del tutto proporzionata ai tempi, altrettanto esigui, degli eventi sportivi che ad esempio vengono spesso trasmessi illecitamente, sicché è evidente che un simile termine vuole approntare una tutela non formalistica e seriamente orientata ad arginare abusi.
Sulla scorta di tutto quanto precede, il T.A.R. ha ritenuto legittime le delibere dell’AGCOM e il potere regolamentare esercitato, poiché la disciplina prevista rispetta l’interesse pubblico prevalente, ossia la tutela del diritto d’autore.
L'articolo Legittimo il potere dell’AGCOM di intervenire a tutela del diritto d’autore proviene da Giurdanella.it.
]]>L'articolo Il Garante per la protezione dei dati sanziona l’utilizzo dell’AI in violazione della normativa privacy proviene da Giurdanella.it.
]]>Da notizie di stampa l’Autorità garante della privacy ha appreso che il Comune di Trento stava portando avanti la sperimentazione di tre diversi sistemi di intelligenza artificiale, denominati “Marvel”, “Protector” e “Precrisis”.
Mentre quest’ultimo non destava particolari problemi in materia di tutela della privacy, essendo in fase di programmazione e non essendo ancora stato avviato, i primi due progetti risultavano non conformi al GDPR.
I progetti “Marvel” e “Protector”, fiinanziati nell’ambito di programmi di ricerca dell’Unione europea, prevedevano la raccolta di informazioni provenienti da luoghi pubblici mediante l’utilizzo di microfoni e telecamere di videosorveglianza, al fine di rilevare (ed eventualmente contrastare) situazioni di pericolo per la sicurezza pubblica.
In particolare, il progetto “Marvel” consisteva nella raccolta e nell’analisi di dati audiovisivi – acquisiti mediante telecamere già installate nel territorio del Comune e microfoni appositamente collocati sulla pubblica via – che avrebbero consentito di rilevare, attraverso l’impiego di tecniche di intelligenza artificiale, eventi di rischio per la sicurezza pubblica.
Il progetto “Protector”, invece, prevedeva la raccolta e l’analisi di messaggi e commenti d’odio pubblicati su svariati social network, al fine di isolare – sempre attraverso l’impiego di tecniche di intelligenza artificiale – emozioni negative e situazioni di allarme da mettere poi a disposizione delle Forze dell’ordine.
A seguito di una complessa istruttoria, il Garante ha sanzionato il Comune di Trento sulla base dei seguenti motivi:
Il Garante ha censurato tutte le attività di ricerca condotte dal Comune nell’ambito dei due progetti, poiché le modalità di raccolta e di analisi dei dati sono risultate tanto invasive da comportare significativi rischi per le libertà e per i diritti fondamentali degli Interessati dal trattamento.
Si è infatti messo in evidenza che il contenuto delle conversazioni, captato mediante tecniche di intelligenza artificiale, non risultava realmente anonimizzato, tant’è che sarebbe stato possibile, a mero titolo esemplificativo, venire a conoscenza di dati personali relativi a reati posti in essere da terzi soggetti menzionati o di dati personali relativi a categorie di soggetti vulnerabili.
In ogni caso, va precisato che l’Autorità, pur condannando in questo specifico caso il Comune di Trento per come ha condotto il trattamento dei dati personali, si è detta assolutamente aperta all’utilizzo dell’AI e pronta a collaborare con ogni Amministrazione per la realizzazione di progetti di ricerca in conformità con le norme sulla tutela della privacy.
L'articolo Il Garante per la protezione dei dati sanziona l’utilizzo dell’AI in violazione della normativa privacy proviene da Giurdanella.it.
]]>L'articolo Il GPDP e l’ACN adottano le Linee Guida per la conservazione delle password proviene da Giurdanella.it.
]]>Le Linee Guida sono rivolte a tutte le imprese o amministrazioni che, in qualità di titolari o responsabili del trattamento, conservano sui propri sistemi le password dei propri utenti (es. gestori dell’identità digitale SPID o CieID, gestori PEC, gestori di servizi di posta elettronica, banche, assicurazioni, operatori telefonici, strutture sanitarie, etc.), alle imprese o amministrazioni i cui dipendenti accedono a banche dati di particolare rilevanza o dimensioni, oppure a tipologie di utenti che abitualmente trattano dati sensibili o giudiziari (es. professionisti sanitari, avvocati).
Le Linee Guida hanno lo scopo di fornire raccomandazioni sulle misure tecniche ritenute attualmente più sicure e che, dunque, i gestori dei sistemi informatici “devono” adottare, sia per le modalità di conservazione delle password e delle altre credenziali di autenticazione nei database, sia per determinare il periodo della loro conservazione.
