Source: http://www.nctm.it/it/aree-di-attivita/privacy-it-compliance
Timestamp: 2017-01-19 02:19:39+00:00

Document:
Nctm - Studio legale | Aree di attività | Privacy & IT Compliance
Privacy & IT Compliance	La corretta circolazione dei dati, il relativo presidio con misure di sicurezza informatiche idonee e il rispetto delle regole nazionali ed europee sono diventate, al giorno d’oggi, priorità assolute di qualsiasi operatore economico, in particolare in seguito alla diffusione capillare di strumenti ad alta tecnologia digitale che consentono l’uso, la disponibilità e la condivisione dei dati al di là dei confini fisici (dematerializzazione), temporali (realtime) e giurisdizionali (cloud) tradizionalmente focalizzati e regolati dal diritto.
La c.d. Privacy, intesa non solo come diritto alla riservatezza, quanto piuttosto come diritto all’uso e alla protezione dei dati, vera e preziosa risorsa per ogni azienda che voglia competere e distinguersi, anche grazie a sofisticate tecniche di profilazione e marketing dei dati dei Clienti, è diventata elemento cruciale di ogni politica di compliance aziendale e di crescita strategica sui mercati di riferimento, nonché vera cartina di tornasole dell’asset corporate governance di ogni azienda di successo.
La diffusione ed il successo incalzante di Internet e dell’E-Commerce hanno trasformato il semplice dato personale in un’informazione che è in grado di generare profitto.
I servizi legali connessi al tema della Privacy e dell’Information Technology includono ogni possibile aspetto relativo alla protezione dei dati personali, dalla predisposizione di contratti in materia di sicurezza dei dati, alla predisposizione di due diligence reports, alla redazione di T&C per l’uso dei vari servizi resi via Internet, all’assistenza in caso di violazione delle normative in materia di sicurezza informatica, fino alla gestione delle controversie dinanzi alle Corti competenti a livello nazionale ed europeo e all’Autorità Garante per la Protezione dei Dati Personali.
La Privacy compliance riguarda tanto le dinamiche interne delle aziende, dalla corretta compliance nei riguardi dei dipendenti anche in stretta correlazione con le regole lavoristiche applicabili (videosorveglianza, BYOD, DLP, biometria, forensic tools, uso dei dati sensibili), quanto le dinamiche di business, in particolare nel settore del marketing, della profilazione, della cessione e comunicazione dei dati, fino alle operazioni di trasferimento all’estero dei dati, anche ma non solo in occasione di operazioni di M&A, ristrutturazioni e cartolarizzazioni.
La Privacy si pone, dunque, a pieno titolo a cavallo tra il diritto privato e dei contratti, il diritto amministrativo, il diritto societario, il diritto del lavoro e, sempre più spesso, il diritto penale (soprattutto white collars crimes e forensic investigations).
In tal senso, i settori industriali/merceologici più esposti, in cui lo Studio ha seguito complesse e fondamentali operazioni in materia di trattamento dei dati personali sia nel settore pubblico che privato, è quello delle comunicazioni elettroniche, del farmaceutico, del credito al consumo e delle assicurazioni, del brokeraggio delle informazioni commerciali, dell’industria del lusso, del digitale a valore aggiunto, del retail, ma anche dell’industria pesante tradizionale, curando numerose attività in tema di direct marketing, biometria, life science, trasferimento all’estero dei dati attraverso strumenti alternativi al consenso quali SCC, BCR ed SH.
L’attività può interessare tutti coloro i quali, a vario titolo e con differenti finalità, anche in via incidentale, necessitano assistenza ad hoc (e.g. assessment privacy, attività di audit interno, assistenza durante le investigazioni dell’Autorità Garante), nonché assistenza continuativa (revisione documenti interni e processi aziendali) quali, ad esempio, la redazione di note legali per siti Internet e di politiche di marketing strategico.
Nel settore Privacy e Protezione dei dati personali, offriamo il massimo livello di competenza possibile nello svolgimento della attività ordinaria e straordinaria di consulenza, sia in materia giudiziale che stragiudiziale, fornendo una vera e propria “valutazione di impatto privacy” a 360 gradi, estremamente specializzata.
Nctm ha seguito complesse e fondamentali operazioni in materia di trattamento dei dati personali sia nel settore pubblico che privato, con particolare riferimento al mercato delle comunicazioni elettroniche, dell’industria del lusso, del digitale, del retail, del credito al consumo e delle assicurazioni, curando numerose attività anche in tema di direct marketing, biometria, life science e trasferimento all’estero dei dati attraverso strumenti alternativi al consenso quali SCC, BCR ed SH.
