Le Linee Guida sono rivolte a tutte le imprese o amministrazioni che, in qualità di titolari o responsabili del trattamento, conservano sui propri sistemi le password dei propri utenti (es. gestori dell’identità digitale SPID o CieID, gestori PEC, gestori di servizi di posta elettronica, banche, assicurazioni, operatori telefonici, strutture sanitarie, etc.), alle imprese o amministrazioni i cui dipendenti accedono a banche dati di particolare rilevanza o dimensioni, oppure a tipologie di utenti che abitualmente trattano dati sensibili o giudiziari (es. professionisti sanitari, avvocati).

Le Linee Guida hanno lo scopo di fornire raccomandazioni sulle misure tecniche ritenute attualmente più sicure e che, dunque, i gestori dei sistemi informatici “devono” adottare, sia per le modalità di conservazione delle password e delle altre credenziali di autenticazione nei database, sia per determinare il periodo della loro conservazione.

Ciò che è stato “estremamente raccomandato” è l’utilizzo di robuste funzioni crittografiche di password hashing per la conservazione delle stesse, in particolare laddove:

• a) il trattamento riguarda le password di un numero significativo di utenti;
• b) il trattamento riguarda le password di utenti che possono accedere a banche di dati di particolare rilevanza o dimensioni;
• c) il trattamento riguarda le password di specifiche tipologie di utenti che, in modo sistematico, trattano, con l’ausilio di sistemi informatici, dati appartenenti a categorie particolari o relativi a condanne penali e reati di cui agli artt. 9 e 10 Regolamento UE; Il documento, inoltre, presenta nel dettaglio gli algoritmi più comuni utilizzati per il password hashing e fornisce le indicazioni su quali sono gli algoritmi raccomandati e sui rispettivi parametri.

LE FONTI GIURIDICHE E LA RATIO DELLE LINEE GUIDA

La materia della protezione dei dati personali è, a livello europeo, disciplinata dal Regolamento (UE) 2016/679 “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”.

A seguito di tale Regolamento, l’Italia ha adottato il d.lgs. 101/2018, ovvero le Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679, che hanno modificato il d.lgs. n. 196/2003, ovvero il “Codice in materia di protezione dei dati personali”.

In Italia, l’autorità di controllo prevista dalle predette normative è il Garante privacy.

Il provvedimento n. 594 del 7 dicembre qui in commento, con il quale, come detto, sono state adottate le Linee Guida, prende atto delle numerose notifiche trasmesse al Garante ai sensi dell’art. 33 Regolamento UE. Ai sensi di tale norma, in caso di violazione dei dati personali, il titolare e il responsabile del trattamento notificano la violazione all’autorità di controllo. Il provvedimento n. 594 del 7 dicembre prende altresì atto delle istruttorie condotte dall’autorità di controllo nei confronti dei titolari e responsabili del trattamento concernenti la verifica dell’adeguatezza delle misure tecniche, dalle quali è emersa una inefficace protezione delle password di utenti conservate nell’ambito di sistemi di autenticazione informatica.

Come detto poc’anzi, era necessario fornire raccomandazioni sulle misure tecniche da adottare per:

1. modalità di conservazione delle credenziali di autenticazione > in attuazione del comma 1, lett. f), dell’art. 5 Regolamento UE , titolato “Principi applicabili al trattamento dei dati personali”, ai sensi del quale i dati personali devono essere “trattati in maniera da garantire una adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)”.

2. determinare il periodo di conservazione delle credenziali di autenticazione, affinché siano cancellate laddove non siano più necessarie per verificare l’identità degli utenti ai fini dell’accesso a sistemi informatici o servizi online o per garantirne la sicurezza e, comunque, in caso di cessazione dei sistemi informatici o servizi online cui consentono l’accesso oppure di disattivazione delle relative credenziali di autenticazione > in attuazione del comma 1, lett. e), dell’art. 5, ai sensi del quale i dati personali devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatta salva l’attuazione di misure tecniche adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»)”

Alla luce delle suddette problematiche e dei principi sul trattamento dei dati personali da dover tutelare, il Garante privacy ha esercitato i poteri che gli derivano dal Regolamento UE e dal Codice. In particolare:

• ai sensi dell’art. 57 Regolamento UE “ogni autorità di controllo promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento, ed inoltre promuove la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento”;

• l’art. 154 bis Codice da senso a tale disposizione, prevedendo il potere del Garante privacy di adottare linee guida di indirizzo riguardanti le misure tecniche e organizzative di attuazione dei principi del Regolamento, anche per singoli settori e in applicazione dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

QUAL È, ALLORA, IL RUOLO DELL’AGENZIA PER LA CYBERSICUREZZA NAZIONALE?

Il d.l. 82/2021 ha istituito l’Agenzia per la Cybersicurezza Nazionale, avente il compito di collaborare con il Garante privacy anche in relazione agli incidenti che comportano violazioni dei dati personali, promuovendo iniziative congiunte nel campo della sicurezza cibernetica nazionale e della protezione dei dati personali.

Ed è proprio nell’ambito della citata cooperazione istituzionale che l’ACN ed il Garante hanno svolto approfondimenti in ordine alle migliori prassi per proteggere le password, predisponendo le Linee Guida qui in commento.

QUALI SONO I PROFILI DI RESPONSABILITA’ DEI TITOLARI E DEI RESPONSABILI DEL TRATTAMENTO DEI DATI PERSONALI?

Ai sensi del comma 2 dell’art. 5 Regolamento UE il titolare del trattamento è responsabile del rispetto dei principi di cui al comma 1.

Laddove vengano adottate misure tecniche diverse da quelle individuate nelle Linee Guida, i titolari del trattamento, in ossequio al principio di responsabilizzazione di cui agli artt. 5 e 24 Regolamento UE, devono essere in grado di comprovare che tali misure garantiscono comunque un livello di sicurezza adeguato al rischio per i diritti e le libertà delle persone fisiche.

In caso contrario l’autorità di controllo può esercitare i poteri di cui all’art. 58 del Regolamento UE, tra cui infliggere una sanzione amministrativa pecuniaria o imporre una limitazione provvisoria o definitiva al trattamento.

L'articolo Il GPDP e l’ACN adottano le Linee Guida per la conservazione delle password proviene da Giurdanella.it.