Ciò che è stato “estremamente raccomandato” è l’utilizzo di robuste funzioni crittografiche di password hashing per la conservazione delle stesse, in particolare laddove:
La materia della protezione dei dati personali è, a livello europeo, disciplinata dal Regolamento (UE) 2016/679 “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”.
A seguito di tale Regolamento, l’Italia ha adottato il d.lgs. 101/2018, ovvero le Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679, che hanno modificato il d.lgs. n. 196/2003, ovvero il “Codice in materia di protezione dei dati personali”.
In Italia, l’autorità di controllo prevista dalle predette normative è il Garante privacy.
Il provvedimento n. 594 del 7 dicembre qui in commento, con il quale, come detto, sono state adottate le Linee Guida, prende atto delle numerose notifiche trasmesse al Garante ai sensi dell’art. 33 Regolamento UE. Ai sensi di tale norma, in caso di violazione dei dati personali, il titolare e il responsabile del trattamento notificano la violazione all’autorità di controllo. Il provvedimento n. 594 del 7 dicembre prende altresì atto delle istruttorie condotte dall’autorità di controllo nei confronti dei titolari e responsabili del trattamento concernenti la verifica dell’adeguatezza delle misure tecniche, dalle quali è emersa una inefficace protezione delle password di utenti conservate nell’ambito di sistemi di autenticazione informatica.
Come detto poc’anzi, era necessario fornire raccomandazioni sulle misure tecniche da adottare per:
modalità di conservazione delle credenziali di autenticazione > in attuazione del comma 1, lett. f), dell’art. 5 Regolamento UE , titolato “Principi applicabili al trattamento dei dati personali”, ai sensi del quale i dati personali devono essere “trattati in maniera da garantire una adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)”.
determinare il periodo di conservazione delle credenziali di autenticazione, affinché siano cancellate laddove non siano più necessarie per verificare l’identità degli utenti ai fini dell’accesso a sistemi informatici o servizi online o per garantirne la sicurezza e, comunque, in caso di cessazione dei sistemi informatici o servizi online cui consentono l’accesso oppure di disattivazione delle relative credenziali di autenticazione > in attuazione del comma 1, lett. e), dell’art. 5, ai sensi del quale i dati personali devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatta salva l’attuazione di misure tecniche adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»)”
Alla luce delle suddette problematiche e dei principi sul trattamento dei dati personali da dover tutelare, il Garante privacy ha esercitato i poteri che gli derivano dal Regolamento UE e dal Codice. In particolare:
ai sensi dell’art. 57 Regolamento UE “ogni autorità di controllo promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento, ed inoltre promuove la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento”;
l’art. 154 bis Codice da senso a tale disposizione, prevedendo il potere del Garante privacy di adottare linee guida di indirizzo riguardanti le misure tecniche e organizzative di attuazione dei principi del Regolamento, anche per singoli settori e in applicazione dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.
Il d.l. 82/2021 ha istituito l’Agenzia per la Cybersicurezza Nazionale, avente il compito di collaborare con il Garante privacy anche in relazione agli incidenti che comportano violazioni dei dati personali, promuovendo iniziative congiunte nel campo della sicurezza cibernetica nazionale e della protezione dei dati personali.
Ed è proprio nell’ambito della citata cooperazione istituzionale che l’ACN ed il Garante hanno svolto approfondimenti in ordine alle migliori prassi per proteggere le password, predisponendo le Linee Guida qui in commento.
Ai sensi del comma 2 dell’art. 5 Regolamento UE il titolare del trattamento è responsabile del rispetto dei principi di cui al comma 1.
Laddove vengano adottate misure tecniche diverse da quelle individuate nelle Linee Guida, i titolari del trattamento, in ossequio al principio di responsabilizzazione di cui agli artt. 5 e 24 Regolamento UE, devono essere in grado di comprovare che tali misure garantiscono comunque un livello di sicurezza adeguato al rischio per i diritti e le libertà delle persone fisiche.
In caso contrario l’autorità di controllo può esercitare i poteri di cui all’art. 58 del Regolamento UE, tra cui infliggere una sanzione amministrativa pecuniaria o imporre una limitazione provvisoria o definitiva al trattamento.
L'articolo Il GPDP e l’ACN adottano le Linee Guida per la conservazione delle password proviene da Giurdanella.it.
]]>L'articolo Threads, il nuovo social di Zuckerberg non viene lanciato in Europa: a fondamento della scelta il DMA e il GDPR proviene da Giurdanella.it.
]]>Threads è stato lanciato negli Stati Uniti, in Inghilterra e in molti altri Paesi, ma non in Europa.