Il nostro team dedicato alla materia, unico ad essere menzionato tra i leaders internazionali del settore dalle più importanti directories legali, è in grado di offrire l’assistenza più completa ai maggiori gruppi e società commerciali e industriali, italiane e straniere, con riferimento a molteplici attività:
Compliance generale;
Audit di conformità legale, pareristica, predisposizione di atti e assistenza giudiziale in materia di trattamento dei dati personali;
Assistenza e consulenza in materia di procedimenti di reclamo/ricorso/segnalazione, ispezione e accertamento promossi dal Garante per la Protezione dei Dati Personali;
Assistenza e consulenza nella redazione e revisione di contratti relativi al o implicanti il trattamento dei dati personali (contratti di cessione di banche dati, informazione commerciale, indagini statistiche, marketing);
Assistenza e consulenza nel corretto assolvimento degli obblighi di legge con specifico riferimento al trattamento dei dati personali per finalità di marketing e di comunicazione commerciale (marketing con uso di sistemi automatizzati, telemarketing, spam e soft-spam, e-commerce), nonché per finalità di profilazione; corretta individuazione dei ruoli e delle responsabilità, configurazione delle campagne promozionali, stipulazione di contratti di compravendita di database e accordi di condivisione delle informazioni;
Assistenza e consulenza in caso di data breach nei settori di pertinenza (comunicazione elettronica e settore del credito);
Assistenza e consulenza con particolare riguardo alle manifestazioni a premio e alla corretta configurazione delle modalità di trattamento dei dati personali;
Simulazione di audits e investigations da parte dell’Autorità e assistenza in loco in caso di investigazioni del Garante e/o della Guardia di Finanza;
Formazione ed aggiornamento del personale con specifico riferimento alla normativa vigente in materia di protezione dei dati personali.
La competenza di Nctm nel campo dell’Information Technology è segnata da una forte conoscenza dell’innovazione e dei processi strategici.
La nostra profonda conoscenza del mercato in questo settore, costruita attraverso una forte specializzazione maturata negli anni, ci consente di lavorare per il miglioramento degli specifici obiettivi di business dei nostri Clienti.
Con specifico riferimento alla sicurezza dei sistemi informatici e alla Cyber Security, assistiamo i nostri Clienti in materia di protezione e trasmissione sicura dei dati, autenticazione informatica, analisi dei rischi informatici, tecniche di violazione e contromisure, tecniche di sicurezza nelle applicazioni web e mobile, tecniche di sicurezza nei siti web e nei social network, tecniche di sicurezza nei sistemi cloud.
Nel campo dell’IT offriamo, dunque, una gamma completa di servizi legali ad aziende domestiche e internazionali, con particolare riferimento a:
Al giorno d’oggi, Internet rappresenta il più grande spazio pubblico che si conosce, una vera e propria rete che avvolge e collega l’intero pianeta, dove milioni di informazioni viaggiano e si diffondono molto più velocemente di quanto si può immaginare.
A tal riguardo, il nostro team di specialisti è in grado di offrire assistenza a 360 gradi con particolare riferimento a:
Assistenza e consulenza nel corretto assolvimento degli obblighi di legge con specifico riferimento al trattamento dei dati personali nel contesto dei siti web e dei social networks;
Predisposizione e aggiornamento di T&C e privacy policy di siti web, social networks, giochi online e concorsi a premio, applicazioni mobile;
Assistenza e consulenza ai fini della compliance dei siti internet alla disciplina in materia di c.d. "cookies";
Attività di formazione e di aggiornamento.
Il nostro team di esperti è in grado di offrire assistenza e consulenza altamente qualificata in materia di web reputation e identità online con specifico riferimento sia a persone fisiche che a persone giuridiche (analisi e monitoraggio della reputazione online di brand, marchi, prodotti e servizi), nonché in materia di diritto all’oblio e permanenza in rete delle informazioni già raccolte.
E-Commerce, E&M-Payment
La new economy e l'utilizzo dei mezzi informatici e digitali come piattaforme per l'espansione all’interno dei mercati a livello globale e, dunque, la progressiva evoluzione della tecnologia e del web hanno radicalmente modificato, negli ultimi anni, il settore del commercio tradizionale introducendo la nuova frontiera – oggi realtà – del commercio elettronico.
Ciò ha inevitabilmente comportato non soltanto un’accelerazione della conclusione delle transazioni commerciali a livello globale ma anche l’accentuarsi dei processi di c.d. smaterializzazione dei trasferimenti di denaro (E-Payment). In un simile contesto, stiamo da tempo assistendo, inoltre, ad una crescita esponenziale della diffusione dei servizi di mobile payment – vale a dire di quei servizi che consentono di gestire gli acquisti ed i relativi pagamenti di beni, siano essi digitali ovvero fisici, tramite un terminale mobile – il cui utilizzo ha altresì concorso ad ampliare la tipologia dei prodotti e dei servizi fruibili, la platea dei soggetti che operano in questo ambito e, non da ultimo, la quantità di dati personali trattati.
Ebbene, a tal riguardo assistiamo i nostri Clienti offrendo una consulenza altamente specializzata sui molteplici aspetti della contrattazione digitale, dell’E-Payment, della protezione delle informazioni e della tutela dei consumatori:
E-Discovery e Forensic Investigation
Grazie all’esperienza maturata nel corso degli anni, offriamo ai nostri Clienti una consulenza altamente specializzata in materia di Forensic Investigation.