Queste le prescrizioni del Garante Privacy, affinché ChatGPT possa tornare accessibile dall’Italia, facendo venire meno il precedente provvedimento di sospensione:

OpenAI dovrà “1. predisporre e pubblicare sul proprio sito internet un’informativa che, nei termini e con le modalità di cui all’art. 12 del Regolamento, spieghi agli interessati anche diversi dagli utenti del servizio ChatGPT, i cui dati sono stati raccolti e trattati ai fini dell’addestramento degli algoritmi, le modalità del trattamento, la logica alla base del trattamento necessario al funzionamento del servizio, i diritti loro spettanti in qualità di interessati e ogni altra informazione prevista dal Regolamento;

2. mettere a disposizione, sul proprio sito Internet, almeno agli interessati, anche diversi dagli utenti del servizio, che si collegano dall’Italia, uno strumento attraverso il quale possano esercitare il diritto di opposizione rispetto ai trattamenti dei propri dati personali, ottenuti da terzi, svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio;

3. mettere a disposizione, sul proprio sito Internet, almeno agli interessati, anche diversi dagli utenti del servizio, che si collegano dall’Italia, uno strumento attraverso il quale chiedere e ottenere la correzione di eventuali dati personali che li riguardano trattati in maniera inesatta nella generazione dei contenuti o, qualora ciò risulti impossibile allo stato della tecnica, la cancellazione dei propri dati personali;

4. inserire un link all’informativa rivolta agli utenti dei propri servizi nel flusso di registrazione in una posizione che ne consenta la lettura prima di procedere alla registrazione, attraverso modalità tali da consentire a tutti gli utenti che si collegano dall’Italia, ivi inclusi quelli già registrati, al primo accesso successivo all’eventuale riattivazione del servizio, di prendere visione di tale informativa;

5. modificare la base giuridica del trattamento dei dati personali degli utenti ai fini dell’addestramento degli algoritmi, eliminando ogni riferimento al contratto e assumendo come base giuridica del trattamento il consenso o il legittimo interesse in relazione alle valutazioni di competenza della società in una logica di accountability;

6. mettere a disposizione, sul proprio sito Internet, almeno agli utenti del servizio, che si collegano dall’Italia, uno strumento facilmente accessibile attraverso il quale esercitare il diritto di opposizione al trattamento dei propri dati acquisiti in sede di utilizzo del servizio per l’addestramento degli algoritmi qualora la base giuridica prescelta ai sensi del punto 5 che precede sia il legittimo interesse;

7. in sede di eventuale riattivazione del servizio dall’Italia, inserire la richiesta, a tutti gli utenti che si collegano dall’Italia, ivi inclusi quelli già registrati, di superare, in sede di primo accesso, un age gate che escluda, sulla base dell’età dichiarata, gli utenti minorenni;

8. sottoporre al Garante, entro il 31 maggio 2023, un piano per l’adozione di strumenti di age verification idoneo a escludere l’accesso al servizio agli utenti infratredicenni e a quelli minorenni in assenza di un’espressa manifestazione di volontà da parte di chi esercita sugli stessi la responsabilità genitoriale. L’implementazione di tale piano dovrà decorrere, al più tardi, dal 30 settembre 2023;

9. promuovere, entro il 15 maggio 2023, una campagna di informazione, di natura non promozionale, su tutti i principali mezzi di comunicazione di massa italiani (radio, televisione, giornali e Internet) i cui contenuti andranno concordati con il Garante, allo scopo di informare le persone dell’avvenuta probabile raccolta dei loro dati personali ai fini dell’addestramento degli algoritmi, dell’avvenuta pubblicazione sul sito internet della Società di un’apposita informativa di dettaglio e della messa a disposizione, sempre sul sito internet della Società, di uno strumento attraverso il quale tutti gli interessati possono chiedere e ottenere la cancellazione dei propri dati personali;

Gli atti adottati

a) Il provvedimento prescrittivo del Garante Privacy, dell’11 aprile 2023
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9874702

b) Il provvedimento cautelare del Garante Privacy, del 30 marzo 2023
https://www.giurdanella.it/2023/04/il-garante-privacy-spegne-chatgpt-in-italia-lintelligenza-artificiale-raccoglie-illecitamente-i-dati-personali-degli-utenti/

L'articolo Il Garante Privacy detta le condizioni a ChatGPT proviene da Giurdanella.it.

E’ quanto sostenuto dall’Autorità Garante per la protezione dei dati personali (Garante Privacy), col provvedimento cautelare del 30 marzo scorso, emesso nei confronti di OpenAI L.L.C., con il quale limita provvisoriamente il trattamento di tutti i dati personali degli utenti e degli interessati stabiliti nel territorio italiano ai sensi dell’art. 58, par. 2, lett. f), del Regolamento UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.

OpenAI L.L.C. è la società statunitense sviluppatrice e gestrice della piattaforma ChatGPT, il più noto tra i software di intelligenza artificiale relazionale in grado di simulare ed elaborare le conversazioni umane, nonché la società titolare del trattamento dei dati personali effettuato attraverso tale piattaforma (sulla mancanza di idonea base giuridica per i sistemi di Intelligenza Artificiale, vedi anche la lettera di moratoria).

In base alle considerazioni svolte adesso dal Garante, l’operato di OpenAI L.L.C. violerebbe gli artt. 5, 6, 8, 13 e 25 del Regolamento.

Sotto un primo profilo, ChatGPT raccoglierebbe illecitamente i dati personali degli utenti in quanto mancano tanto una informativa agli utenti e a tutti gli interessati i cui dati vengono raccolti da OpenAI L.L.C. e trattati tramite il servizio di Chat GPT, quanto una idonea base giuridica che giustifichi la raccolta e la conservazione massiccia di dati personali, allo scopo di “addestrare” gli algoritmi sottesi al funzionamento di Chat GPT. Inoltre, le informazioni fornite da ChatGPT non sempre corrispondono al dato reale, determinando quindi un trattamento di dati personali inesatto.

Sotto un secondo profilo, nonostante – secondo i termini pubblicati da OpenAI – il servizio sia riservato ai maggiori di 13 anni, non vi sarebbero sistemi per la verifica dell’età degli utenti del servizio ChatGPT, con ciò esponendo i minori di anni 13 a risposte assolutamente inidonee rispetto al loro grado di sviluppo e autoconsapevolezza.

LA MISURA

Contestualmente all’adozione del provvedimento provvisorio, l’Autorità ha aperto un’istruttoria, che verrà eseguita nelle more della vigenza dello stesso. La società, ai sensi dell’art. 58, par.1, del Regolamento, deve comunicare entro 20 giorni le misure intraprese in attuazione a quanto richiesto dal Garante e fornire ogni elemento ritenuto utile a giustificare le violazioni sopra evidenziate, pena l’applicazione della sanzione penale di cui all’art. 170 del Codice e delle sanzioni amministrative di cui all’art. 83, par. 5 lett. e), del Regolamento, ovvero una sanzione fino a 20 milioni di euro o fino al 4% del fatturato globale annuo.