Di conseguenza, non è mancato chi si è chiesto perché mai, un social network che ha superato i cento milioni di iscritti in pochi giorni dalla sua pubblicazione, non sia stato reso disponibile anche all’interno dell’Unione europea.
Non è da escludere che le ragioni siano giuridiche e siano da rinvenire essenzialmente:
Sembra dunque che il nuovo social network si ponga in contrasto tanto con alcune norme poste a tutela della privacy, quanto con altre norme poste a tutela della libertà di concorrenza, anche considerato che – al fine di poter utilizzare il social network “Threads” – è necessario che l’utente risulti già iscritto al social network “Instagram”, potendo solo tramite quest’ultimo avere accesso alle funzionalità di “Threads”.
Sono molteplici, pertanto, le potenziali violazioni riscontrabili nelle modalità di funzionamento del nuovo social network.
Innanzitutto, in una recente sentenza del 4 luglio 2023 (causa C-252/21 | Meta Platforms e a. – condizioni generali d’uso di un social network) la CGUE, pronunciandosi sul funzionamento del social network Facebook, ha chiarito che non è conforme al GDPR subordinare l’utilizzo di un social network all’accettazione indiscriminata delle condizioni generali d’uso, https://www.giurdanella.it/2023/07/la-cgue-si-pronuncia-sui-rapporti-tra-diritto-della-concorrenza-e-normativa-privacy/.
In sostanza, è stato chiarito che il consenso al trattamento dei dati non è validamente reso se costituisce una condizione per l’utilizzo stesso del social network.
Nel caso di “Threads” il problema appare ancora più ampio, dato che la sua stessa utilizzazione passa attraverso l’iscrizione obbligatoria su un altro social network appartenente al medesimo gruppo Meta Platforms, con conseguenziale accettazione dell’automatica trasmissione di dati da “Instagram” a “Threads”.
Tale obbligatoria trasmissione di dati provenienti da “Instagram”, cui è subordinato l’utilizzo di “Threads”, potrebbe senz’altro rappresentare un problema per la normativa europea in materia di privacy.
Ed ancora, il nuovo social network potrebbe porsi in contrasto anche con il DMA, normativa tesa a contrastare e prevenire gli abusi di posizione dominante delle grandi piattaforme online.
La citata normativa individua dei cosiddetti gatekeepers, ossia delle società che per motivi quantitativi e qualitativi mantengono il controllo di una grossa fetta di mercato e in esso riescono a distinguersi: anche la società Meta Platforms è stata designata quale gatekeeper.
Il DMA non ammette, ad esempio, che le società possano combinare i dati raccolti dai propri diversi social networks per la creazione di inserzioni personalizzate, quindi Meta non potrebbe combinare i dati di “Threads” e “Instagram” senza violare il divieto posto dal DMA.
Inoltre, la previsione dell’accesso su “Threads” mediante un account “Instagram” comporta che Meta favorisce i propri prodotti a scapito di altri, in violazione della libertà di concorrenza: detto sistema di auto-preferenza è vietato dal DMA, perché idoneo ad integrare un abuso di posizione dominante.
In ogni caso, staremo a vedere cosa accadrà, dato che Zuckerberg – presidente e CEO di Meta Platforms – si è detto aperto alla possibilità di adeguare il nuovo social network alle normative europee che lo preoccupano.
L'articolo Threads, il nuovo social di Zuckerberg non viene lanciato in Europa: a fondamento della scelta il DMA e il GDPR proviene da Giurdanella.it.
]]>L'articolo La CGUE si pronuncia sui rapporti tra diritto della concorrenza e normativa privacy proviene da Giurdanella.it.
]]>Meta Platforms Ireland gestisce l’offerta del social network online Facebook nell’Unione Europea, mentre altre società del gruppo Meta offrono altri servizi online, tra cui Instagram, WhatsApp, Oculus.
Il modello economico di Facebook si fonda sul finanziamento tramite la pubblicità online che viene creata su misura per tutti i singoli utenti privati, tenendo conto del loro comportamento di consumo, dei loro interessi, del loro potere d’acquisto e della loro situazione personale.
Si legge in sentenza che “il presupposto tecnico per questo tipo di pubblicità è la creazione automatizzata di profili dettagliati degli utenti del network e dei servizi online offerti a livello del gruppo Meta. A tal fine, oltre ai dati che gli utenti forniscono direttamente al momento della loro iscrizione ai servizi online di cui trattasi, vengono raccolti, all’interno e all’esterno di detto social network e dei servizi online forniti dal gruppo Meta, e messi in relazione ai loro diversi account di utenza anche altri dati relativi ai tali utenti e ai loro dispositivi. Il quadro generale di tali dati consente di trarre conclusioni dettagliate sulle preferenze e sugli interessi dei medesimi utenti”.