Più nel dettaglio, assistiamo la nostra Clientela con particolare riguardo alle corrette modalità di trattamento dei dati personali per svolgere investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria, sia nel corso di un procedimento, anche in sede amministrativa, di arbitrato o di conciliazione, sia nella fase propedeutica all’instaurazione di un eventuale giudizio, sia nella fase successiva alla sua definizione.
Corrierecomunicazioni.it Diritto all'oblio, il caso Tiziana Cantone apre a risposte più veloci
Il tribunale di Napoli da una parte riconosce il ritardo dei provider nella rimozione dei contenuti sulla ragazza, dall'altro nega la legittimità dell'esercizio al diritto all'oblio. Un paradosso e un amaro spunto di riflessione sull'efficacia della giustizia ai tempi della viralità e dei social network	7/7/2016
Cor.com Brexit e privacy, così l'Uk rischia di perdere peso in Europa
Cor.com Privacy, Panetta: Da Bruxelles scacco matto alle multinazionali
Cor.com Privacy, regole e illusioni
In caso di violazioni, il regolamento Ue prevede sanzioni parametrate al fatturato annuo del trasgressore. La rubrica di Rocco Panetta
Siamo alle porte di una importante rivoluzione che coinvolgerà tutto e tutti: la riforma delle normativa europea ed italiana sulla libera circolazione e protezione dei dati personali. A fine dicembre è stato raggiunto, infatti, l’accordo politico tra Commissione, Consiglio e Parlamento europeo. Ci sono voluti cinque anni di lunghe negoziazioni, migliaia di proposte di emendamento, diversi pareri del Gruppo dei Garanti Europei e dell’EDPS, il Supervisore europeo sulla privacy, ufficio retto dall’italiano Giovanni Buttarelli. Apparentemente l’accordo su un testo consolidato da votare in Consiglio e Parlamento oggi c’è e se verrà rispettato, a partire dalla fine del 2018, inizi del 2019, il Codice privacy italiano, figlio della direttiva comunitaria 95/46/CE, andrà con essa in pensione, sostituito dal nuovo Regolamento, da tutti simpaticamente chiamato GDPR – General Data Protection Regulation.	11/12/2015
Cor.com Intelligence e fattore umano.
E' l'intelligence a fare la differenza nella lotta al terrorismo e non la restrizione delle libertà fondamentali.La stagione che stiamo vivendo non può dirsi tra le più serene e felici degli ultimi decenni. I fatti di Parigi, Bruxelles, Beirut, Damasco, per citare solo alcuni tra i teatri più infuocati del globo, recano grande preoccupazione e generano diffusi sentimenti di orrore. In questi casi, non serve meravigliarsi del fatto che gli slogan populisti e le semplificazioni giuridico – giornalistiche salgono immediatamente alla ribalta. Ed ecco che da più parti si evoca la guerra e si incita ad armarsi.	20/11/2015
Corrierecomunicazioni.it Addio al "turismo telefonico"
Corriere delle Comunicazioni Droni, occhio alla privacy
Cor.com Privacy, Panetta: "Ora la battaglia si sposta sul piano politico"
Cor.com Italia digitale, servono azioni più incisive
ItaliaOggi La riservatezza dei dati
Cor.com Agcom e Privacy: Internet fil rouge
Cor.com «Biscotti del web» serve un'azione Ue
Cor.com Cookie, serve un'azione della Ue
TopLegal Panetta con il Governo per la Banda Ultralarga
Data Manager Cookies, è conto alla rovescia per mettere i siti web in regola
Cor.com La privacy è (anche) questione di business
Punto Informatico Droni, una ricognizione sulla legge
Cor.com Privacy, la collaborazione con gli Ott sia il faro
Cor.com Garante Privacy, il "faro" sia la collaborazione con gli Ott
ItaliaOggi L'importanza di proteggere i dati
LegalCommunity Nctm affida la privacy a Panetta
Corriere delle Comunicazioni Nctm, via ad un dipartimento ad hoc per dirimere le controversie IT
CONAD Nctm con CONAD per il rinnovo della piattaforma IT CRM
Nctm Studio Legale ha assistito CONAD - Consorzio Nazionale Dettaglianti – nella riorganizzazione delle proprie piattaforme tecnologiche, con un particolare focus sulle infrastrutture CRM dedicate alla gestione dei processi di marketing e fidelizzazione. Il progetto ridisegnerà, a livello nazionale, l’architettura informatica di CONAD permettendo l’ottimizzazione dei processi di ECR, con conseguente semplificazione delle azioni di marketing e perfezionamento dei processi di business analytics di ciascuna delle sette cooperative socie di CONAD.
L’operazione, è stata realizzata anche grazie ad una negoziazione che ha portato alla firma di una serie articolata di contratti di outsourcing con IRi - Information Resources, società leader a livello internazionale nel settore del Marketing Intelligence & Analytics . CONAD è stata affiancata in ogni fase da Nctm Studio Legale, con un team guidato da Rocco Panetta, coadiuvato da Lorenzo Cristofaro e Francesco Armaroli.