Il provvedimento, adottato con urgenza dal presidente dell’Autorità ai sensi dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante ed avente effetto immediato a decorrere dalla data della sua ricezione, dovrà comunque essere ratificato dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno, pena la cessazione della sua efficacia sin dal momento della sua adozione.

OpenAI ha la possibilità di opporsi al provvedimento del Garante, presentando ricorso a Roma, innanzi al Giudice ordinario, entro i prossimi sessanta giorni.

Di seguito, il testo integrale del provvedimento che, al momento, “spegne” ChatGPT per gli utenti italiani.

– – –

Garante per la Protezione dei dati personali

Registro dei provvedimenti
n. 112 del 30 marzo 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);
VISTO altresì il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);
PRESO ATTO dei numerosi interventi dei media relativamente al funzionamento del servizio di ChatGPT;
RILEVATO, da una verifica effettuata in merito, che non viene fornita alcuna informativa agli utenti, né agli interessati i cui dati sono stati raccolti da OpenAI, L.L.C. e trattati tramite il servizio di ChatGPT;
RILEVATA l’assenza di idonea base giuridica in relazione alla raccolta dei dati personali e al loro trattamento per scopo di addestramento degli algoritmi sottesi al funzionamento di ChatGPT;
RILEVATO che il trattamento di dati personali degli interessati risulta inesatto in quanto le informazioni fornite da ChatGPT non sempre corrispondono al dato reale;

RILEVATO, inoltre, l’assenza di qualsivoglia verifica dell’età degli utenti in relazione al servizio ChatGPT che, secondo i termini pubblicati da OpenAI L.L.C., è riservato a soggetti che abbiano compiuto almeno 13 anni;

CONSIDERATO che l’assenza di filtri per i minori di età di 13 anni espone gli stessi a risposte assolutamente inidonee rispetto al grado di sviluppo e autoconsapevolezza degli stessi;
RITENUTO pertanto che nella situazione sopra delineata, il trattamento dei dati personali degli utenti, compresi i minori, e degli interessati i cui dati sono utilizzati dal servizio si ponga in violazione degli artt. 5, 6, 8, 13 e 25 del Regolamento;

RAVVISATA, pertanto, la necessità di disporre, ai sensi dell’art. 58, par. 2, lett. f), del Regolamento – in via d’urgenza e nelle more del completamento della necessaria istruttoria rispetto a quanto sin qui emerso nei confronti di OpenAI L.L.C., società statunitense sviluppatrice e gestrice di ChatGPT, la misura della limitazione provvisoria del trattamento;

RITENUTO che, in assenza di qualsivoglia meccanismo di verifica dell’età degli utenti, nonché, comunque, del complesso delle violazioni rilevate, detta limitazione provvisoria debba estendersi a tutti i dati personali degli interessati stabiliti nel territorio italiano;

RITENUTO necessario disporre la predetta limitazione con effetto immediato a decorrere dalla data di ricezione del presente provvedimento, riservandosi ogni altra determinazione all’esito della definizione dell’istruttoria avviata sul caso;

RICORDATO che, in caso di inosservanza della misura disposta dal Garante, trova applicazione la sanzione penale di cui all’art. 170 del Codice e le sanzioni amministrative previste dall’art. 83, par. 5, lett. e), del Regolamento;

RITENUTO, in base a quanto sopra descritto, che ricorrano i presupposti per l’applicazione dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, il quale prevede che «Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell’organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno»;

VISTA la documentazione in atti;
TUTTO CIÒ PREMESSO IL GARANTE:

a) ai sensi dell’art. 58, par. 2, lett. f), del Regolamento dispone, in via d’urgenza, nei confronti di OpenAI L.L.C., società statunitense sviluppatrice e gestrice di ChatGPT, in qualità di titolare del trattamento dei dati personali effettuato attraverso tale applicazione, la misura della limitazione provvisoria, del trattamento dei dati personali degli interessati stabiliti nel territorio italiano;

b) la predetta limitazione ha effetto immediato a decorrere dalla data di ricezione del presente provvedimento, con riserva di ogni altra determinazione all’esito della definizione dell’istruttoria avviata sul caso.

Il Garante, ai sensi dell’art. 58, par. 1, del Regolamento (UE) 2016/679, invita il titolare del trattamento destinatario del provvedimento, altresì, entro 20 giorni dalla data di ricezione dello stesso, a comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto e di fornire ogni elemento ritenuto utile a giustificare le violazioni sopra evidenziate. Si ricorda che il mancato riscontro alla richiesta ai sensi dell’art. 58 è punito con la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), del Regolamento (UE) 2016/679.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

In Roma, 30 marzo 2023
IL PRESIDENTE
Stanzione

L'articolo Il Garante Privacy spegne ChatGPT: l’intelligenza artificiale non ha base giuridica proviene da Giurdanella.it.

Vai allo Speciale GDPR nelle PA.

La figura del DPO, introdotta dal regolamento,  è direttamente collegata ai nuovi principi in materia di trattamento dei dati sanciti dal GDPR ed in particolare a quello dell’Accountability.

Il contenuto di tale principio consiste, in buona sostanza, nella responsabilizzazione degli Enti nella gestione della propria organizzazione in modo tale da garantire la piena conformità del trattamento ai principi sanciti nel regolamento e  alla legislazione degli Stati Membri oltre che un approccio risk- based che tenga conto dei rischi connessi al trattamento.

Proprio al fine di rendere effettivo il principio di accountability, nasce la figura del Responsabile della Protezione dei Dati ( RPD o DPO in inglese ) che tutte le Pubbliche Amministrazioni, compresi  gli Enti Pubblici Economici sono chiamati a designare.

Il DPO, stando alle Linee Guida del WP Art. 29,  deve essere una persona fisica e  assume il ruolo di supervisore indipendente che si occuperà di fornire consulenza al titolare e al responsabile del trattamento sugli obblighi previsti dal GDPR.  Svolgerà attività di formazione e controllo sull’osservanza del regolamento e sull’assegnazione dei ruoli all’interno dell’Ente e si occuperà di effettuare la Valutazione di Impatto sul trattamento dei dati (DPIA), collaborerà con l’Autorità Garante e si occuperà delle eventuali Data Breach Notification.

Il 15 dicembre 2017 il  Garante privacy ha pubblicato sul sito le Faq aggiornate relative alla figura del Responsabile della Protezione dei Dati in ambito pubblico.

