Seminario su GDPR di E-Lex per Adepp

Giovanni Maria Riccio terrà un incontro di formazione sul GDPR presso l’ADEPP – Associazione degli Enti Previdenziali Privati, mercoledì 31 gennaio, a Roma, in Via Ennio Quirino Visconti, 6.

Questo il programma del corso, organizzato con lo studio Brugnoletti & Associati:

  • GDPR – Il nuovo regolamento UE sulla protezione dei dati
  • Nuove regole sulla Privacy: i principali adempimenti della legislazione italiana ed europea; principi e criteri cardine in ambito pubblico e privato, informativa e consenso dal Codice dalla Privacy ad GDPR
  • Il campo di applicazione
  • Dalla Direttiva al Regolamento
  • Organigramma privacy: titolare, contitolare, responsabili del trattamento e responsabile della protezione dei dati personali
  • Le nuove categorie di dati e i big data
  • Informativa e consenso
  • Il Data Protection Officer (DPO): quando è obbligatorio il responsabile della protezione dei dati; presupposti di obbligatorietà, requisiti soggettivi, status, compiti e responsabilità
  • Dalle “misure minime” alle “misure idonee”: il concetto di Analisi dei rischi
  • Il Principio di Accountability e il Risk Assessment: l’onere della prova
  • Diritto all’oblio: cancellazione e portabilità dei dati
  • Cosa cambia in tema di notificazione al Garante
  • Trasferimento extra-UE dei dati personali
  • One-Stop-Shop: rapporti tra le diverse Autorità Garanti
  • Le nuove sanzioni

Corso di alta formazione sul GDPR per DPO presso il CNF

Giovanni Maria Riccio terrà una lezione sui soggetti della privacy nel GDPR presso il Corso di Alta formazione sulla protezione dei dati personali per la formazione professionale del Responsabile della Protezione dei Dati (Data Protection Officer – DPO) nuova figura prevista dal Regolamento UE 2016/679 (del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE) per tutti gli ambiti (come quello sanitario in cui sono poste in essere attività di profilazione su larga scala).

Corso E-Lex / Maggioli – Adeguamento al Regolamento Privacy

Entro il 25 maggio 2018, tutte le amministrazioni – al pari dei soggetti privati – dovranno adeguarsi nuovo Regolamento Europeo UE 2016/679 in materia di protezione dei dati personali (noto anche come “GDPR – General Data Protection Regulation”). C’è solo un anno per completare il percorso di adeguamento e le pubbliche amministrazioni, nella mia esperienza, sono molto indietro… anche sotto il profilo della consapevolezza di quello che sta per cambiare. Per questo motivo, l’8 giugno a Roma si terrà un’iniziativa formativa – organizzata con Gruppo Maggioli – nell’ambito della quale io e il mio socio Giovanni Maria Riccio affronteremo le principali problematiche del Regolamento, con particolare attenzione alle criticità che possono incontrare le pubbliche amministrazioni (come ad esempio il provvedimento di nomina del Data Protection Officer o le modalità per adeguare i contratti in essere con i propri fornitori). Per info su programma e iscrizioni cliccate qui: https://lnkd.in/d8deZrD

Garanti UE: approvate Linee Guida per l’attuazione del nuovo Regolamento Privacy

Come molti già sapranno, il nuovo Regolamento Privacy (Regolamento UE 2016/679), pubblicato lo scorso 4 maggio ed entrato in vigore il 24 dello stesso mese, sarà definitivamente applicabile in via diretta in tutti i Paesi UE a partire dal 25 maggio 2018.

Quello che ancora in pochi sanno è, tuttavia, che per la sua completa attuazione sarà richiesta e si renderà necessaria la collaborazione degli Stati Membri, che dovranno, a tal fine, seguire quanto indicato dal Gruppo dei Garanti UE (WP 29) nei propri provvedimenti.

Un primo passo in tal senso si è avuto lo scorso 13 dicembre, giorno nel quale sono state approvate, dal Gruppo dei Garanti Ue (WP 29), una serie di Linee Guida relative ad alcune delle principali novità introdotte con il nuovo Regolamento Privacy.

I documenti, al momento disponibili solo in lingua inglese, si concentrano principalmente su tre profili: il Data Protection Officer, il diritto alla portabilità dei dati, i criteri per l’individuazione dell’Autorità Capofila.

1. Il Data Protection Officer o Responsabile del trattamento è una figura prevista dal Regolamento Privacy all’art. 37.
In particolare al DPO compete: fornire consulenza al titolare o al responsabile sugli obblighi derivanti dalla normativa; sorvegliare l’osservanza dell’applicazione del regolamento; cooperare con le autorità di controllo.
È opportuno evidenziare in tale sede come la sua nomina sarà obbligatoria per tutti i soggetti pubblici e solo per alcuni soggetti privati e dovrà possedere una serie di competenze tecniche e professionali, nonché godere di indipendenza ed inamovibilità nell’ambito dell’organizzazione gestita dal titolare del trattamento, secondo quanto indicato nel documento promosso dal WP 29.

2. Sicuramente, il diritto alla portabilità dei dati è una delle novità maggiormente apprezzate del nuovo Regolamento europeo. Consiste, essenzialmente, nel diritto dell’interessato sia di poter ricevere in formato strutturato, comune e leggibile i dati da lui forniti ad un titolare del trattamento, sia di poter agevolmente trasferire i dati da lui forniti, da un titolare del trattamento ad un altro. Considerando l’era digitale nella quale viviamo e che i social network e la posta elettronica rappresentino strumenti indispensabili nella vita privata e lavorativa di ciascuno di noi, è chiaro che questa novità rappresenti sicuramente un profilo innovativo e rilevante che incarna l’essenza della libertà di scelta dell’utente rispetto ai servizi offerti sul mercato dai diversi operatori. Le linee guida promosse dal Gruppo dei Garanti tendono ad evidenziare tale assunto.

3. Da ultimo, ma non per importanza, il Gruppo dei Garanti Ue si è anche espresso con un separato documento sui criteri da dover seguire per la corretta individuazione dell’Autorità Capofila nel caso in cui trattamenti siano transnazionali e coinvolgano la competenza di più Autorità nazionali di Controllo.

È innegabile che quanto approvato pochi giorni fa, dal Gruppo dei Garanti Ue, rappresenti solo un primo passo, seppur apprezzabile, nel lungo percorso che potrà ritenersi effettivamente concluso, forse, nel 2018.

La complessità dell’opera di riforma, rispetto alla quale molti degli operatori presenti sul mercato dovranno quotidianamente ed attentamente interfacciarsi, per evitare di incorrere nelle pesanti sanzioni milionarie previste dal nuovo Regolamento, appare dunque sempre più chiara.

Lo Studio E-Lex, grazie all’esperienza maturata, assiste e supporta pubbliche amministrazioni e privati nel processo di adeguamento alla normativa europea. Per maggiori informazioni e contatti, clicca qui.