Ora, per il trattamento di tale insieme di dati, Meta Platforms Ireland si basa sul contratto d’uso a cui ogni utente aderisce tramite l’attivazione del pulsante “Iscriviti” e sulla consequenziale accettazione delle condizioni generali stabilite da detta società. Un dato fondamentale è che l’accettazione di queste condizioni generali è necessaria per poter utilizzare il social network Facebook.
Ebbene, l’autorità federale garante della concorrenza, nel febbraio 2019, ha vietato a Meta Platforms, Meta Platforms Ireland e Facebook Deutschland di subordinare, nelle condizioni generali, l’uso del social network Facebook da parte di utenti privati residenti in Germania al trattamento dei loro dati off Facebook e di procedere, senza previo consenso degli utenti, al trattamento di tali dati sulla base delle condizioni generali allora vigenti. Inoltre, la medesima autorità ha ordinato alle sopra citate società di adeguare le condizioni generali in modo che da esse “risultasse chiaramente che tali dati non sarebbero stati né raccolti, né messi in relazione con gli account degli utenti Facebook, né utilizzati senza il consenso dell’utente interessato, e ha chiarito che tale consenso non è valido qualora costituisca una condizione per l’utilizzo del social network”.
È importante precisare che l’autorità federale garante della concorrenza ha motivato la sua decisione con il fatto che il trattamento dei dati, come previsto da quelle condizioni generali e come attuato da Meta Platforms Ireland, costituiva uno sfruttamento abusivo della posizione dominante di detta società sul mercato dei social network online per gli utenti privati in Germania, secondo le norme di diritto interno.
Del pari, secondo l’autorità federale garante della concorrenza, le condizioni generali in parola sarebbero abusive perché il trattamento dei dati off Facebook non sarebbe conforme ai valori sottesi al regolamento (UE) 2016/679 del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, di seguito RGPD.
In data 11 febbraio 2019 Meta Platforms, Meta Platforms Ireland e Facebook Deutschland hanno presentato un ricorso avverso la decisione dell’autorità federale garante della concorrenza dinanzi al Tribunale superiore del Land, Düsseldorf, Germania.
Il Tribunale superiore del Land, Düsseldorf, nutrendo dubbi in merito:
a) alla possibilità per le autorità nazionali garanti della concorrenza di controllare, nell’esercizio delle loro prerogative, la conformità del trattamento di dati personali alle condizioni stabilite nel RGPD;
b) alla possibilità per un operatore di un social network online di trattare dati personali sensibili della persona interessata, ai sensi dell’art. 9, par. 1 e 2, RGPD;
c) alla liceità del trattamento di dati personali dell’utente da parte di un operatore, ai sensi dell’art. 6, par. 1, RGPD;
d) alla validità, alla luce dell’art. 6, par. 1, co. 1, lett. a), e dell’art. 9, par. 2, lett. a), RGPD, del consenso prestato a un operatore che detiene una posizione dominante sul mercato nazionale dei social network online, ai fini di un trattamento di questo tipo,
ha deciso di sospendere il procedimento e di sottoporre alla CGUE alcune questioni pregiudiziali, tra cui le più rilevanti ai nostri fini così sintetizzabili:
Ebbene la CGUE, fornendo un’interpretazione sicuramente innovativa, ha chiarito che, nell’ambito dell’esame di un abuso di posizione dominante da parte di un’impresa e fermo restando il rispetto dell’obbligo di leale cooperazione con le autorità di controllo, può risultare necessario che l’autorità garante della concorrenza di uno Stato membro esamini anche la conformità del comportamento di tale impresa a norme diverse da quelle rientranti nel diritto della concorrenza, quali quelle contenute nel RGPD. Tuttavia, detta autorità garante della concorrenza non si sostituisce all’autorità di controllo istituita ai sensi dell’art. 51 RGPD, giacché la valutazione del rispetto del RGPD si limita al solo scopo di constatare un abuso di posizione dominante e di imporre misure volte a far cessare tale abuso, in applicazione di norme proprie del diritto della concorrenza.
La portata innovativa di quanto affermato dalla Grande Sezione risiede nell’aver ammesso la possibilità che anche un’autorità diversa da quella istituita a precipuo presidio delle norme del RGPD possa, seppur incidenter tantum, accertare la violazione di una norma in materia di privacy, sempre al fine di vagliare la sussistenza di un abuso di posizione dominante, in applicazione del diritto della concorrenza.