Il documento chiarisce,  rispondendo alle principali richieste provenienti dalle P.A.  quali siano gli enti pubblici tenuti alla designazione del RPD e indica come, in ragione dei compiti assegnati a questa nuova figura dal Regolamento, essa sia da individuarsi in un dirigente o in un funzionario di elevata professionalità, che possa svolgere i propri compiti con adeguate garanzie di indipendenza e autonomia e possa comunque riportare direttamente al vertice dell’organizzazione.

Quanto ai requisiti necessari per svolgere la funzione di RPD il Garante chiarisce ancora una volta che il possesso di una specifica certificazione non deve essere considerato come abilitazione all’esercizio di tale ruolo e che spetta al titolare e al responsabile valutare il possesso dei requisiti professionali richiesti dal regolamento.

Nelle Faq si forniscono inoltre chiarimenti sulle procedure di designazione e sulle comunicazioni da inviare al Garante, per le quali sono stati messi a disposizione appositi modelli.

Il documento specifica anche che non può essere designato più di un RPD per ogni titolare/responsabile il quale, se necessario, in base alla complessità dell’organizzazione, potrà eventualmente avvalersi di propri “referenti”, che potrebbero svolgere un ruolo di supporto e raccordo, sulla base di precise istruzioni dell’RPD.

Queste le domande a cui viene data risposta:

1. Quali sono i soggetti tenuti alla designazione del RPD, ai sensi dell’art. 37, par. 1, lett. a), del RGPD?

2. Nel caso in cui il RPD sia un dipendente dell’autorità pubblica o dell’organismo pubblico, quale qualifica deve avere?

3. Quali certificazioni risultano idonee a legittimare il RPD nell’esercizio delle sue funzioni, ai sensi degli artt. 42 e 43 del RGPD?

4. Con quale atto formale deve essere designato il RPD?

5. La designazione di un RPD interno all’autorità pubblica o all’organismo pubblico richiede necessariamente anche la costituzione di un apposito ufficio?

6. È ammissibile che uno stesso titolare/responsabile del trattamento abbia più di un RPD?

7. Quali sono gli ulteriori compiti e funzioni che possono essere assegnati a un RPD?

1. Quali sono i soggetti tenuti alla designazione del RPD, ai sensi dell’art. 37, par. 1, lett. a), del RGPD?

L’art. 37, par. 1, lett. a), del RGPD prevede che i titolari e i responsabili del trattamento designino un RPD «quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali».

Il RGPD non fornisce la definizione di “autorità pubblica” o “organismo pubblico” e, come chiarito anche nelle Linee guida adottate in materia dal Gruppo Art. 29 (di seguito Linee guida), ne rimette l’individuazione al diritto nazionale applicabile(1).

Allo stato, in ambito pubblico, devono ritenersi tenuti alla designazione di un RPD i soggetti che oggi ricadono nell’ambito di applicazione degli artt. 18 – 22 del Codice, che stabiliscono le regole generali per i trattamenti effettuati dai soggetti pubblici (ad esempio, le amministrazioni dello Stato, anche con ordinamento autonomo, gli enti pubblici non economici nazionali, regionali e locali, le Regioni e gli enti locali, le università, le Camere di commercio, industria, artigianato e agricoltura, le aziende del Servizio sanitario nazionale, le autorità indipendenti ecc.).

Occorre, comunque, considerare che, nel caso in cui soggetti privati esercitino funzioni pubbliche (in qualità, ad esempio, di concessionari di servizi pubblici), può risultare comunque fortemente raccomandato, ancorché non obbligatorio, procedere alla designazione di un RPD. In ogni caso, qualora si proceda alla designazione di un RPD su base volontaria, si applicano gli identici requisiti – in termini di criteri per la designazione, posizione e compiti – che valgono per i RPD designati in via obbligatoria(2).

2. Nel caso in cui il RPD sia un dipendente dell’autorità pubblica o dell’organismo pubblico, quale qualifica deve avere?

Il RGPD non fornisce specifiche indicazioni al riguardo. È opportuno, in primo luogo, valutare se il complesso dei compiti assegnati al RPD – aventi rilevanza interna (consulenza, pareri, sorveglianza sul rispetto delle disposizioni) ed esterna (cooperazione con l’autorità di controllo e contatto con gli interessati in relazione all’esercizio dei propri diritti) – siano (o meno) compatibili con le mansioni ordinariamente affidate ai dipendenti con qualifica non dirigenziale.

In merito, l’art. 38, par. 3, del RGPD fissa alcune garanzie essenziali per consentire ai RPD di operare con un grado sufficiente di autonomia all’interno dell’organizzazione. In particolare, occorre assicurare che il RPD “non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti”. Il considerando 97 aggiunge che i RPD “dipendenti o meno del titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente”. Ciò significa, come chiarito nelle Linee guida, che «il RPD, nell’esecuzione dei compiti attribuitigli ai sensi dell’articolo 39, non deve ricevere istruzioni sull’approccio da seguire nel caso specifico – quali siano i risultati attesi, come condurre gli accertamenti su un reclamo, se consultare o meno l’autorità di controllo. Né deve ricevere istruzioni sull’interpretazione da dare a una specifica questione attinente alla normativa in materia di protezione dei dati».

Inoltre, sempre ai sensi dell’art. 38, par. 3, del RGPD, il RPD «riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento». Tale rapporto diretto garantisce, in particolare, che il vertice amministrativo venga a conoscenza delle indicazioni e delle raccomandazioni fornite dal RPD nell’esercizio delle funzioni di informazione e consulenza a favore del titolare o del responsabile.

Alla luce delle considerazioni di cui sopra, nel caso in cui si opti per un RPD interno, sarebbe quindi in linea di massima preferibile che, ove la struttura organizzativa lo consenta e tenendo conto della complessità dei trattamenti, la designazione sia conferita a un dirigente ovvero a un funzionario di alta professionalità, che possa svolgere le proprie funzioni in autonomia e indipendenza, nonché in collaborazione diretta con il vertice dell’organizzazione.

3. Quali certificazioni risultano idonee a legittimare il RPD nell’esercizio delle sue funzioni, ai sensi degli artt. 42 e 43 del RGPD?

Come accade nei settori delle cosiddette “professioni non regolamentate”, si sono diffusi schemi proprietari di certificazione volontaria delle competenze professionali effettuate da appositi enti certificatori. Tali certificazioni (che non rientrano tra quelle disciplinate dall’art. 42 del RGPD) sono rilasciate anche all’esito della partecipazione ad attività formative e al controllo dell’apprendimento.