Start up e diritto: cosa bisogna sapere?

In questo video, pubblicato da SMAU Academy, Giovanni Maria Riccio, socio dello studio e-Lex spiega i principi giuridici della start-up.

 

Corso di aggiornamento: Il nuovo Regolamento generale sulla protezione dei dati personali

Lo Studio Legale e-Lex organizza quattro incontri di formazione e di aggiornamento sul nuovo Regolamento Generale in materia di protezione dei dati personali. Ogni incontro avrà la durata di quattro ore e sarà tenuto presso la sede dello studio, nel centro storico di Roma (zona Largo Argentina). Ai partecipanti sarà distribuito materiale informativo, contenente le maggiori novità legislative e giurisprudenziali in materia di privacy, oltre ad una raccolta di articoli curata dai soci dello studio. È prevista una sezione Q&A, per rispondere ai quesiti dei partecipanti. Il corso è gratuito per i soggetti rientranti nella categorie dei destinatari, fino ad esaurimento dei posti disponibili.

Destinatari

Data Protection Officer, Avvocati in-house, Responsabili HR e gestione del personale, Digital specialist, Responsabili marketing e social media, Sviluppatori software, Pubbliche amministrazioni.

Programma

Primo incontro

Introduzione al Regolamento

Ambito di applicazione soggettivo e oggettivo

Dati personali, dati sensibili, dati giudiziari, dati anonimi

Principi del Regolamento (Liceità, finalità, necessità, proporzionalità, pertinenza)

One Stop Shop

Titolare del trattamento, responsabile, data protection officer

Titolarità nei gruppi societari

Q&A

Secondo incontro

Informativa e consenso

Diritti dell’interessato

Diritto di accesso e riscontro all’interessato

Portabilità

Regole di accountability

Privacy by Design e Privacy by Default

Diritto all’oblio, rettificazione, cancellazione

Q&A

Terzo incontro

Particolari tipologie di trattamento (giornalisti, minori, ecc.)

Profilazione e Registro delle opposizioni

Big data e compliance normativa

Privacy impact assessments (PIA) e data audit

Misure di sicurezza

Mappatura dei flussi di dati

Risk management, data breach e obblighi del titolare

Q&A

Quarto incontro

Trasferimento di dati all’estero. Il Privacy Shield

Data retention e cloud computing

Codici di condotta e certificazioni

Le Autorità Garanti (nazionali ed europee)

Reclami, ricorsi e segnalazioni

Sanzioni

Risarcimento danni

Q&A

Docenti

Guido Scorza Partner dello studio e-Lex. Insegna presso le Università di Bologna e di Roma. Assiste compagnie di telecomunicazioni, startup, società editoriali.

Giovanni Maria Riccio Partner dello studio e-Lex. Professore di Diritto della comunicazione nell’Università di Salerno, assiste compagnie di telecomunicazioni, società radiofoniche e agenzie pubblicitarie.

Ernesto Belisario Partner dello studio e-Lex. Consulente di pubbliche amministrazioni, enti ospedalieri e startup. Esperto di archiviazione documentale, è consulente governativo.

Alessandro Di Gioia Partner dello studio e-Lex. Assiste società radiofoniche, agenzie pubblicitarie, incubatori e startup.

Maria Laura Salvati Senior associate dello studio e-Lex. Consulente di compagnie telefoniche e startup.

 

Date

10 novembre 2016 – 15-19

17 novembre 2016 – 15-19

24 novembre 2016 – 15-19

1 dicembre 2016 – 15-19

Nel corso di ogni giornata formativa è previsto un coffee & tea break e, al termine, un light aperitif.

Sede 

Studio legale e-Lex

Via dei Barbieri 6

00186 – Roma

Per maggiori informazioni: posta@e-lex.it

 

Le novità in tema di Data Protection Officer

Una delle maggiori novità del Regolamento privacy è rappresentata dall’introduzione della figura del data protection officer (o responsabile della protezione dei dati). Il DPO era già stato introdotto, come obbligatorio, in alcuni ordinamenti europei, tra cui la Germania, l’Austria e la Repubblica Ceca; in altri ordinamenti, come la Francia, la nomina di tale soggetto è facoltativa.

Il responsabile della protezione dei dati sembra presentare numerose analogie con il datenschutzbeauftragter introdotto nell’ordinamento tedesco nel 2003. Il diritto tedesco, al pari dell’originaria formulazione dell’art. 37 del Regolamento, àncora l’obbligo di nomina del DPO alla presenza di un numero minimo di dipendenti preposti a mansioni che implicano il trattamento di dati personali.

Un’ulteriore corrispondenza si rinviene nell’art. 38, par. 1 del Regolamento, stabilisce che il DPO sia “tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali”, nonché nel divieto di penalizzare il DPO per il suo ruolo, atteso il divieto, in capo al titolare del trattamento, di rimuoverlo o penalizzarlo “per l’adempimento dei propri compiti”. Il Regolamento segue la legge tedesca anche nell’assegnare al DPO il diritto di relazionare “direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento”, evitando rapporti diretti con altri soggetti.

A ben vedere, di là dalle singole disposizioni, sembra essere circolata l’idea di fondo del modello tedesco, basato su di un approccio di corporate self-monitoring (e di self-responsibility), nel quale le società si fanno carico dell’adeguamento e del controllo capillare sulla gestione dei dati personali. Un complesso uniforme di regole che si rimette alla self-governance delle imprese le quali, incentivate da un quadro sanzionatorio molto rigoroso, hanno interesse a rispettare la disciplina applicabile.

La nomina di un DPO è obbligatoria in tre casi:

  1. a) per le amministrazioni e gli organismi pubblici, con esclusione delle autorità giurisdizionali quando esercitano le loro funzioni;
  2. b) laddove le attività principali di titolare o responsabile consistano in trattamenti che, per la loro natura, il loro oggetto o, ancora, per le loro finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
  3. c) laddove le attività principali di titolare o responsabile consistano in trattamenti, su larga scala, di dati sensibili (inclusi i dati relativi allo stato di salute o alla vita sessuale), di dati genetici, di dati giudiziari e di dati biometrici.

L’obbligo è imposto, quindi, solo sulle grandi società o, per essere più precisi, sulle società che trattano una mole significativa di dati personali o di dati rientranti nel c.d. “nocciolo duro” della privacy.

L’art. 37 ammette poi che un gruppo imprenditoriale o più enti pubblici possano nominare un unico DPO, a condizione che sia facilmente raggiungibile da ciascuno stabilimento.

In caso di nomina del DPO – che, ai sensi del comma 6 dell’art. 37, può essere un dipendente o un soggetto esterno – è necessario che i suoi dati di contatto siano resi pubblici e comunicati al Garante nazionale.