Del pari, la Corte ha chiarito che le autorità nazionali garanti della concorrenza devono cooperare lealmente con le autorità garanti del rispetto del RGPD: ove l’autorità garante della concorrenza reputi necessario esaminare la conformità di una condotta di un’impresa a una norma del RGPD ai fini dell’accertamento dell’eventuale abuso di posizione dominante, questa deve verificare se tale condotta sia già stata esaminata e sia eventualmente già stata oggetto di una decisione dell’autorità garante della privacy, non potendo, in caso affermativo, discostarsi in alcun modo dall’interpretazione fornita, ma restando (ovviamente) libera di trarre le proprie conclusioni sotto il profilo dell’applicazione del diritto della concorrenza.
Ed ancora, la CGUE ha chiarito che l’immissione di dati e informazioni in altri siti e/o app non equivale a rendere manifestamente pubblici tali dati, a meno che l’utente non abbia esplicitamente e preliminarmente espresso la scelta di rendere i dati che lo riguardano pubblicamente accessibili ad un numero illimitato di persone.
Di fondamentale importanza, poi, è l’espressa precisazione della Corte a proposito dell’impossibilità di ricorrere alla base giuridica dell’esecuzione del contratto di cui l’interessato (l’utente) è parte, ai sensi dell’art. 6, par. 1, lett. b), RGPD, se non nei soli casi in cui il trattamento di dati sia oggettivamente indispensabile, cosicché l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Né, a dire della Corte, la personalizzazione della pubblicità mediante cui è finanziato il social network Facebook può giustificare il trattamento dei dati in quanto “legittimo interesse” del titolare del trattamento stesso, ai sensi dell’art. 6, par. 1, lett. f), RGPD, dovendo Meta Platforms Ireland richiedere ed ottenere il consenso espresso e libero dell’interessato dal trattamento.
Inoltre, la CGUE ha chiarito che non è conforme al RGPD subordinare l’utilizzo del social network Facebook all’accettazione indiscriminata delle condizioni generali d’uso e che, ai fini dell’accertamento dell’abuso di una posizione dominante ad opera di un’impresa, quale Meta Platforms Ireland, non si esclude aprioristicamente che gli utenti del social network interessato possano validamente acconsentire al trattamento dei loro dati, tuttavia – incidendo la posizione dominante dell’impresa sulla libertà di scelta dell’interessato/utente – è richiesto un accertamento più stringente della manifestazione di un consenso libero e validamente prestato. Incombe all’operatore l’onere di provare tale ultima circostanza.
L'articolo La CGUE si pronuncia sui rapporti tra diritto della concorrenza e normativa privacy proviene da Giurdanella.it.
]]>L'articolo Profilazione sulla solvibilità e diritto di accesso proviene da Giurdanella.it.
]]>Depositate in Corte di Giustizia UE le conclusioni dell’Avvocato generale (nelle cause C-634/21, C-26/22, C-64/22) sugli effetti, ai fine del GDPR, della profilazione compiuta per dar vita al calcolo automatizzato della probabilità che una persona sia in grado di saldare un debito.
In sintesi, l’Avvocato afferma che “la semplice profilazione di dati personali, se poi viene posta da terzi a unico fondamento di decisioni consequenziali assunte senza contraddittorio, configura un processo decisionale automatizzato”.
Questioni:
Cos’è la profilazione
Cos’è un processo decisionale automatizzato
Perché la profilazione sulla solvibilità è già un processo decisionale automatizzato
Quali diritti?
– Opposizione
– Contraddittorio
– Accesso
Si può opporre il segreto industriale e aziendale?
Il trattamento automatizzato dei dati
La decisione basata unicamente sul trattamento automatizzato di dati
Il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato di dati
a) Il calcolo automatizzato della probabilità che una persona sia in grado di saldare un debito
Nell’ambito della sua attività economica, consistente nel fornire ai clienti informazioni sulla solvibilità di terzi, una società fornisce a un istituto di credito un punteggio di scoring relativo al cittadino in questione, sulla cui (unica) base il credito da quest’ultimo richiesto è stato negato.
Detto cittadino ha quindi chiesto alla società di cancellare la registrazione che lo riguardava e di consentirgli di accedere ai dati corrispondenti.
Quest’ultima gli ha, tuttavia, comunicato unicamente il punteggio di scoring pertinente e, in termini generali, i principi su cui si fonda il modello di calcolo di detto punteggio, senza informarlo in merito ai dati specifici presi in considerazione e alla rilevanza loro attribuita in tale contesto, sostenendo che il metodo di calcolo sarebbe coperto da segreto industriale e aziendale.
b) Il giudice a quo
Il giudice (Tribunale amministrativo di Wiesbaden, Germania), nel sollevare la questione di pregiudizialità innanzi alla Corte di Giustizia, ritiene che il calcolo di un punteggio di scoring da parte di un’agenzia di valutazione del credito non sia meramente una profilazione funzionale alla decisione del terzo titolare del trattamento, ma sia precisamente già una «decisione» autonoma ai sensi dell’articolo 22, paragrafo 1, del RGPD.
c) L’avvocato generale
L’avvocato generale innanzi alla Corte di Giustizia, in sede di conclusioni, osserva, anzitutto, che il GDPR sancisce un «diritto» dell’interessato di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione.