Esse, pur rappresentando, al pari di altri titoli, un valido strumento ai fini della verifica del possesso di un livello minimo di conoscenza della disciplina, tuttavia non equivalgono, di per sé, a una “abilitazione” allo svolgimento del ruolo del RPD né, allo stato, sono idonee a sostituire il giudizio rimesso alle PP.AA. nella valutazione dei requisiti necessari al RPD per svolgere i compiti previsti dall’art. 39 del RGPD(3).

4. Con quale atto formale deve essere designato il RPD?

Il RGPD prevede all’art. 37, par. 1, che il titolare e il responsabile del trattamento designino il RPD; da ciò deriva, quindi, che l’atto di designazione è parte costitutiva dell’adempimento.

Nel caso in cui la scelta del RPD ricada su una professionalità interna all’ente, occorre formalizzare un apposito atto di designazione a “Responsabile per la protezione dei dati”. In caso, invece, di ricorso a soggetti esterni all’ente, la designazione costituirà parte integrante dell’apposito contratto di servizi redatto in base a quanto previsto dall’art. 37 del RGPD(4) (per agevolare gli enti, in allegato alle Faq, è riportato uno schema di atto di designazione).

Indipendentemente dalla natura e dalla forma dell’atto utilizzato, è necessario che nello stesso sia individuato in maniera inequivocabile il soggetto che opererà come RPD, riportandone espressamente le generalità(5), i compiti (eventualmente anche ulteriori a quelli previsti dall’art. 39 del RGPD(6)) e le funzioni che questi sarà chiamato a svolgere in ausilio al titolare/responsabile del trattamento, in conformità a quanto previsto dal quadro normativo di riferimento.

L’eventuale assegnazione di compiti aggiuntivi, rispetto a quelli originariamente previsti nell’atto di designazione, dovrà comportare la modifica e/o l’integrazione dello stesso o delle clausole contrattuali.

Nell’atto di designazione o nel contratto di servizi devono risultare succintamente indicate anche le motivazioni che hanno indotto l’ente a individuare, nella persona fisica selezionata, il proprio RPD, al fine di consentire la verifica del rispetto dei requisiti previsti dall’art. 37, par. 5 del RGPD, anche mediante rinvio agli esiti delle procedure di selezione interna o esterna effettuata. La specificazione dei criteri utilizzati nella valutazione compiuta dall’ente nella scelta di tale figura, oltre a essere indice di trasparenza e di buon amministrazione, costituisce anche elemento di valutazione del rispetto del principio di «responsabilizzazione».

Una volta individuato, il titolare o il responsabile del trattamento è tenuto a indicare, nell’informativa fornita agli interessati, i dati di contatto del RPD pubblicando gli stessi anche sui siti web e a comunicarli al Garante (art. 37, par. 7). Per quanto attiene al sito web, può risultare opportuno inserire i riferimenti del RPD nella sezione “amministrazione trasparente”, oltre che nella sezione “privacy” eventualmente già presente.

Come chiarito nelle Linee guida, in base all’art. 37, par. 7, non è necessario -anche se potrebbe costituire una buona prassi, in ambito pubblico- pubblicare anche il nominativo del RPD, mentre occorre che sia comunicato al Garante per agevolare i contatti con l’Autorità (anche in questo caso, in allegato alle Faq, è riportato un modello di comunicazione al Garante). Resta invece fermo l’obbligo di comunicare il nominativo agli interessati in caso di violazione dei dati personali (art. 33, par. 3, lett. b)(7).

5. La designazione di un RPD interno all’autorità pubblica o all’organismo pubblico richiede necessariamente anche la costituzione di un apposito ufficio?

Il RGPD prevede, all’art. 38, par. 2, che «il titolare e del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 39 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica».

Ne discende che, in relazione alla complessità (amministrativa e tecnologica) dei trattamenti e dell’organizzazione, occorrerà valutare attentamente se una sola persona possa essere sufficiente a svolgere il complesso dei compiti affidati al RPD. Come riportato anche nelle Linee guida, «in linea di principio, quanto più aumentano complessità e/o sensibilità dei trattamenti, tanto maggiori devono essere le risorse messe a disposizione del RPD. La funzione “protezione dati” deve poter operare con efficienza e contare su risorse sufficienti in proporzione al trattamento svolto».(8)

All’esito di questa analisi si potrà valutare quindi l’opportunità/necessità di istituire un apposito ufficio al quale destinare le risorse necessarie allo svolgimento dei compiti stabiliti. Ad ogni modo, ove sia costituito un apposito ufficio, è comunque necessario che venga sempre individuata la persona fisica che riveste il ruolo di RPD (mediante l’atto di designazione di cui sopra).(9)

6. È ammissibile che uno stesso titolare/responsabile del trattamento abbia più di un RPD?

Alcune organizzazioni complesse hanno richiesto all’Autorità di valutare la possibilità di designare più RPD.

Al riguardo, si rileva che l’unicità della figura del RPD è una condizione necessaria per evitare il rischio di sovrapposizioni o incertezze sulle responsabilità, sia con riferimento all’ambito interno all’ente, sia con riferimento a quello esterno, e pertanto occorre che questa sia sempre assicurata.

Nulla osta, invece, all’individuazione di più figure di supporto, con riferimento a settori o ambiti territoriali diversi, anche dislocate presso diverse articolazioni organizzative dell’amministrazione, che facciano però riferimento a un unico soggetto responsabile, sia che la scelta ricada su un RPD interno, sia che questa ricada su un RPD esterno.

Infatti, in relazione alla particolare eterogeneità dei trattamenti di dati personali effettuati (in rapporto, ad esempio, all’effettuazione di trattamenti soggetti a basi giuridiche diverse in ambito di prevenzione, indagine, accertamento e perseguimento di reati) ovvero della complessità della struttura organizzativa dell’ente (talvolta molto ramificata a livello territoriale) può risultare opportuno individuare specifici “referenti” del RPD che potrebbero svolgere un ruolo di supporto e raccordo, sulla base di precise istruzioni del RPD, anche, se del caso, operando quali componenti del suo gruppo di lavoro.(10)

7. Quali sono gli ulteriori compiti e funzioni che possono essere assegnati a un RPD?

Il RGPD consente l’assegnazione al RPD di ulteriori compiti e funzioni, a condizione che non diano adito a un conflitto di interessi (art. 38, par. 6e che consentano al RPD di avere a disposizione il tempo sufficiente per l’espletamento dei compiti previsti dal RGPD (art. 38, par. 2).