La scelta se nominare un soggetto interno o esterno è rimessa al titolare del trattamento: chi scrive, tuttavia, è dell’avviso che, soprattutto gli enti pubblici e le medie e grandi imprese, dovrebbero preferire un soggetto esterno attesa la difficoltà di reperire, all’interno del proprio organigramma, professionisti dotati dei requisiti di esperienza e professionalità richiesti dalla normativa comunitaria.

Corte di Cassazione: dopo due anni, diritto all’oblio sugli articoli

Il dibattito sul difficile, e a volte mal riuscito, equilibrio tra diritto all’ oblio “the right to be forgotten” e il diritto di cronaca, espressione del diritto alla libera manifestazione del pensiero riconosciuto dall’art. 21 della Costituzione, si riaccende dopo l’ultima pronuncia della Corte di Cassazione n. 13161 del 24 giugno 2016. Perché la pronuncia porta a riflettere? Semplice, perché costituisce una palese distorsione di quanto affermato fin ora rispetto al diritto all’oblio. Proviamo a fare chiarezza.

La Corte di Cassazione già in passato con un’importante pronuncia n. 5525 del 4 aprile 2012, aveva preso posizione sul diritto all’oblio. Il caso riguardava un politico che, arrestato per corruzione nel lontano 1993 per poi essere successivamente assolto, lamentava che nell’archivio online di un’importante testata giornalistica, comparisse a distanza di molti anni, la notizia del suo arresto senza però che venisse fatta alcuna menzione dell’epilogo della vicenda risoltasi con la sua assoluzione. La Suprema Corte in quella sede, richiamando la disciplina prevista dal Codice Privacy d.lgs. 196/2003, ed in particolare l’art.11, sottolineava come l’interessato avesse diritto a che le informazioni oggetto di trattamento rispondessero non solo ai criteri di pertinenza, proporzionalità e necessità, ma fossero anche esatte e coerenti con la sua identità personale. E così, se da un lato si riconosceva che l’interesse del pubblico all’informazione può a volte costituire limitazione al diritto alla riservatezza del soggetto a cui i dati si riferiscono, nondimeno il diritto all’oblio, inteso come diritto “a che non vengano ulteriormente divulgate notizie che per il trascorrere del tempo abbiano perso rilevanza per la generalità dei consociati”, deve essere riconosciuto all’interessato. Tuttavia, così come sostenuto dai giudici, ciò non esclude che per la rilevanza storica del fatto di cronaca, anche a distanza di tempo, possa comunque persistere un interesse del pubblico alla conoscenza della notizia ma di questa devono darsi necessari aggiornamenti attraverso la predisposizione di sistemi volti ad indicare, nel corpo dell’articolo pubblicato o a margine dello stesso, i successivi sviluppi della vicenda, perché una notizia non aggiornata è una notizia non vera.

La sentenza sottolinea il vero cuore del diritto all’oblio che non è quello del singolo di poter cancellare la storia censurando il diritto di cronaca, ma il diritto dello stesso a che la notizia venga contestualizzata ed aggiornata offrendo una visione coerente della propria identità personale.

Si giunge così alla nota sentenza del 2014 cd. Google Spain della Corte di giustizia C-131/12, che ha avuto certamente il merito di riconoscere il diritto all’oblio del singolo nei confronti del gestore di un motore di ricerca. In questo caso, il diritto all’oblio è stato inteso quale diritto di ogni singola persona di richiedere direttamente al gestore del motore di ricerca, o in caso di inerzia di questo alle autorità competenti, la rimozione dall’elenco dei risultati di ricerca effettuata digitando il proprio nome, di link che riportano a pagine web pubblicate da soggetti terzi e contenenti informazioni a lui relative, e ciò a prescindere dal fatto che le informazioni vengano rimosse direttamente anche dalla pagina web dell’editore o che si tratti di informazioni veritiere e pubblicate lecitamente. Il diritto del singolo alla deindicizzazione dei risultati è giustificato infatti dalla circostanza, sottolineata dagli stessi giudici, che grazie all’attività del motore di ricerca, gli utenti del web possono accedere ad una moltitudine di informazioni, spesso irreperibili in altro modo nel mare di internet, che consentono di tracciare il profilo del soggetto su cui si incentra la ricerca. È evidente l’ingerenza di tale profilazione sulla vita privata del soggetto. Ma quel che è ancora più importante sottolineare, in tale sede, è che il diritto all’oblio così inteso non può riconoscersi a prescindere proprio perché potrebbero esserci evidenti ripercussioni negative sul legittimo interesse ad essere informati e, come sostengono i giudici della Corte,

se indubbiamente i diritti della persona interessata prevalgono, anche sul citato interesse degli utenti di Internet, tale equilibrio può nondimeno dipendere, in casi particolari dalla natura dell’informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta nonché dall’interesse del pubblico a ricevere tale informazione, il quale può variare in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica.”

I giudici della Corte Europea attentamente colgono l’importanza che tale diritto del singolo sia valutato nel caso di specie e riconosciuto in presenza di determinati presupposti. Ed è apprezzabile come tale principio sia stato correttamente richiamato in un recente provvedimento del Garante Privacy n. 4988654 del 31 marzo 2016 in cui si è negato il diritto all’oblio per un ex- terrorista.

Ma, proprio alla luce del quadro appena tracciato, occorre esaminare la posizione ampiamente criticata ed assunta dalla Corte di Cassazione con la pronuncia del 24 giugno 2016 n 13161/2016. I giudici infatti, andando ben oltre il diritto del singolo alla deindicizzazione dei risultati offerti da un motore di ricerca, in presenza di determinate condizioni, sembrano aver dato netta prevalenza alla riservatezza del singolo a discapito del diritto di cronaca intervenendo seppur indirettamente sugli archivi online di testate giornalistiche. Hanno affermato, sulle orme di quanto detto dal Tribunale nel procedimento in commento, che

la facile accessibilità e consultabilità dell’articolo giornalistico, superiore quelle dei quotidiani cartacei, tenuto conto dell’ampia diffusione locale del giornale online, consentiva di ritenere che dalla data di pubblicazione fino a quella della diffida stragiudiziale fosse trascorso sufficiente tempo perché le notizie divulgate potessero aver soddisfatto gli interessi pubblici sottesi al diritto di cronaca giornalistica”.

In sostanza, seppur la rimozione dell’articolo dall’archivio della testata online, nel caso di specie fosse avvenuta spontaneamente, quel che assume rilievo è che la Cassazione, a circa due anni dai fatti oggetto della notizia di un procedimento ancora in corso, appellandosi ad un presunto diritto all’oblio, e ritendendo soddisfatto l’interesse pubblico ad esser informati, ha consentito che il diritto di cronaca cedesse il passo al diritto alla reputazione del singolo.