CONAD Nctm con CONAD per la riorganizzazione dei processi di marketing
Nctm Studio Legale ha affiancato CONAD - Consorzio Nazionale Dettaglianti e i sette grandi gruppi cooperativi che ne sono soci, nella ridefinizione a livello nazionale dei processi di marketing e loyalty. Il progetto, in cui Nctm ha lavorato con le strutture interne di CONAD, ha richiesto l’analisi dei processi interni, la valutazione delle dinamiche di business e la strutturazione dell’intera architettura contrattuale e di policies necessaria al lancio delle nuove campagne di marketing e fidelizzazione nell’area consumer.
Si tratta di un’operazione inedita e di ampia portata, che ha ridisegnato aree di business strategiche per CONAD.
Nctm Studio Legale ha assistito CONAD con un team guidato da Rocco Panetta, coadiuvato da Lorenzo Cristofaro e Francesco Armaroli.
Rocco Panetta ha dichiarato: “Ringrazio CONAD per averci permesso di curare un’iniziativa importante e innovativa, che dimostra da un lato, l’attenzione alle esigenze dei consumatori e la lungimiranza dei piani di sviluppo di CONAD, e dall’altro conferma Nctm come consulente legale di riferimento per il i progetti di marketing e per il settore della grande distribuzione. 18/7/2016
HERE Nctm Studio Legale con HERE per l’implementazione di innovative procedure di informazione al pubblico
HERE, società leader a livello internazionale nella fornitura di mappe digitali ad alta definizione e servizi di routing e navigazione, partecipata da AUDI, BMW e Daimler, ha appena avuto il via libera dall’Autorità Garante per la Protezione dei Dati Personali all’implementazione di procedure innovative di informazione al pubblico riguardo alle attività di registrazione delle immagini stradali.	12/5/2016
Prime Real Time Nctm assiste Prime Real Time nella partnership per la vendita in Italia dei servizi e dei prodotti di Sharethrough
Nctm Studio Legale, ha assistito Prime Real Time, società recentemente entrata a far parte del gruppo Triboo Media, nella negoziazione e strutturazione di un'operazione che porterà Prime a diventare partner esclusivo per la vendita in Italia dei servizi e dei prodotti di Sharethrough, compagnia statunitense leader nel mercato del programmatic advertising. L’operazione permetterà a Triboo Media di rafforzare il proprio ruolo come punto di riferimento nel settore, in continua crescita, della pubblicità online.
Prime Real Time è stata assistita da un team guidato da Rocco Panetta, coadiuvato da Lorenzo Cristofaro.	21/1/2016
General Electric Nctm assiste GE in Italia nelle Binding Corporate Rules
Nctm, con un team coordinato dal Partner Rocco Panetta, supportato dall’Associate Lorenzo Cristofaro, ha assistito 25 società italiane del gruppo General Electric nel corso della lunga e complessa procedura, prima europea e poi italiana, di concertazione ed approvazione delle BCR - Binding Corporate Rules del Gruppo GE. 11/5/2015
Nctm - Awards I Legalcommunity IP & TMT Awards 2015 premiano l’avvocato Panetta
L’avvocato Rocco Panetta è risultato vincitore nella categoria “Avvocato dell’anno – Privacy” ai Legalcommunity IP & TMT Awards 2015. Riconosciuto tra i più esperti e competenti in Italia nelle tematiche connesse al mondo privacy, l’avvocato Panetta è entrato in NCTM nel giugno 2014 con il suo team di professionisti e ha contribuito alla creazione del dipartimento Privacy & IT Compliance dello Studio. Prima di approdare in NCTM in qualità di partner, Rocco Panetta ha maturato una significativa esperienza in ambito telecoms, privacy, IT e regolatorio ambientale. E’ stato Dirigente dell’Autorità Garante per la Protezione dei Dati Personali dal 2001 al 2008 e Segretario generale della Commissione VIA per la valutazione dell'impatto ambientale. Ha inoltre ricoperto ruoli istituzionali internazionali, tra cui quello di rappresentate italiano del Gruppo dei garanti europei, presso la Commissione europea e il Consiglio. Attualmente ricopre l’incarico di Segretario generale dell'ICF – Italian Compliance Forum ed è consulente della Presidenza del Consiglio dei Ministri sull’innovazione e la Banda Ultra Larga. 3/2/2015
Privacy & IT Compliance NCTM Studio Legale Associato apre il nuovo dipartimento Privacy & IT Compliance
NCTM Studio Legale Associato ha inaugurato in questi giorni il nuovo dipartimento Privacy & IT Compliance.