A seconda della natura dei trattamenti e delle attività e dimensioni della struttura del titolare o del responsabile, le eventuali ulteriori incombenze attribuite al RPD non dovrebbero pertanto sottrarre allo stesso il tempo necessario per adempiere alle relative responsabilità.

In linea di principio, è quindi ragionevole che negli enti pubblici di grandi dimensioni, con trattamenti di dati personali di particolare complessità e sensibilità, non vengano assegnate al RPD ulteriori responsabilità (si pensi, ad esempio, alle amministrazioni centrali, alle agenzie, agli istituti previdenziali, nonché alle regioni e alle asl). In tale quadro, ad esempio, avuto riguardo, caso per caso, alla specifica struttura organizzativa, alla dimensione e alle attività del singolo titolare o responsabile, l’attribuzione delle funzioni di RPD al responsabile per la prevenzione della corruzione e per la trasparenza, considerata la molteplicità degli adempimenti che incombono su tale figura, potrebbe rischiare di creare un cumulo di impegni tali da incidere negativamente sull’effettività dello svolgimento dei compiti che il RGPD attribuisce al RPD.

Rispetto all’assenza di conflitto di interessi, occorre inoltre valutare se, come indicato nelle Linee guida, le eventuali ulteriori funzioni assegnate non comportino la definizione di finalità e modalità del trattamento dei dati. Ciò significa che, a grandi linee, in ambito pubblico, oltre ai ruoli manageriali di vertice, possono sussistere situazioni di conflitto di interesse rispetto a figure apicali dell’amministrazione investite di capacità decisionali in ordine alle finalità e ai mezzi del trattamento di dati personali posto in essere dall’ente pubblico, ivi compreso, ad esempio, il responsabile dei Sistemi informativi (chiamato ad individuare le misure di sicurezza necessarie), ovvero quello dell’Ufficio di statistica (deputato a definire le caratteristiche e le metodologie del trattamento dei dati personali utilizzati a fini statistici).

Riguardo agli ulteriori compiti e funzioni in capo al RPD, particolare attenzione andrebbe infine prestata nei casi di unico RPD tra molteplici autorità pubbliche e organismi pubblici, nonché nei casi di RPD esterno, in quanto questi potrebbe svolgere ulteriori compiti che comportano situazioni di conflitto di interesse oppure non essere in grado di adempiere in modo efficiente alle sue funzioni. In questi casi, nell’atto di designazione o nel contratto di servizio il RPD dovrà fornire opportune garanzie per favorire efficienza e correttezza e prevenire conflitti di interesse.

NOTE

(1) Cfr. al riguardo il par. 2.1.1., pag. 6, delle Linee guida sui responsabili della protezione dei dati (RPD) adottate dal Gruppo Art. 29 il 13 dicembre 2016 ed emendate il 5 aprile 2017 (WP243 rev. 01), disponibili sul sito istituzionale dell’Autorità (doc. web n. 5930287).

(2) Anche in caso di assenza del requisito soggettivo previsto dall’art. 37, par. 1, lett. a), del RGPD, il titolare o il responsabile del trattamento sono comunque tenuti alla designazione del RPD, ai sensi di quanto previsto dall’art. 37, par. 1, lett. b) e c), nel caso in cui le attività principali consistano:

– in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedano il monitoraggio regolare e sistematico degli interessati su larga scala;

– nel trattamento su larga scala di categorie di dati personali di cui all’art. 9 del RGPD o dei dati relativi alle condanne penali e a reati di cui all’art. 10 del RGPD.
Con riferimento all’interpretazione delle espressioni «attività principali», «larga scala» e «monitoraggio regolare e sistematico» vedasi quanto riportato nelle Linee guida.

(3) Sul tema della certificazione inoltre si richiama l’attenzione sul comunicato congiunto, pubblicato sul sito dell’Autorità il 18 luglio 2017 (doc. web n. 6621723), con il quale il Garante e ACCREDIA (l’Ente unico nazionale di accreditamento designato dal Governo italiano) hanno ritenuto necessario sottolineare – al fine di indirizzare correttamente le attività svolte dai soggetti a vario titolo interessati in questo ambito – che «al momento le certificazioni di persone, nonché quelle emesse in materia di privacy o data protection eventualmente rilasciate in Italia, sebbene possano costituire una garanzia e atto di diligenza verso le parti interessate dell’adozione volontaria di un sistema di analisi e controllo dei principi e delle norme di riferimento, a legislazione vigente non possono definirsi “conformi agli artt. 42 e 43 del regolamento 2016/679”, poiché devono ancora essere determinati i “requisiti aggiuntivi” ai fini dell’accreditamento degli organismi di certificazione e i criteri specifici di certificazione».

(4) Al riguardo, si ricorda che la funzione di RPD può essere esercitata anche in base a un contratto di servizi stipulato con una persona fisica o giuridica esterna al titolare/responsabile del trattamento. In tal caso, come indicato nelle citate Linee guida, è indispensabile che ciascun soggetto appartenente alla persona giuridica operante quale RPD soddisfi tutti i requisiti richiesti dal RGPD. Cfr. sul punto le indicazioni del Gruppo Art. 29 riportate nel paragrafo 2.5., pag. 12, e nella domanda n. 7, pag. 24, delle Linee guida.

(5) Secondo quanto precisato nelle Linee guida, se la funzione di RPD è svolta da un fornitore esterno di servizi, i compiti stabiliti per il RPD potranno essere assolti efficacemente da un team operante sotto l’autorità di un contatto principale designato e “responsabile” per il singolo cliente. In particolare, «per favorire una corretta e trasparente organizzazione interna e prevenire conflitti di interesse a carico dei componenti il team RPD, si raccomanda di procedere a una chiara ripartizione dei compiti all’interno del team RPD e di prevedere che sia un solo soggetto a fungere da contatto principale e “incaricato” per ciascun cliente. Sarà utile, in via generale, inserire specifiche disposizioni in merito nel contratto di servizi» (cfr. par. 2.5., pag. 12).

(6) Cfr. la Faq n. 7 in relazione alla preliminare valutazione sulla compatibilità di ulteriori compiti e funzioni da assegnare al RPD.

(7) Cfr. al riguardo il paragrafo 2.6. delle Linee guida.

(8) Vedi sul punto Linee guida, paragrafo 3.2., pag. 15.

(9) Cfr., in proposito, la nota n. 4.

(10) In caso di RPD esterno, cfr. le note nn. 4 e 5.