Ma a questo punto è opportuno chiedersi se con tale pronuncia la Corte abbia o meno innescato un pericolosissimo meccanismo, non solo per la distorsione del diritto all’oblio quale possibilità del singolo di cancellare ogni traccia del passato, ma soprattutto per l’interferenza che i giudici potrebbero avere rispetto al diritto di cronaca.

Altra spinosa questione sarà poi rintracciare una coerenza tra tale pronuncia della Cassazione e l’art. 17 del Nuovo regolamento Privacy 2016/679 che sarà applicato dal 2018, e che espressamente riconosce il “diritto alla cancellazione” quale diritto all’oblio. Infatti, se da un lato l’articolo al comma 1 riconosce che in presenza di uno dei motivi elencati ,

L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali”, dall’altro, al comma 3, viene precisato che tale obbligo di cancellazione, trova il proprio limite qualora il trattamento dei dati del soggetto richiedente sia necessario “a) per l’esercizio del diritto alla libertà di espressione e di informazione” o “d) a fini di archiviazione nel pubblico interesse”.

Dalla breve disamina fatta è evidente come la partita dell’equilibrio tra diritto all’oblio e diritto di cronaca, si giochi su un terreno ancora fertile in cui il ruolo degli avvocati e dei giudici assume rilevanza preminente per evitare interpretazioni fallaci e pericolose di un diritto, come quello all’oblio, che in una realtà informatica come la nostra, assumerà un sempre maggior rilievo.

Lo scudo privacy ci tutelerà?

Dopo essere trascorsi oltre nove mesi dalla Sentenza della Corte di Giustizia Europea che ha annullato l’accordo di “safe harbor” in materia di privacy, lo scorso 12 luglio la Commissione Europea ha finalmente raggiunto una nuova intesa con gli Stati Uniti per regolare il trasferimento oltreoceano dei dati personali europei.

L’accordo, definito in modo molto eloquente dagli stessi componenti della Commissione come “Scudo UE-USA per la privacy” viene descritto come “un sistema nuovo e solido che offrirà agli europei la protezione dei dati personali, e alle imprese la certezza del diritto. Rafforzerà le norme sulla protezione dei dati, che saranno fatte rispettare più rigorosamente, offrirà garanzie riguardo all’accesso da parte delle autorità pubbliche e semplificherà per le singole persone le possibilità di ricorso in caso di reclamo”.

 

Lo Scudo privacy prevederà, infatti, obblighi rigorosi per le imprese statunitensi che aderiranno allo Scudo, il cui rispetto sarà costantemente sottoposto a verifica da parte del Dipartimento del Commercio USA.

Saranno previste, inoltre, maggiori garanzie relativamente all’accesso ai dati da parte del governo statunitense. Quest’ultimo ha, in particolare, assicurato ufficialmente che l’accesso delle autorità pubbliche ai dati per scopi di applicazione della legge e di sicurezza sarà soggetto a garanzie e sistemi di vigilanza più stringenti, cercando di escludere, così, attività indiscriminate di sorveglianza di massa sui dati personali.

Inoltre, al fine di fornire una tutela sostanziale dei diritti individuali, lo Scudo privacy disporrà anche di meccanismi di composizione delle controversie per coloro che riterranno di aver subito un abuso.

Le persone potranno rivolgersi perfino alle rispettive autorità nazionali di protezione dei dati le quali, attraverso la collaborazione con la Commissione federale del Commercio USA, assicureranno che i casi di reclamo siano effettivamente esaminati e risolti.

Infine, qualora tutti i mezzi di tutela a disposizione dovessero alla fine dimostrarsi vani, il caso oggetto di presunto abuso sarà sottoposto ad un procedimento arbitrale predisposto ad hoc.

Da quanto affermato nel comunicato stampa pubblicato dalla Commissione la “decisione di adeguatezza” dell’accordo è stato già notificato agli Stati membri, entrando così in vigore automaticamente.

A partire dal prossimo 1° agosto, invece, le imprese potranno certificarsi come aderenti presso il Dipartimento del Commercio statunitense.

Grazie allo Scudo privacy gli accordi commerciali tra UE e USA, messi a dura prova dall’invalidazione del safe harbor, potranno ora tornare finalmente a navigare nelle acque tranquille di una disciplina più chiara. Tuttavia, ci si domanda: per i cittadini sarà altrettanto efficace? Noi vi terremo aggiornati!

 

La Corte di Cassazione sulle telefonate mute

La Corte di Cassazione, con sentenza depositata il 4 febbraio scorso, ha confermato l’illiceità delle cc.dd. telefonate mute.

Molti call center, infatti, per ridurre i tempi morti tra una telefonata e l’altra, generano chiamate per mezzo di sistemi automatizzati, senza che vi sia un operatore disponibile a rispondere. Ciò determina lunghi silenzi e, in taluni casi, imbarazzo o preoccupazione nel destinatario della chiamata (alle volte contattato anche 10 o 15 volte nello spazio di poche ore). (altro…)

Il Garante privacy sanziona la formazione di elenchi telefonici con dati presi dal web

Il Garante per la protezione dei dati personali ha sanzionato una società che “pescava” on line, per mezzo di appositi software, dati e informazioni per realizzare elenchi telefonici.

Il Garante ha ricordato la necessità di utilizzare il DBU (data base degli utenti) l’archivio elettronico che raccoglie  numeri di telefono e  altri dati dei clienti di tutti gli operatori nazionali di telefonia fissa e mobile.

L’unica possibile alternativa è rappresentata dalla possibilità di raccogliere i consensi dei singoli utenti.

Ulteriori informazioni sul caso sono disponibili sul sito del Garante.

La Commissione e gli Stati Uniti si accordano sul Privacy Shield

La Commissione europea e il governo americano hanno raggiunto un’intesa sul Privacy Shield, l’accordo che dovrebbe sostituire i safe harbor agreement dopo la sentenza Schrems della Corte di Giustizia.
Il testo dell’accordo non è stato ancora licenziato, ma prevedrà maggiori garanzie per i cittadini comunitari, l’impegno da parte degli Stati Uniti di limiti chiari, garanzie e meccanismi di controllo nelle attività di sorveglianza per motivi di sicurezza nazionale e regole certe per le imprese.
Il comunicato stampa della Commissione europea è disponibile all’indirizzo http://europa.eu/rapid/press-release_IP-16-216_en.htm.

Convegno del Garante Privacy “La società sorvegliata”

Sono state pubblicate sul sito del Garante per la protezione dei dati personali le slide e le relazioni del Convegno “La società sorvegliata” che si è tenuto lo scorso 28 gennaio 2016 presso l’Aula del Palazzo dei Gruppi Parlamentari in Via di Campo Marzio a Roma. Tra i relatori anche Guido Scorza, managing partner di e-Lex, la cui presentazione è disponibile qui.