Il team, unico nel suo genere in Italia, è coordinato dal socio Rocco Panetta, che è anche Segretario Generale di ICF - Italian Compliance Forum, e offre assistenza ai propri clienti italiani e internazionali nel settore della protezione e libera circolazione dei dati personali, interessando trasversalmente tutte le aree di practices dello Studio, nonché nella web compliance e reputation e con riferimento ai profili del commercio elettronico. “L’attenzione verso il corretto trattamento dei dati personali - afferma Rocco Panetta - è aumentata negli ultimi anni, in particolar modo grazie alla rivoluzione tecnologica legata a internet. Sempre più operatori economici hanno presente il valore derivante da processi "privacy e IT compliance". Oggi la privacy non si limita più alla tutela della riservatezza, quanto piuttosto coinvolge scelte profonde di corporate governance, che implicano una significativa attenzione alla sicurezza e interoperabilità dei sistemi informatici, alle strategie di marketing aziendale, al contrasto di reati informatici, ai white collars crimes e alle relative investigazioni sui luoghi di lavoro, all'e-commerce e alla web compliance, il tutto in maniera integrata tra le diverse giurisdizioni in cui i dati delle aziende circolano e sono delocalizzati tra esigenze cloud e di maggiore efficienza dei sistemi. E' materia che riguarda dunque tutti i settori merceologici, nessuno escluso. In tal senso, la capacità di NCTM di offrire alti livelli di assistenza, contando sulle tre sedi italiane (Milano, Roma e Verona) nonché sulle sedi di Londra, Bruxelles e Shanghai, è elemento che fa nettamente la differenza a livello nazionale ed internazionale nel panorama dell'offerta dei servizi legali alle imprese". prev
The data protection legislation in the post-Brexit scenario
According to the UK Data Protection Authority, it is reasonable to believe that the national data protection laws will remain unchanged at least until exit negotiations will have outlined a new status of the UK outside the EU. In fact, as a preliminary note, it can be said that there is no evi- dence that current national legislation and case law on privacy and data protection, as drafted in accordance with EU founding treaties, shall in any case be lost or “blown away” just because of the fallout of a possible post-Brexit scenario. Brexit is not likely to affect at all current British legislative standards on privacy and data protec- tion, at least for two main reasons: firstly, there is the UK desire to have continued access to the European Economic Area and to the forthcoming Digital Single Market; the second issue con- cerns the likelihood that companies and multinational corporations based in London - in ab- sence of the adequate legal safeguards able to protect the value of their data flows - could begin to seriously consider the advisability of moving its headquarters elsewhere. In this context, the role of the UK Data Protection Authority could dramatically change: weak- ened and resized in a post-Brexit scenario, technically the ICO will no longer take part in crucial discussions on the modalities of implementation and fulfilment of the new GDPR, as well as on the definition of the mode of operation of the Digital Single Market. Therefore, in a comparable position to the EFTA countries (European Free Trade Association, composed of Switzerland, Norway, Iceland and Liechtenstein), the UK may loose its member status in the Article 29 Working Party, as well as any influence within the forthcoming European Data Protection Board. UK based law firms, in turn, will likely loose their prominent position in Europe as an interna- tional hub for all multinational corporations dealing with the EU legislations and different juris- dictions. Realistically speaking there is enough and maybe too much to suggest that the UK will want to keep as much as possible the current regime on instead of a real Brexit in the digital market. In this regard, if the UK did not achieve a status similar to Switzerland - which, by implementing about the 80% of Community legislation, accesses de facto to many benefits of the full mem- bership of the Member States, even if the recent Swiss referendum on transborder workers it is seriously triggering and challenging Switzerland’s privileged status – then it should confront with a more complex data transfer mechanisms than those valid within the EU. As a consequence, Britain would be considered as a third country and, accordingly, the data transfer could take place only where a European Commission adequacy decision has been adopted, or, at best, a sort of “UK Privacy Shield” has been negotiated. Otherwise, the UK could only ensure compliance only by encouraging the adoption of legal tools such as Binding Corpo- rate Rules and Standard Contractual Clauses. Furthermore, among some of the major concerns of the post-Brexit data protection scenario, the functioning of the so-called One-Stop-Shop seems likely to be a top one, especially when considering the absence of any formal recognition to ICO as part of the mechanism as such. In this context, the One-Stop-Shop could prove to be a double-edged weapon for UK legislators: on the one hand, Britain would in fact enjoy greater freedom to regulate data protection and differentiate UK disciplines from the limited scope that the GDPR is leaving to EU Member States; on the other, however, the risk of increasing the competitive gap with the EU because of a different national discipline on data protection might cause difficulties for the most important UK business sectors such as technology, banking and legal and financial services. Moreover, UK legislators might want to express a more favourable position as to the extent of some of the main features of EU data protection rules. In fact, the UK has now the ability to at- tract multinationals companies by softening penalties - also through new and more advanta- geous corporate tax cuts - and reducing administrative burdens relevant to the One-Stop-Shop mechanism as well as limiting the extra-territorial scope of GDPR’s principle of “one continent, one law”. If, on one hand, the goal of becoming more appealing internationally - by softening the legisla- tive framework with regard to privacy compliance - may constitute a strong competitive tool on the other hand, the lack of safeguards and enforcement mechanisms could, in fact, discourage foreign investment. Companies that had sought to manage all the regulatory relationships with the European Au- thorities thanks to their London hub – often coinciding with the main headquarter of the most important multinationals - also by benefiting from the upcoming One-Stop-Shop mechanism, henceforth, will have to revise their plans in this respect. Dublin, Paris, Frankfurt and Milan are already prepared to welcome the new head offices of "deserting" multinationals, by applying to become the new European capitals for legal and fi- nancial services. Hence, the post-Brexit era must be closely monitored by taking into account the possibility that may occur significant changes in the economic and legal European scenario.	Ottobre 2016
The other articles then look at the impact of Brexit on specific sectors: energy, tax, dispute settlement, data protection, insurance, public procurement, insolvency, banking and finance. We hope that in reading these articles you find ideas that will help you manage your responses to the revolutionary changes that are about to happen.	Luglio 2016
Data protection reloading:will the new EU Regulation really checkmate multinationals and revamp individuals’ right to privacy once and for all?