SULLA QUESTIONE DELL’APPLICAZIONE DEL REGOLAMENTO PRIVACY NELLE PUBBLICHE AMMINISTRAZIONI, SI VEDANO ANCHE I CHIARIMENTI NEL VIDEO CORSO DEL GARANTE PRIVACY

L'articolo Il Responsabile della Protezione Dati nella PA proviene da Giurdanella.it.

Dalle indagini del Garante è emerso che la società in questione, sul form di registrazione ai predetti siti, raccoglieva i dati personali degli utenti chiedendo loro un consenso per il trattamento preselezionato e unico  per varie finalità, fra cui quelle di marketing e comunicazione a soggetti terzi per analoghe finalità. Ad avviso del Garante si tratta di una procedura  contraria alla normativa, anche se l’utente poteva deselezionare il consenso e procedere alla registrazione al sito. Infatti la società non indica i soggetti terzi né specifica la/e categoria/e economica/e o merceologica/e di appartenenza di tali terzi, ai quali sono comunicati o potrebbero essere comunicati i dati dalla società per lo svolgimento di finalità promozionali, come invece previsto dalle Linee Guida del 4 luglio 2013 e dal legislatore stesso, all’art. 13, comma 1, lett. d) del Codice, all’evidente fine di consapevolizzare il più possibile gli interessati che rilascino il consenso per la comunicazione a terzi sull’effettivo ambito di circolazione dei loro dati.

Il garante ha così sanzionato la società in questione, prescrivendole di adottare le  misure necessarie e opportune al fine di rendere i trattamenti dei dati personali conformi alle disposizioni del Codice, e in particolare:

1. di integrare l’informativa resa ex art. 13 del Codice nel form di registrazione o mediante qualunque altro strumento di raccolta di dati personali che la società eventualmente deciderà di utilizzare, indicando i singoli soggetti terzi, oppure la/e categoria/e economica/e o merceologica/e di appartenenza di tali terzi, ai quali intenda comunicare i dati personali raccolti per le loro finalità promozionali;

2. di avvisare l’altra società  e gli altri soggetti terzi, ai quali i dati personali raccolti, senza un consenso specifico per la comunicazione a terzi, siano stati eventualmente comunicati e/o ceduti per le loro proprie finalità promozionali, che non possono utilizzare i dati in questione per tali finalità se non dopo aver acquisito uno specifico consenso degli interessati;

3. di prevedere e attuare, nell’ambito della sua autonomia organizzativa, tenendo conto delle legittime finalità perseguite nonché della natura e tipologia dei dati trattati, uno o più tempi di conservazione dei dati raccolti, alla scadenza dei quali la società dovrà provvedere all’immediata cancellazione dei dati degli utenti o alla loro anonimizzazione permanente.

Clicca qui per visionare il provvedimento del Garante

L'articolo Garante Privacy: no alla newsletter promozionale senza consenso proviene da Giurdanella.it.

Il provvedimento (in corso di pubblicazione sulla Gazzetta ufficiale) è stato adottato dal Garante a seguito della recente sentenza della Corte di Giustizia dell’Unione Europea, che ha dichiarato invalido il regime introdotto in virtù dell’accordo “Approdo sicuro” (Safe Harbor), facendo venire meno il presupposto di legittimità per il trasferimento negli Usa di dati personali dei cittadini europei per chi utilizzava questo strumento. La decisione presa dal Garante è in linea con quanto concordato nelle settimane scorse nell’ambito del Gruppo che riunisce le Autorità della privacy dell’Ue.

In attesa delle prossime decisioni che verranno assunte in sede europea, le imprese potranno dunque trasferire lecitamente i dati delle persone solo avvalendosi di strumenti quali, ad esempio, le clausole contrattuali standard o le regole di condotta adottate all’interno di un medesimo gruppo (le cosiddette BCR, Binding Corporate Rules).

L’Autorità si è comunque riservata di effettuare controlli per verificare la liceità e la correttezza del trasferimento dei dati da parte di chi esporta i dati.

Si riporta di seguito il testo del provvedimento.

***

L'articolo Garante Privacy: decaduta l’autorizzazione al trasferimento dati personali in USA proviene da Giurdanella.it.

Con internet delle cose si intende il fenomeno per cui la tecnologia permette agli oggetti di “dialogare” ed interagire tra loro attraverso sensori senza l’intervento umano e mediante reti di comunicazione elettronica,  (ad esempio impianti di riscaldamento che si accendono da remoto con lo smartphone, frigoriferi che segnalano la scadenza dei cibi, sistemi di trasporto in grado di aumentare automaticamente il numero delle corse sulla base degli accessi registrati ai tornelli,  orologi intelligenti che segnalano al nostro medico eventuali anomalie corporee).

Tale possibilità presenta indubbi vantaggi per la vita di tutti i giorni, ma anche rischi che il Garante non  intende sottovalutare.

Per tale motivo l’Autorità ha avviato una consultazione pubblica con cui intende acquisire elementi sulle modalità di informazione degli utenti, anche in vista di un eventuale consenso; sulla possibilità che fin dalla fase di progettazione dei servizi e dei prodotti gli operatori coinvolti adottino soluzioni tecnologiche a garanzia della privacy degli utenti (la cosiddetta “privacy by design”); sul ricorso a tecniche di cifratura e anonimizzazione delle informazioni; sulla interoperabilità dei servizi; sulla adozione di strumenti di certificazione.

Contributi, osservazioni, proposte da parte dei soggetti interessati – a partire dal mondo dell’imprenditoria, dalla ricerca scientifica, dai consumatori – dovranno pervenire, entro 180 giorni dalla pubblicazione del presente avviso sulla Gazzetta Ufficiale , (avvenuta in data 4 maggio 2015),  all’indirizzo dell’Autorità di Piazza Monte Citorio n. 121, 00186 – Roma, ovvero all’indirizzo di posta elettronica iot@gpdp.it, indicando nell’oggetto il tema di riferimento.

Clicca qui per visionare il testo della deliberazione

L'articolo Internet delle cose, interviene il Garante Privacy proviene da Giurdanella.it.

Un siffatto potere, se pur posto a presidio di principi di indubbia rilevanza, quali quelli di trasparenza, nonché imparzialità dell’azione amministrativa, di recente valorizzati con il d.lgs. 33/2013 recante norme riguardanti il riordino della disciplina degli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte della pubblica amministrazione, non può tradursi in una indeterminata lesione della privacy del pubblico dipendente, che pertanto va adeguatamente tutelata.