Aggiunge che “l’intervento umano richiesto nell’ambito di questo tipo di trattamento automatizzato dei dati garantisce che l’interessato abbia la possibilità di esprimere il suo punto di vista, ottenere una spiegazione in merito alla decisione adottata al termine di detta tipologia di valutazione e contestarla qualora non la condivida”.
L’avvocato generale osserva poi che il calcolo automatizzato di un tasso di probabilità relativo alla capacità di un interessato di saldare in futuro un debito costituisce già una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produce effetti giuridici che riguardano l’interessato o che incide in modo analogo significativamente sulla sua persona, qualora tale tasso, calcolato sulla base di dati personali relativi all’interessato, sia trasmesso dal titolare del trattamento a un terzo titolare del trattamento e, conformemente a una prassi costante, quest’ultimo basi prevalentemente su tale tasso la sua decisione sulla stipulazione, sull’attuazione o sulla cessazione di un contratto con l’interessato.
E, infine, sul segreto industriale ed aziendale opposto dalla società convenuta, rileva che “l’obbligo di fornire «informazioni significative sulla logica utilizzata» deve essere inteso nel senso che impone spiegazioni sufficientemente dettagliate sul metodo utilizzato per il calcolo del punteggio e le ragioni che hanno portato a un determinato risultato. In linea di massima, il titolare del trattamento dovrebbe fornire all’interessato informazioni generali, in particolare, sui fattori presi in considerazione ai fini del processo decisionale e sulla loro rispettiva rilevanza a livello aggregato, anch’esse utili a consentirgli di contestare qualsiasi «decisione» ai sensi dell’articolo 22, paragrafo 1, del GDPR.
d) Norme di riferimento
GDPR (General Data Protection Regulation)
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati). In vigore dal 25 maggio 2018.
– Articolo 4 (Definizioni)
Ai fini del presente regolamento s’intende per:
(…) 4) «profilazione»: qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica;
– Articolo 22 (Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione)
1. L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
– Articolo 15 (Diritto di accesso dell’interessato)
1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:
(…) h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
e) Link
La domanda di pronuncia pregiudiziale promossa dal Tribunale amministrativo di Wiesbaden, Germania
Le conclusioni dell’Avvocato generale
f) Cos’è dato personale e cos’è trattamento
Articolo 4 GDPR
Definizioni
1) «dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
2) «trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
L'articolo Profilazione sulla solvibilità e diritto di accesso proviene da Giurdanella.it.
]]>L'articolo Vaccinazione e privacy nelle scuole: la linea del Garante proviene da Giurdanella.it.
]]>E’ quanto si evince da un comunicato pubblicato pochi giorni fa dall’Autorità Garante per la protezione dei dati personali, la quale avvisa di aver provveduto a trasmettere una espressa nota al Ministero dell’Istruzione (il cui testo integrale non è però stato reso noto) con riferimento al delicato rapporto tra tutela della privacy e avvenuta (o non avvenuta) vaccinazione.
Secondo l’Authority, in ambito scolastico, deve dunque sempre prevalere l’esigenza di tutela della riservatezza di studenti e genitori in materia, ed anche le esigenze organizzative e di prevenzione del contagio devono essere perseguite nell’assoluto rispetto dei principi in tema di privacy.
La scelta di inoltrare una specifica nota di sensibilizzazione al Ministero è stata conseguenza di una serie di segnalazioni – pervenute al Garante – in ordine ad alcune specifiche domande rivolte dai docenti ai propri alunni, finalizzate ad acquisire, anche indirettamente, informazioni sull’avvenuta o meno vaccinazione, tanto degli studenti quanto dei membri delle rispettive famiglie.
Ebbene, la raccomandazione dell’Autorità è quella di evitare in ogni modo l’acquisizione, sia pure indiretta, di simili informazioni, pena la violazione del diritto alla riservatezza dei destinatari delle richieste.
La “condanna” è peraltro estesa non solo alle esplicite domande dei docenti, ma altresì ad ogni comportamento del docente o del personale dell’istituto che sia tale da consentire l’indebita acquisizione delle suddette informazioni.
Ciò che il Garante chiede al Ministero è proprio di sensibilizzare tutte le scuole “sui rischi per la privacy derivanti da iniziative finalizzate all’acquisizione di informazioni sullo stato vaccinale degli studenti e dei rispettivi familiari”, invitando a prestare elevata attenzione “sulle possibili conseguenze per i minori, anche sul piano educativo, derivanti da simili iniziative”.