Guido Scorza relatore al convegno “La società sorvegliata. I nuovi confini della libertà”

Il prossimo 28 gennaio 2016, Guido Scorza sarà relatore al Convegno del Garante in occasione della Giornata Europea della privacy “La società sorvegliata. I nuovi confini della libertà”.
Il convegno sarà aperto da Antonello Soro, Garante per la protezione dei dati personali, e chiuso dalla Presidente della Camera dei Deputati, Laura Boldrini.
L’accesso alla Sala sarà consentito fino alle ore 9,15
Ulteriori informazioni sull’evento sono disponibili qui.

Entrano in vigore le regole del Garante privacy per l’uso dei cookie

Entro il prossimo 3 giugno i siti internet che intendono adoperare cookie dovranno adeguarsi alla misure prescritte in materia dal Garante per la protezione dei dati personali con il provvedimento dell’8 maggio 2014.

Ma quante sono le imprese (o, meglio, i siti) in regola con le indicazioni del Garante? Al momento, per la verità, regna una grandissima confusione, incentivata da soluzioni “peculiari”adottate da alcuni operatori.

Il provvedimento distingue gli adempimenti da porre in essere in relazione alla tipologia di cookie adoperati, vale a dire se si tratti di cookie “tecnici” o cookie di “profilazione”, nonché in relazione al soggetto che installa i cookie sul terminale dell’utente, vale a dire se si tratti del gestore del sito che l’utente sta visitando (c.d. editore) o un soggetto terzo che li installi tramite il primo (cc.dd. terze parti).

Sono qualificati come tecnici i cookie di navigazione (o di sessione), di funzionalità e analytics; questi ultimi sono considerati tecnici se adoperati dal gestore del sito per raccogliere dati, in forma aggregata, sul numero di utenti e su come questi visitano il sito.

Per l’installazione di tale tipologia di dispositivi il gestore del sito non dovrà acquisire uno specifico consenso da parte degli utenti, ma potrà limitarsi a fornire una specifica informativa in proposito, con le modalità che ritenga più opportune.

Continua a leggere su key4biz

E-Lex presenta il secondo “Report annuale sullo stato del diritto e della politica dell’innovazione in Italia”

Lo Studio legale E-Lex Scorza, Belisario, Riccio & Partners ha pubblicato, così come per il 2013, il report annuale sullo stato del diritto e della politica dell’innovazione in Italia.

Il documento racconta gli eventi principali registratisi nel corso del 2014, a livello legislativo e giurisprudenziale, nel mondo di internet, della privacy e della proprietà intellettuale.

Il Report è gratuitamente scaricabile, con link ai principali testi normativi e giurisprudenziali che hanno caratterizzato l’anno appena trascorso.

Scarica il report in formato EPUB.

Scarica il report in formato MOBI.

Geolocalizzazione dei dipendenti: il Garante Privacy detta le regole

Con due distinti provvedimenti (n. 3505371 3474069), il Garante per la protezione dei dati personali ha accolto le istanze di verifica preliminare ex art. 17 del Codice Privacy avanzate da due società di telefonia in merito al trattamento di dati personali di geolocalizzazione dei propri dipendenti.

Le società coinvolte – Wind Telecomunicazioni S.p.A. ed Ericsson Telecomunicazioni S.p.A. – intenzionate ad introdurre, sui dispositivi smartphone forniti in dotazione ai propri lavoratori dislocati sul territorio, una nuova app di localizzazione geografica, hanno infatti richiesto all’Autorità un parere preventivo in ragione dei rischi specifici legati al trattamento dei dati personali.

L’attivazione di tale funzionalità sarebbe volta all’ottimizzazione del livello di servizi forniti sul territorio, in quanto consentirebbe di migliorare la gestione, il coordinamento e la tempestività degli interventi tecnici, incrementando la velocità di risposta alle richieste dei clienti, anche e soprattutto in casi di emergenza o in presenza di calamità naturali. La geo-localizzazione, inoltre, rafforzerebbe le condizioni di sicurezza dei lavoratori permettendo l’invio mirato di soccorsi in caso di incidenti o difficoltà.

Le criticità connesse all’utilizzo di applicazioni di geolocalizzazione riguardano la possibilità che le stesse siano utilizzate al fine di effettuare un controllo a distanza indiretto sull’operato dei lavoratori. Sul punto il Garante si era già pronunciato con provvedimento generale n. 370 del 2011 in merito ai sistemi di localizzazione dei veicoli, sancendo che “se sono adottate le garanzie previste dall’art. 4, comma 2, l. n. 300/1970, i datori di lavoro privati e gli enti pubblici economici possono effettuare lecitamente il trattamento dei dati personali (diversi da quelli sensibili) relativi all’ubicazione dei propri dipendenti per soddisfare esigenze organizzative e produttive ovvero per la sicurezza sul lavoro, anche in assenza del consenso degli interessati”, individuando in ciò un legittimo interesse.

È evidente che, nel caso specifico portato all’attenzione dell’Autorità da Wind ed Ericsson, le garanzie nei confronti dei diritti e delle libertà dei dipendenti dovranno essere superiori stante la peculiarità del mezzo utilizzato per la geolocalizzazione, ossia lo smartphone, per sua stessa natura destinato a seguire il lavoratore in tutti gli spostamenti, anche in orario non lavorativo.

Il Garante, ritenuto di dover svolgere degli approfondimenti, ha richiesto chiarimenti alle aziende. In conseguenza di ciò è emerso che, in entrambi i casi, l’applicazione mobile installata sul dispositivo del dipendente invierà i dati di geolocalizzazione ad intervalli regolari (10 o 15 minuti) e che, al di fuori di questo intervallo, non sarà possibile accedere ai dati di posizione in tempo reale se non in presenza di specifiche esigenze (es. situazione di pericolo o emergenza del dipendente).

Allo stesso modo, le società richiedenti hanno comunicato che l’applicazione installata non interferirà con altre applicazioni e non potrà accedere a telefonate, sms o mail, e che non sarà possibile ricostruire, mediante i dati raccolti, gli spostamenti dei lavoratori nel corso della giornata lavorativa.

Da ultimo, il dipendente potrà disattivare l’applicazione al termine dell’orario di lavoro, nei periodi di ferie o malattie e, comunque, nei momenti contrattualmente stabiliti, come la pausa pranzo.

A tali condizioni, quindi, il Garante ha accolto e istanze di verifica preliminare, imponendo adempimenti ulteriori, quali la notificazione ai sensi dell’art. 37 comma 1, lett. a) del Codice Privacy e l’attivazione delle procedure previste dall’art. 4 comma 2 dello Statuto dei lavoratori[1], nonché la predisposizione di idonee misure di sicurezza volte a preservare l’integrità dei dati raccolti.