Current EU data protection law, based on Directive 95/46/EC, has finally been sentenced to death: on 14 April, in fact, after four long years of negotiations at the institutional level, the European Parliament adopted the data protection reform package, the so-called “GDPR – General Data Protection Regulation”, which marked a crucial milestone for the birth of a stronger European-wide right to privacy.
This fundamental step comes at a time where significant advances in information technology have been achieved and there have been radical transformations to the ways in which individuals, organisations and public institutions communicate and share information.
Therefore, the divergent approaches in implementing EU data protection laws taken by than ever and pushed the EU towards new and more effective ways to harmonise European privacy legislation.
Furthermore, European citizens’ growing awareness on risks and dangers relevant to their personal data (i.e. also driven by recent global outrage for massive surveillance scandals and data breaches), fostered the approval of a common set of rules applicable within and outside the EU’s borders.
Nonetheless, despite the significant efforts by the legislature to re-think the basis of EU personal data privacy law, the final deal was not as comprehensive as initially hoped. In fact the process of adopting this law shows that you cannot have the best of both worlds.
The final version of the package adopted on 14 April 2016 by the European Parliament – and then published on the EU Official Gazette on 4 May 2016 – is therefore the synthesis of the most suitable and viable compromise solution EU legislators could buy into bringing privacy law to a higher level of complexity, while setting aside controversial topics for future institutional talks, i.e. “hot potatoes” including the e-Privacy Directive reform, employment issues and, last but not least, the new EU-US Privacy Shield.
In essence then, the reform package, made up of a Regulation (i.e. the General Data Protection Regulation or GDPR) and a Directive (i.e. the Police and Criminal Justice Data Protection Directive), represents a fundamental keystone for the creation of the future EU Digital Single Market and an important step towards greater legislative harmonisation on privacy and data protection issues across the continent.
The package will now enter a two years’ implementation period during which Member States will have to adapt domestic legislation to the new EU rules by 25 May 2018.
In fact, over the course of this time-frame, organisations need to understand clearly what changes are most likely to affect their sector of activity and be prepared to assess their level of compliance with the reform’s new requirements.
As for the definition of the traditional categories of players subject to accountability in EU privacy law’s “chain of responsibility” (i.e. data controller and data processor), many of the core definitions from the previous Directive remain essentially unchanged. At a national level, for instance, in Italy, the legislator and the Italian Data Protection Authority (i.e. the Garante), after having found themselves faced with the difficult task of balancing the reform package with the current domestic regulatory framework and adapting it to Italian legal terminology, decided to maintain the current translation of “data controller” (i.e. titolare del trattamento) and “data processor” (i.e. responsabile del trattamento) in order not to cause unnecessary interpretative burdens for public and private entities processing data. Moreover, the entry into force of the GDPR will definitely cause major concerns for private and public institutions operating in several areas (e.g. from banking to health care) because of stricter and more pervasive privacy obligations to comply with. Where the Regulation will be deemed to be applicable to a business entity processing personal data, for example, the entity will need to provide clear evidence that it is in full compliance with the new rules to either national Data Protection Authorities and the future European Data Protection Board, which will replace Article 29 Working Party’s role and functions. Same thing will apply to the public sector and, for the very first time, also to data controllers and processors based outside the EU but conducting businesses (i.e. processing data) within EU borders.
Currently, if a data controller is established in any Member State, it is considered subject to the discipline established by the Directive as implemented by national laws and regulations of that legal system, however under the GDPR this distinction will fall apart.
The Regulation, in fact, will only apply in case that a legal entity, either public of private, offers goods or services to data subjects in the EU or monitors their behaviour within the borders of the EU.
For instance, a business established in the US that markets its products directly in the EU single market but has no physical presence in the EU, will now be subject to the requirements of the GDPR as if it was established on European soil.