Così richiamata la posizione dell’Autorità, pare dunque che sia fortemente auspicata una messa al bando dell’argomento vaccinazione all’interno delle aule scolastiche, posto che il solo affrontare la questione potrebbe costituire una condotta censurabile, oltre a ingenerare possibili effetti dannosi, sotto il profilo educativo, sugli studenti.
Il comunicato del Garante è altresì utile a chiarire alcuni importanti aspetti sulla normativa specifica che regola l’attività scolastica nell’attuale periodo pandemico.
Con riferimento alle informazioni relative agli studenti, il Garante ricorda che, secondo il quadro normativo vigente, agli istituti scolastici non è consentito conoscere lo stato vaccinale degli studenti del primo e secondo ciclo di istruzione; a questi stessi studenti non può essere in alcun modo richiesto il possesso del green pass come condizione per l’accesso alla struttura (a differenza di quanto disposto per gli studenti universitari, che sono viceversa tenuti a esibire il certificato verde per accedere ai locali dell’ateneo).
Analogo discorso può essere fatto con riferimento ai genitori – o comunque ai familiari – degli studenti; anche riguardo ad essi, gli istituti non possono mai acquisire o trattare dati o informazioni relativi al loro stato vaccinale. Tuttavia, contrariamente a quanto previsto per gli studenti, ai familiari è richiesto il possesso del green pass per accedere ai locali della scuola, da verificarsi ad opera del personale all’uopo autorizzato.
Infine, il Garante affronta la peculiare questione relativa alla facoltà di derogare all’obbligo della mascherina in aula per quelle classi i cui studenti abbiano tutti completato il ciclo vaccinale ovvero siano in possesso di un certificato di guarigione in corso di validità (le c.d. classi all vax). Sul punto, l’Autorità non si spinge ad individuare una precisa soluzione organizzativa, promettendo però la sua piena collaborazione al Ministero per l’individuazione di “misure attuative che consentano di soddisfare le esigenze sanitarie di prevenzione epidemiologica e, allo stesso tempo, assicurino il rispetto della libertà di scelta individuale e il diritto alla protezione dei dati personali”.
Di seguito, il link al sito del Garante privacy con il comunicato completo.
L'articolo Vaccinazione e privacy nelle scuole: la linea del Garante proviene da Giurdanella.it.
]]>L'articolo Nuovo Decreto Privacy, il D. Lgs. 51/2018 sulla protezione dei dati personali in ambito penale proviene da Giurdanella.it.
]]>E’ pubblicato nella Gazzetta Ufficiale del 24 maggio 2018 il Decreto legislativo 18 maggio 2018 n. 15, “Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.”
Qui il testo del Decreto pubblicato in gazzetta.
Si tratta di un testo unitario, dedicato alla complessiva disciplina del trattamento di dati personali in ambito penale, con l’obiettivo di creare un vero e proprio statuto, contenente principi generali di regolamentazione della materia e disposizioni di dettaglio nei vari settori in cui si può articolare il trattamento dei dati personali. La nuova normativa supera e sostituisce in gran parte quella attualmente contemplata nei titoli primo e secondo della parte seconda del Codice sul trattamento dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196, dedicate a specifici settori, in particolare quello giudiziario e quello dei trattamenti da parte delle forze di polizia.
In particolare, il testo prescrive che i dati siano conservati per il tempo necessario al conseguimento delle finalità per le quali sono trattati, sottoposti a esame periodico per verificarne la persistente necessità di conservazione e cancellati o anonimizzati una volta decorso tale termine e introduce una nuova disciplina riguardo alla differenziazione tra categorie di dati (fondati su fatti ovvero su valutazioni) e di interessati, in ragione della loro specifica posizione processuale.
Inoltre, riguardo ai diritti dell’interessato (ricezione di informazioni, accesso, rettifica, cancellazione, limitazione del trattamento), il testo prevede che rispetto ai dati personali contenuti in una decisione giudiziaria, in atti o documenti oggetto di trattamento nel corso di accertamenti o indagini, nel casellario giudiziale o in un fascicolo oggetto di trattamento nel corso di un procedimento penale o in fase di esecuzione penale, l’esercizio di tali diritti è regolato dalle disposizioni normative che disciplinano tali atti e procedimenti. In ambito giudiziario, la tutela degli interessati è quindi assicurata, per le parti, dalle garanzie che riconoscono i diritti di difesa all’interno del procedimento penale, anche con riguardo ai dati personali necessariamente oggetto di trattamento, assicurando quindi la possibilità di limitare l’esercizio dei diritti dell’interessato, conformemente alle esigenze di prevenzione, di indagine e processuali. Per garantire i diritti in ambito giudiziario anche con riferimento ai terzi, si è previsto uno speciale procedimento attraverso il quale qualsiasi interessato, durante il procedimento penale o dopo la sua definizione, può chiedere la rettifica, la cancellazione o la limitazione dei dati personali che lo riguardano.