Ovviamente, le società istanti dovranno informare in maniera chiara e completa i propri dipendenti sulla natura dei dati trattati, sulle funzionalità del dispositivo e sulle ipotesi in cui sarà possibile disattivare la localizzazione durante l’orario lavorativo. Inoltre, le applicazioni utilizzate dovranno essere configurate in modo tale da rendere ben visibile se la funzionalità di geolocalizzazione è o meno attiva.

 


[1]Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti”.

In vigore il provvedimento del Garante Privacy sulle ‘chiamate mute’

Lo scorso 2 ottobre è entrato in vigore il provvedimento generale sulle cosiddette “chiamante mute”, adottato dal Garante per la protezione dei dati personali il 20 febbraio 2014 allo scopo di arginare un fenomeno sempre più diffuso, conseguenza dell’utilizzo, da parte degli operatori di telemarketing, di sistemi automatizzati per la generazione di chiamate che consentono di mantenere in stato di attesa le telefonate che abbiano già ricevuto risposta da un destinatario fino al momento in cui un operatore del call center si renda disponibile.

Le misure disposte dall’Autorità hanno la duplice finalità di ridurre la frequenza delle chiamate mute, contenendole entro una soglia di tollerabilità, e di diminuire gli effetti molesti per i destinatari.

Questi i principali adempimenti imposti dal Garante:

a) I call center sono tenuti a censire le chiamate effettuate in relazione all’esito delle stesse e garantire che la percentuale di chiamate mute non superi la soglia del 3% di quelle andate a buon fine, vale a dire delle chiamate che abbiano ricevuto risposta dal destinatario.

Tale percentuale deve essere misurata in relazione ad ogni singola campagna di telemarketing per periodi temporali non superiori a 10 giorni.

b) Al fine di ridurre lo stato di disagio e di ansia provocato dalla ricezione di chiamate mute, i call center sono tenuti ad adottare accorgimenti tecnici volti a rendere facilmente individuabile la provenienza della chiamata da un call center.

Il call center deve garantire che, nell’istante in cui la chiamata generata dal sistema abbia ricevuto risposta dal destinatario, venga trasmessa all’utente chiamato una traccia audio che riproduce un rumore ambientale sintetico (ad esempio, voci di sottofondo, brusio, squilli di telefono).

c) A seguito di una chiamata muta, è esclusa la possibilità di effettuare un nuovo contatto alla medesima utenza nei 5 giorni successivi. Qualora, dopo tale intervallo, l’utenza sia ricontattata, deve garantirsi che la stessa venga contattata attraverso un sistema prioritario di instradamento della chiamata, per cui sia sempre garantita la presenza di un operatore alla risposta.

d) I call center sono tenuti a conservare i report statistici delle percentuali di telefonate mute effettuate per ciascuna campagna promozionale per un periodo non inferiore ai 2 anni, così da consentire eventuali controlli nel periodo indicato.

Qui il provvedimento integrale.

Digital Venice 2014: il video dell’intervento di Ernesto Belisario

Nell’Ambito di Digital Venice, E-Lex e l’Istituto per le politiche dell’innovazione hanno organizzato – in collaborazione con TechEconomy.it – l’incontro dibattito “Innovation vs. regulation. Clash or opportunity?”.

Questo l’intervento di Ernesto Belisario, socio fondatore di E-Lex.

Digital Venice 2014: il video dell’intervento di Stefano Epifani

Nell’Ambito di Digital Venice, E-Lex e l’Istituto per le politiche dell’innovazione hanno organizzato – in collaborazione con TechEconomy.it – l’incontro dibattito “Innovation vs. regulation. Clash or opportunity?”.
Questo l’intervento di Stefano Epifani, Chief Editor di TechEconomy.it e Professore presso l’Università La Sapienza

Digital Venice 2014: il video dell’intervento di Giovanni Maria Riccio

Nell’Ambito di Digital Venice, E-Lex e l’Istituto per le politiche dell’innovazione hanno organizzato – in collaborazione con TechEconomy.it – l’incontro dibattito “Innovation vs. regulation. Clash or opportunity?”.

Questo l’intervento di Giovanni Maria Riccio, Professore associato di Diritto europeo e comparato presso l’Università di Salerno e socio fondatore di E-Lex.

Digital Venice 2014: il video dell’intervento di Giovanni Amendola

Nell’Ambito di Digital Venice, E-Lex e l’Istituto per le politiche dell’innovazione hanno organizzato – in collaborazione con TechEconomy.it – l’incontro dibattito “Innovation vs. regulation. Clash or opportunity?”.

Questo l’intervento di Giovanni Amendola, Vice President, head of Relations with International Authorities, Telecom Italia.

The Italian Data Protection Authority on Google’s privacy policies

After an investigation started one year ago, following the modification of Google’s privacy policies, the Italian DPA has issued yesterday a new provision, concerning services provided to Italian customers.

In fact, Google has unified in a single document the several rules governing personal data processing related to its features, such as e-mail (Gmail), social network (GooglePlus), management of online payments (Google Wallet), video platform (YouTube), online maps (Street View), statistical analysis (Google Analytics), therefore allowing the intersection and interoperability of these services and of users’ personal data involved.

It is the first time that a European DPA does not only holds the violation of the law but also requires specific measures that Google is expected to take in order to be compliant.

Privacy policy

The DPA has prescribed to Google the adoption of a privacy policy structured on several levels.

The first general level should provide the most relevant information for the user: the mention of the data processing as well as of the data used (es. geolocation, IP addresses, etc.).; the address to which users may send their request in Italian exercising the rights listed in article 7 of the Privacy Code; the purposes of profiling activities, especially where aimed at displaying behavioral advertising and customized analysis of the behavior of the websites visitors.

The first level should also include the hyperlinks to the privacy policies for the single services.

The second level should include the privacy policies of the single services. In this level, previous versions of the privacy policies, even if no longer in force, should be stored; users should be warned about specific risks that may arise by the use of the services (for example, in case of choice of password which is not enough secure).

The rules on privacy policy should be applied in the same way for each kind of device (mobile, tablet, computer, laptop and TV plug-in) and for each application made ​​available to users.

Consent

In order to use personal data of its users for profiling and behavioral advertising activities, Google must reach their prior consent. An implied consent – through the use of the service as an acceptance of the personal data processing – is not allowed by the law.

Similarly, a consent is always required in case of fingerprint and cookies.

In case of unauthenticated users, it is necessary that the home page expressly holds that the website collects personal data, providing a hyperlink to the privacy policy and another hyperlink which allows users to deny their consent in case of profiling.

Data retention

Google will have to define certain times of data retention on the basis of the provisions of the Privacy Code, for both “active” and “back up” personal data (i.e. personal data stored or not). Regarding the deletion of personal data, the DPA has ordered Google to process the requests from its users (who are easily identifiable) within two months in case of active personal data and within six months in case of personal data stored on back up systems. As for the requests for cancellation affecting the use of the search engine, the Italian DPA decided to wait for further applicative development of the judgment of the Court of Justice of the European Union on the right to be forgotten.