This important aspect, along with others (e.g. the obligation to conduct regular privacy impact assessments, the new privacy by-design and by-default principles or the duty to appoint a data protection officer and a national Representative where prescribed), are an expression of the strategy behind the desire to regulate and adequately circumscribe the power of telecom and digital multinationals processing personal data of EU citizens through a borderline approach to privacy compliance. In fact, the entry into force of the GDPR will indeed force big companies that have previously regarded non-compliance with EU data protection law as a “calculated risk” to re-evaluate their position especially in light of the substantial new fines (i.e. up to € 20 mln or 4% of the annual worldwide turnover) and increased enforcement powers given to national Data Protection Authorities (e.g. total ban on processing and in depth investigative capacity above all). On the other hand, the same companies processing personal data, either from within the EU or outside, will benefit from a significant degree of autonomy in dealing with Member States’ data protection authorities through the new One-Stop-Shop mechanism, which will connect controller and processor with a single “lead authority” on the basis on the location of its “main establishment”, i.e. the place where the main processing activities take place. It is now clear how difficult has it been for EU legislators to combine civil society’s push for a stronger protection of the individual right to privacy with legitimate interests of companies to collect and process personal data. But a compromise solution has been successfully achieved. With a greater simplification and a substantial de-bureaucratisation of some privacy obligations (i.e. same rules apply in all EU Member States with no need to contact twenty eight national DPAs), comes the revamped focus on data protection in all corporate policies and regulations as a guarantee of stronger and deeper protection to individuals’ rights.
As for Italy, the Garante’s serious approach to the new rules will surely show a reasonable and sound approach in choosing how to better integrate the letter of the GDPR with the Italian Data Protection Code (i.e. Legislative Decree no. 196 of june 30th, 2003).
In conclusion, only time will tell whether more stringent and incisive privacy rules have been enough to raise and consolidate EU and global data protection standards and made IT compliance and cyber security a number one priority for all companies and public institutions. There is still a long way to go for the full implementation of the GDPR. Different Member States still have some room for different approaches. However the key development is the recognition that privacy compliance is a real strategic asset for the private and the public sector alike and the birth of a corporate culture of data protection and social responsibility might be closer than it seemed even in recent years.	Luglio 2016
Who will win the battle between privacy and cyber security? Is it a real battle or just a fake problem that has emerged on both sides of the Atlantic in order to exert pressure in the data flow debate? Who benefits from fomenting this old conflict between rights and freedoms on the one hand and security, both physics and cyber, on the other? Will the new Privacy Shield and GDPR, the new General Data Protection Regulation, with its principles of privacy by design, accountability and privacy by default, succeed in clarifying, once and for all, the boundaries where national security needs, the safety of citizens and the legitimate defence against terror- ism meet with the enjoyment of fundamental freedoms, such as, just to mention a few, free- dom and secrecy of communications and domestic domicile inviolability? And what will happen to the legitimate interests of the companies processing user data for their different purposes, while maintaining, at the same time, high levels of trust and IT security? Is it right to entrust in- dividuals with job of assessing the validity of a national agency request for data access due to anti-terrorism purposes?
Let’s try to clarify the matter.
The European legal culture, built on the blood and tears of the many who have had their rights denied by totalitarian regimes, has created antibodies that should be enough, in the- ory, to keep privacy and security in balance in their proper orbits without the risk of large and dramatic
In Italy, for instance, the Constitution already embodies the idea of a double guarantee sys- tem, through law and justice, that allows the judiciary and police force to fully carry out their duty, even temporarily compressing rights and fundamental freedoms of citizens in order to prevent and prosecute crimes, without this being considered as an attack on free- dom. National security and that of its citizens is a primary asset that, without the need to resort to special laws, already finds ample provisions in the Constitution, Penal Code, Crim- inal Procedure, Privacy Code, restricting the full and unlimited enjoyment of rights, but only in the presence of stringent requirements and for a limited amount of time. In the light of the above, in theory, the conflict Apple/FBI would not have exploded in Italy and in other EU countries based on civil law jurisdiction. However, things are never completely linear and simple as they might
First of all, evolving technology represents a constant challenge for laws and rules. However, the technology is in the hands of large multinational private groups, that increasingly tend to legitimacy impose their standards on a transnational basis, constantly stressing the prin- ciples of jurisdiction and
It is normal that everyone seeks to protect their own interest. But what if, such as the Ap- ple case, a national institution of justice starts to creatively chase technology, requesting access with more and more sensitive and accurate information on each of us? At the same time, in order to avoid the excesses of mass control undertaken by certain intelligence and security agencies, can we afford to allow the big high tech multinationals as ultimate guar- antors of our rights and freedoms?
Above all, what does not help is everyone going in conflicting directions. We need uniform signals and answers to these challenges. What will happen when the Internet of Things will be really popular and dominate our daily lives? The era of big data is here and we cannot al- low the judiciary, nor intelligence agencies, or private investigators or, worse, hackers, to have indiscriminate access to data collected from thousands of interconnected objects that control our bodies or drive our cars. However, at the same time, we cannot delegate the safeguarding of our rights to private companies that have as their objective the making of profit.
It is therefore time to rethink the relationship between States and the privacy of their citizens, not in an emergency perspective that has led to the signing of the Privacy Shield nor in the con- text of the debate on GDPR. We now need international treaties that put both the individual and internet in the driving seat. These are the indissoluble duo that we must all learn to deal with and legislate for on the basis of our shared European culture. We have got to set aside the end of Schengen or Brexit. Here we need to come together and forge new and enduring part- nerships.