In materia di sicurezza del trattamento, si prevede come obbligatoria anche per l’autorità giudiziaria la nomina del responsabile della protezione dati, in ragione dell’ausilio che tale figura può fornire nella gestione di trattamenti complessi e spesso inerenti dati sensibili, quali appunto quelli svolti in sede giurisdizionale. Per quanto riguarda i trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali, si stabilisce che esso sia consentito solo nei confronti delle autorità competenti e per le finalità di pubblica sicurezza oggetto della direttiva e in presenza di specifiche condizioni, tra cui l’adozione, da parte della Commissione dell’Unione europea, di una decisione di adeguatezza o, in mancanza, vi siano garanzie adeguate.
Il decreto individua nel Garante nazionale l’autorità deputata a vigilare sul rispetto delle norme attuative della direttiva in funzione della tutela dei diritti e delle libertà fondamentali delle persone fisiche, coinvolte dalle attività di trattamento di dati personali, escludendo il potere di controllo del Garante in ordine al trattamento svolto dall’autorità giudiziaria nell’esercizio delle funzioni giurisdizionali, comprese quelle del pubblico ministero. Infine, per quanto riguarda la violazione delle nuove norme, il testo prevede sanzioni amministrative (che nei casi più gravi possono estendersi da 50.000 a 150.000 euro) per le violazioni inerenti alle modalità del trattamento e introduce sanzioni penali per il trattamento operato con finalità illegittime.
L'articolo Nuovo Decreto Privacy, il D. Lgs. 51/2018 sulla protezione dei dati personali in ambito penale proviene da Giurdanella.it.
]]>L'articolo Gli obblighi in tema di privacy per Comuni ed Enti Locali dopo il GDPR proviene da Giurdanella.it.
]]>Vai allo Speciale GDPR nelle PA.
Con il Quaderno operativo dell’ANCI su “L’attuazione negli Enti Locali del nuovo Regolamento UE n. 679/2016 sulla protezione dei dati personali”, l’Anci ha elencato una serie di istruzioni tecniche, linee guida, note e modulistica utili all’ente locale nel districarsi nella nuova normativa in tema di privacy.
L’applicazione della normativa europea ricade sul titolare del trattamento dei dati, ovvero il Sindaco nei comuni, che dovrà ottemperare sostanzialmente tre obblighi:
Dal punto di vista dei soggetti coinvolti, nell’Ente locale si distinguono 4 soggetti.
Il Titolare del trattamento
L’autorità pubblica (il Comune o altro ente locale) che singolarmente o insieme ad altri determina finalità e mezzi del trattamento di dati personali.
Il Responsabile del trattamento
Il Dirigente/Responsabile P.O., oppure il soggetto pubblico o privato, che tratta dati personali per conto del Titolare del trattamento.
Il Sub-Responsabile del trattamento
Il dipendente della struttura organizzativa del Comune, incaricato dal Responsabile del trattamento, per l’esecuzione di specifiche attività di trattamento per conto del titolare del trattamento (elabora o utilizza materialmente i dati personali).
Il Responsabile per la protezione dati – RPD
Il dipendente della struttura organizzativa del Comune, il professionista privato o impresa esterna, incaricati dal Titolare o dal Responsabile del trattamento.
Schematicamente, i primi adempimenti che è necessario porre in essere in un Comune (teoricamente prima del 25 maggio 2018) sono:
– la nomina del RPD;
– l’adozione del Registro dei trattamenti di dati personali (obbligatorio per il Titolare) e del Registro delle categorie di attività trattate da ciascun Responsabile del trattamento, che hanno contenuti obbligatori previsti specificamente dal RGPD. I registri possono comprendere anche altre informazioni non obbligatorie, al fine di garantire il perfetto allineamento con i principali “oggetti” (mappa dei processi, organigramma dell’ente, portafoglio fornitori, mappa degli applicativi);
– la mappatura dei processi.
L'articolo Gli obblighi in tema di privacy per Comuni ed Enti Locali dopo il GDPR proviene da Giurdanella.it.
]]>L'articolo Speciale su GDPR. Gli obblighi in tema di privacy delle P.A. proviene da Giurdanella.it.
]]>L'articolo Speciale su GDPR. Gli obblighi in tema di privacy delle P.A. proviene da Giurdanella.it.
]]>