Google will have 18 months to comply with the requirements of the DPA. During this time, the Authority will monitor the implementation of the measures required. The company will have to submit to the DPA, by September 30, 2014, a verification protocol, which will become binding once signed, and which will settle when and how the DPA will make its further checks on Google.

The New Cookies Provisions of the Italian Data Protection Authority

The new provisions on consent and privacy policy for using cookies, held by the Italian Data Protection Authority, has been published yesterday in the Official Gazette.

First of all, the long-expected provision emphasizes the distinction between the so-called technical cookies and the so-called profiling cookies. In order to process the first ones will be sufficient to provide users with a privacy policy, while, for using the latter ones a specific consent, even if through a simplified procedure, will be required.

In this regard, however, the DPA recalls that when cookies are used for profilization it is also necessary to notify to the authority this treatment before starting it.

The other essential demarcation underlined by the provision is between the so-called “first party cookies”, i.e. cookies “launched” on users’ devices directly from the editor of the website or otherwise under his control, and the so-called “third-party cookies”, which are installed on devices by third parties other than the editor of the visited website.

This distinction is essential since it draws a line between the liability of publishers, whose work is limited to the processing of personal data related to the installation of his own cookies – no matter if technical or profiling – and the liability of other subjects which use, as a part of advertising contracts, the pages of the editor of the website to install their own cookies on users’ devices.

On this point the DPA is clear: as for the to third parties cookies, the editor acts as a mere technical intermediary and does not have any responsibility for privacy infringements.

From a practical point of view, the editor is expected to provide a privacy policy, to be published through a special banner shown on the homepage of the website. The banner should be articulated on two distinct levels. The first one advising users that cookies are installed through the website, from first and third parties, allowing users to provide their consent without examining the terms of such data processing. The second one – accessible through a link to be posted on same banner – through which the editor should provide further information, especially for third parties cookies, concerning the different treatments, allowing user  to provide their consent in a selective way, even for each single cookie .

Taking into account the difficult technical implementation of the new rules, the DPA has postponed for 12 months the deadline to comply with the new measures.

The full text is available here.

In Gazzetta Ufficiale le indicazioni del Garante Privacy sui Cookie

È stato pubblicato ieri sulla Gazzetta Ufficiale il provvedimento con il quale il Garante per il trattamento dei dati personali ha dettato regole e modalità relative alla prestazione dell’informativa ed all’acquisizione del consenso sull’uso dei cookie.

Atteso ormai da tempo il provvedimento ribadisce, innanzitutto, la netta distinzione tra i cookie c.d. tecnici e quelli di profilazione, chiarendo che per i primi sarà sufficiente dare un’informativa ai visitatori del sito mentre per i secondi sarà necessario chiedere ed ottenere apposito consenso, benché attraverso la procedura, decisamente semplificata, delineata nel provvedimento.

Al riguardo, peraltro, il Garante ricorda che allorché i cookie siano utilizzati con finalità di profilazione è necessario procedere alla notificazione del relativo trattamento prima di iniziarlo.

L’altra linea di demarcazione essenziale delineata dal Garante nell’universo dei cookie è quella tra i “biscottini” c.d. “di prima parte” ovvero “lanciati” sui dispositivi degli utenti direttamente dal gestore del sito visitato o, comunque, sotto il suo controllo e i cookie c.d. di “terze parti”, ovvero installati sui dispositivi da soggetti diversi dal gestore del sito visitato.

Si tratta di una distinzione di fondamentale rilievo giacché essa consente di tracciare una linea di demarcazione netta tra la responsabilità degli editori che si ferma ai trattamenti di dati personali connessi all’installazione dei propri cookie – tecnici e di profilazione c.d. “di prima parte” – e quella della miriade di piccoli, grandi e grandissimi soggetti che utilizzano, nell’ambito dei contratti pubblicitari, le pagine degli editori per installare, sui dispositivi degli utenti, i propri cookie.

Sul punto il Garante è chiaro e inequivoco: l’editore, in relazione ai cookie c.d. “di terza parte” si trova in una posizione di semplice intermediario tecnico e non può avere alcuna responsabilità sotto il profilo della privacy.

Da un punto di vista pratico, la soluzione proposta nel provvedimento prevede un’informativa, da fornirsi attraverso un apposito banner in evidenzia sulla pagina web di accesso al sito da parte del visitatore – che si tratti della home page o di una pagina diversa – articolata su due distinti livelli: un primo contenente un’indicazione sintetica della circostanza che attraverso il sito sono installati cookie di prime e di terze parti e viene offerta al visitatore la possibilità di prestare il consenso senza approfondire i termini di tali trattamenti ed una seconda – accessibile attraverso un link da pubblicare sul medesimo banner – attraverso la quale occorrerà, invece, specie per i cookie di “terze parti” fornire agli interessati una dettagliata informazione circa i soggetti titolari dei diversi trattamenti, garantendo la possibilità di prestare il consenso in modo selettivo per ogni singolo cookie.

Consapevole della non facile implementazione tecnica delle nuove regole, il Garante ha posticipato di 12 mesi – a partire da ieri 3 giugno – il termine per adeguarsi al provvedimento.

Il testo integrale è disponibile qui.

Inaugurato dall’Italia il Laboratorio nazionale del DNA, in attuazione del Trattato UE sulla sicurezza del 2005

È stato inaugurato a fine gennaio 2014, presso il carcere romano di Rebibbia, il Laboratorio nazionale del DNA, struttura d’avanguardia costata 16 milioni di euro e realizzata in attuazione del Trattato europeo di Prṻm, sottoscritto dall’Italia il 27 maggio 2005.

Tale Trattato ha previsto l’istituzione, negli stati membri, di una banca dati nazionale del DNA nonché di un laboratorio centrale, allo scopo di contrastare il terrorismo, la criminalità transfrontaliera e la migrazione illegale. Costituisce quindi un supporto nello svolgimento dell’attività di polizia, sulla base dell’acquisizione di una minima prova biologica, che possa permettere, unitamente alla procedura di cd. “foto segnalamento” (costituito dalla foto segnaletica e dalle impronte digitali), di tracciare geneticamente un soggetto schedato.

La disciplina del trattato è stata recepita dall’Italia con la legge n. 85 del 2009. Elemento più interessante – anche per ovvi motivi di tutela della privacy – è costituito dall’elenco di soggetti i cui codici genetici dovranno essere inseriti nella banca dati nazionale; l’art. 9 della legge di attuazione prevede infatti un obbligo di inserimento dei profili dei detenuti per delitti non colposi, di coloro che sono stati arrestati in flagranza di reato, oppure ancora che siano stati sottoposti a misure alternative alla detenzione. La legge specifica inoltre che in caso di assoluzione per tutti i casi previsti dall’art. 530 c.p.p., sarà disposta di ufficio la cancellazione dei codici genetici degli imputati dal database nazionale.