Nel valutare quale degli interessi in gioco debba prevalere, la pubblica amministrazione non può esimersi dal vagliare quali siano le norme che regolano l’obbligo di pubblicazione di documenti sull’albo pretorio, ivi inclusi i limiti sanciti dal legislatore, che appaiono alquanto chiari sia in merito al tipo di documenti che possono essere pubblicati, nonché in relazione alla durata di tale pubblicazione, che per ovvi motivi non può essere indeterminata.

Il Garante della privacy, non manca di sottolineare che la materia in questione soggiace al principio di legalità, essendo, ai sensi dell’art. 11, comma 1 lett a) del codice della privacy, consentita la diffusione di dati personali, ancorché non sensibili o giudiziari, soltanto qualora sia prevista da una norma di legge o di regolamento.

Ebbene, dal momento che la disciplina di settore, rappresentata nel caso di specie dall’art. 10 comma 1, del d.lgs. 320/1994, e più in generale dall’art. 124 del Tuel, nonché dall’art. 32 della l. 69/2009, sancisce un termine massimo di 15 giorni consecutivi, la perdurante pubblicazione del documento sull’albo pretorio non può che reputarsi illecita.

Nel provvedimento si chiarisce anche che la pubblica amministrazione nel pubblicare online determinate delibere riguardanti il singolo dipendente, è tenuta al rispetto dei principi di pertinenza e non eccedenza, di cui all’art. 11, comma 1, lett d) ed e) del Codice della privacy.

La diffusione dei dati personali, deve quindi avvenire contemperando attentamente le esigenze di pubblicità, con i diritti e le libertà fondamentali del dipendente.

A venire in rilievo è anche la dignità dell’interessato, che sarebbe pregiudicata da una permanente pubblicazione di dati chiaramente a lui riferentesi e contenenti una valutazione negativa sulla sua professionalità o sul suo contegno.

Pertanto – ad avviso del Garante – a prescindere dal rispetto del termine di durata di 15 giorni, non possono essere pubblicati dati contenenti informazioni eccessive.

Qualora l’amministrazione reputi comunque utile, ai fini di trasparenza, dare notizia di certe delibere sarà obbligata ad anonimizzare i dati personali eventualmente presenti, secondo quanto imposto dall’art. 4, comma 3 del d.lgs. 33/2013.

Clicca qui per il testo del provvedimento

L'articolo Albo pretorio on-line, prevale la trasparenza o la privacy? proviene da Giurdanella.it.

Nella guida è possibile trovare chiarimenti, consigli, regole utili a conciliare la privacy delle persone con le necessità del mercato.

Il vademecum, in particolore,  analizza in maniera specifica i problemi ricorrenti legati alle promozioni telefoniche e al funzionamento del Registro delle Opposizioni, così come alle tessere di fidelizzazione, ma anche quelli posti dalle nuove frontiere della comunicazione (come le promozioni tramite e-mail, la messaggistica istantanea e i social network).

Il testo è suddiviso in otto capitoli strutturati in forma di domanda/risposta, così da rendere più agevole l’approfondimento dei quesiti che vengono posti al Garante con maggiore frequenza:

1. “Privacy e marketing nell’impresa”,
2. “Libertà al consumatore: informativa e consenso”,
3. “Finalità e disponibilità: asso pigliatutto”,
4. “Le differenze tra i personal shopper e i disturbatori”,
5. “La ricerca del cliente e lo scambio dei dati”,
6. “Le promozioni al telefono”,
7. “Web e social network, liberi dallo spam”,
8. “Aiuto! a chi mi rivolgo?”.

Il vademecum si chiude con un’appendice ricca di riferimenti utili per chi vuole approfondire i principali provvedimenti adottati da Garante in questo settore.

Clicca qui per visionare il vademecum sulle offerte commerciali in formato pdf.

L’opuscolo può essere richiesto in formato cartaceo al Garante per la protezione dei dati personali, (piazza di Monte Citorio n. 123 – Roma), via mail  all’indirizzo ufficiostampa@garanteprivacy.it.

L'articolo Vademecum sulle offerte commerciali dal Garante Privacy proviene da Giurdanella.it.

Dalle indagini dell’Autorità risulta che il fenomeno si verifica in quanto le aziende di call center, per ottimizzare la forza  lavoro, impostano i propri sistemi per avviare un numero di telefonate più alto degli operatori in effetti disponibili. In questi casi dunque la telefonata, dopo aver ottenuto la risposta dall’utente, viene lasciata in attesa silenziosa fino a quando non si libera un operatore.

Queste telefonate mute generano molta ansia negli utenti, che spesso ricevono tantissime telefonate nell’arco di pochi minuti venendo vissute spesso come una forma di stalking.

Per impedire tale fenomeno, il Garante Privacy, la scorsa primavera, ha fissato 5 regole che i call center devono rispettare, al fine di eliminare questo fenomeno:

1)i call center devono individuare una classe all’interno della quale censire tutte e sole le chiamate «andate a buon fine»;

2) la percentuale media di chiamate «mute» consentita  deve essere in ogni caso non superiore al 3%. Quindi non possono verificarsi più di 3 telefonate “mute” ogni 100 andate “a buon fine”. Tale rapporto deve essere rispettato nell’ambito di ogni singola campagna di telemarketing;

3)  i titolari sono tenuti all’adozione di un accorgimento tecnico denominato comfort noise. Si tratta della trasmissione, da parte del call center all’utente chiamato, di una traccia audio preregistrata che riproduce un rumore ambientale sintetico (ad es. con voci di sottofondo, squilli di telefono, brusio), di modo che l’utente chiamato, ancorche’ non messo in contatto con l’operatore, abbia comunque la sensazione che la telefonata ricevuta provenga da un call center;

4) a seguito di una telefonata «muta», deve essere preclusa la possibilita’ di richiamare quella specifica utenza per un intervallo non inferiore a cinque giorni;

5) i call center sono tenuti a conservare i report statistici delle percentuali di telefonate «mute» effettuate per ciascuna campagna e dunque comprensivi dei codici unici identificativi di ogni singola campagna di telemarketing, per un periodo non inferiore a due anni, si’ da consentire gli eventuali controlli e riscontri ritenuti opportuni.

Tali regole sono entrate in vigore lo scorso 3 ottobre, alla scadenza del termine dei 6 mesi concesso alle società di telemarketing per adottare tutti gli accorgimenti prescritti con il provvedimento pubblicato sulla Gazzetta Ufficiale il 4 aprile scorso.

Leggi il provvedimento del Garante Privacy pubblicato il 4 aprile in Gazzetta Ufficiale

L'articolo Stop alle telefonate mute: in vigore le regole dal Garante privacy proviene da Giurdanella.it.