È evidente come tale tematica possa essere suscettibile di aspetti problematici e controversi: sia in materia di protezione di dati personali, sia in senso più lato con riferimento ai diritti fondamentali dell’individuo: sarà quindi compito del Garante per la protezione dei dati personali – organo individuato dalla legge n. 85 del 2009 quale istituzione di garanzia – attuare un controllo scrupoloso nei confronti della banca dati, che dovrebbe entrare a regime dal gennaio 2015.

Privacy: il Parlamento Europeo non accetta altri rinvii

Ho un messaggio chiaro al Consiglio: ogni ulteriore rinvio sarebbe irresponsabile”.

Così si è espresso, senza nascondere la propria delusione, Jan Philipp Albrecht, relatore per il regolamento generale della protezione dati, dopo l’approvazione in prima lettura da parte del Parlamento Europeo con 621 voti a favore, 10 contrari e 22 astensioni. La riforma del pacchetto protezione dati infatti, non potrà vedere la luce entro la fine di questo mandato.

A detta di Albrecht, il ritardo nella riforma sarebbe ascrivibile esclusivamente alla mancata presa di posizione da parte del Consiglio dinanzi all’indecisione di alcuni Stati membri. Il rischio è che, una volta insediato il nuovo Parlamento con le elezioni europee di maggio, il lavoro fatto fino ad potrebbe andare completamente perso.

Nel comunicato stampa diffuso, il Parlamento Europeo sintetizza tutte le novità che si sarebbero volute raggiungere con l’introduzione del nuovo regolamento generale e della direttiva: un maggiore controllo dei dati da parte dei soggetti interessati, una più semplice circolazione degli stessi all’interno del territorio dell’Unione e sanzioni più dure per chi infrange le regole.

In merito a questo ultimo punto, è molto interessante notare come la direzione presa dal Parlamento, molto lontana dalla proposta della Commissione, sembra essere caratterizzata da una maggiore severità: le imprese che non rispettano le regole imposte, rischierebbero multe fino a 100 milioni di euro o fino al 5% del fatturato mondiale annuo. Una presa di posizione che conferma quanto i deputati considerino serio il problema della tutela della privacy.

Al centro della nuova riforma è anche la circolazione dei dati personali in Rete, con restrizioni sulla profilazione, semplificazione delle procedure per la cancellazione dei propri dati e, soprattutto, l’obbligo per le imprese di rendere informative più chiare e comprensibili.

Al momento non si può far altro che attendere l’elezione dei nuovi deputati per conoscere le sorti della riforma.

Firma biometrica: arriva l’ok del Garante Privacy

Il Garante per la protezione dei dati personali ha reso noto di aver approvato, al termine della verifica preliminare ex art. 17 del Codice Privacy, due sistemi per la raccolta della firma grafometrica dei cliente da parte dei promotori finanziari, tramite l’utilizzo di tablet.

Le due richieste sono state avanzate da Telecom Italia Trust Technologies s.r.l. e Banca Generali S.p.A da un lato, e Fineco Bank S.p.A. dall’altro, per servizi che avrebbero come beneficio anche quella di ridurre il rischio di frodi e diminuire i casi di contenzioso conseguente al disconoscimento di firma.

In estrema sintesi, Telecom Italia Trust Technologies s.r.l. e Banca Generali S.p.A  vorrebbero dotarsi di un sistema di raccolta dei dati biometrici delle sottoscrizioni dei clienti che consterebbe di due fasi distinte: in un primo momento Telecom Italia Trust Technologies S.r.l., nella sua qualità di società di certificazione, acquisirebbe, mediante l’apposizione della firma su un tablet, le “caratteristiche” biometriche della sottoscrizione, da associare ai dati anagrafici del cliente.

Raccolti in un data base,  questi “esemplari” sarebbero comunicati a Banca Generali S.p.A. in modo da servire come raffronto per autenticare, sempre mediante firma su tablet, i clienti nel momento in cui decidono di sottoscrivere un contratto.

Con il provvedimento n. 2938921 il Garante, dopo aver precisato che il trattamento dei dati risulta essere lecito, prescrive l’adozione di alcuni accorgimenti soprattutto volti a garantire un adeguato livello di sicurezza.  Precisa, a differenza di quanto richiesto dalle parti, che i soggetti coinvolti devono essere considerati come co-titolari del trattamento dei dati personali in quanto unica è la finalità.

Il secondo provvedimento segnalato dal Garante, il n. 2683533, riguarda una richiesta avanzata da parte di Fineco Bank S.p.A. la quale utilizzerebbe il servizio di firma grafometrica non come autenticazione del cliente, bensì come vera e propria sottoscrizione valida per la conclusione di contratti, i quali verrebbero conservati in modalità cifrata. L’adesione al servizio sarebbe comunque su base volontaria e facoltativa.

Anche in questo caso il Garante, dopo aver validato la modalità di trattamento dei dati, sottolinea però l’importanza di salvaguardare la sicurezza dei dispositivi mobile e di predisporre adeguate policy in ipotesi di incidenti.

L’intervento del Prof. Avv. Giovanni Maria Riccio al convegno “Privacy Outlook. Il nuovo Regolamento Europeo tra attese e preoccupazioni”

Via Radio Radicale

Convegno “Privacy Outlook – Il nuovo Regolamento Europeo tra attese e preoccupazioni”

locandina privacy outlook

Lunedì 24 febbraio a Roma presso la Sala del Cenacolo della Camera dei deputati avrà luogo il convegno “Privacy Outlook – Il nuovo Regolamento Europeo tra attese e preoccupazioni”. L’incontro ha lo scopo di approfondire le misure previste dal nuovo Regolamento Europeo sulla tutela della privacy, presentato il 25 dicembre 2012 ed in corso di approvazione.

Il Prof. Avv. Giovanni Maria Ricciosenior partner dello studio E-Lex, sarà tra i relatori dell’evento al quale interverranno anche Giovanni Buttarelli, Garante europeo aggiunto per la protezione dei dati personali; Luigi Montuori, dirigente al Garante italiano e capo del dipartimento comunicazioni e reti telematiche; Emilio De Capitani, ex funzionario del Parlamento europeo; Giusella Finocchiaro, professore ordinario di diritto di internet e diritto privato all’Università di Bologna; Luigi Birritteri, capo dipartimento dell’organizzazione giudiziaria del Ministero della Giustizia; Giuseppe Corasaniti, sostituto procuratore generale presso la Corte Suprema di Cassazione; Fabio Bartolomeo, direttore generale di Statistica del Ministero della Giustizia; Marco Cappato, ex deputato europeo, vincitore del premio “Europeo dell’anno” da parte del settimanale “European voice”.