Quali effetti per la disciplina di protezione e libera circolazione dei dati personali post-Brexit e in vista della piena entrata in vigore del nuovo Regolamento Privacy Europeo?	Maggio 2016
As for the definition of the traditional categories of players subject to accountability in EU privacy law’s “chain of responsibility” (i.e. data controller and data processor), many of the core definitions from the previous Directive remain essentially unchanged.
At a national level, for instance, in Italy, the legislator and the Italian Data Protection Authority (i.e. the Garante), after having found themselves faced with the difficult task of balancing the reform package with the current domestic regulatory framework and adapting it to Italian legal terminology, decided to maintain the current translation of “data controller” (i.e. titolare del trattamento) and “data processor” (i.e. responsabile del trattamento) in order not to cause unnecessary interpretative burdens for public and private entities processing data.
Moreover, the entry into force of the GDPR will definitely cause major concerns for private and public institutions operating in several areas (e.g. from banking to health care) because of stricter and more pervasive privacy obligations to comply with.
Where the Regulation will be deemed to be applicable to a business entity processing personal data, for example, the entity will need to provide clear evidence that it is in full compliance with the new rules to either national Data Protection Authorities and the future European Data Protection Board, which will replace Article 29 Working Party’s role and functions.
Same thing will apply to the public sector and, for the very first time, also to data controllers and processors based outside the EU but conducting businesses (i.e. processing data) within EU borders.
This important aspect, along with others (e.g. the obligation to conduct regular privacy impact assessments, the new privacy by-design and by-default principles or the duty to appoint a data protection officer and a national Representative where prescribed), are an expression of the strategy behind the desire to regulate and adequately circumscribe the power of telecom and digital multinationals processing personal data of EU citizens through a borderline approach to privacy compliance.
In fact, the entry into force of the GDPR will indeed force big companies that have previously regarded non-compliance with EU data protection law as a “calculated risk” to re-evaluate their position especially in light of the substantial new fines (i.e. up to € 20 mln or 4% of the annual worldwide turnover) and increased enforcement powers given to national Data Protection Authorities (e.g. total ban on processing and in depth investigative capacity above all).
On the other hand, the same companies processing personal data, either from within the EU or outside, will benefit from a significant degree of autonomy in dealing with Member States’ data protection authorities through the new One-Stop-Shop mechanism, which will connect controller and processor with a single “lead authority” on the basis on the location of its “main establishment”, i.e. the place where the main processing activities take place. It is now clear how difficult has it been for EU legislators to combine civil society’s push for a stronger protection of the individual right to privacy with legitimate interests of companies to collect and process personal data. But a compromise solution has been successfully achieved.
With a greater simplification and a substantial de-bureaucratisation of some privacy obligations (i.e. same rules apply in all EU Member States with no need to contact twenty eight national DPAs), comes the revamped focus on data protection in all corporate policies and regulations as a guarantee of stronger and deeper protection to individuals’ rights.
In conclusion, only time will tell whether more stringent and incisive privacy rules have been enough to raise and consolidate EU and global data protection standards and made IT compliance and cyber security a number one priority for all companies and public institutions.
There is still a long way to go for the full implementation of the GDPR. Different Member States still have some room for different approaches. However the key development is the recognition that privacy compliance is a real strategic asset for the private and the public sector alike and the birth of a corporate culture of data protection and social responsibility might be closer than it seemed even in recent years.	Marzo 2016
Italia: è stato presentato un disegno di legge sulla sharing economy
Tra le misure un'imposta al 10% per i redditi fino a 10.000 Euro e norme per la protezione della privacy e la tutela della concorrenza. Accessibile la consultazione pubblica online. Il 27 gennaio 2016 è stato depositato alla Camera dei Deputati il disegno di legge “Disciplina delle piattaforme digitali per la condivisione di beni e servizi e disposizioni per la promozione dell'economia della condivisione”. Il testo, frutto del lavoro dell’Intergruppo parlamentare per l’innovazione tecnologica, punta a garantire trasparenza, equità fiscale, leale concorrenza e tutela dei consumatori nella sharing economy.
Una delle misure più importanti riguarda la fiscalità: è infatti prevista un’imposta del 10% fino a 10.000 Euro di reddito. Inoltre, i gestori aventi sede all’estero si dovranno dotare di una stabile organizzazione in Italia. Si prevede che le misure contenute nel disegno di legge garantiranno un maggior gettito per lo Stato da 150 milioni di Euro nel 2016, che potrà arrivare fino a 3 miliardi nel 2025.
Sono previste novità anche rispetto alla tutela dei dati personali, con riferimento al tema della cessione a terzi dei dati acquisiti, all’analisi automatica dei contenuti caricati dagli utenti e alla possibilità di cancellare i dati.
Il disegno di legge stabilisce inoltre che le piattaforme debbano predisporre un “Documento di politica aziendale” soggetta a parere e approvazione dell’Autorità per la concorrenza e il mercato, che dovrà garantire trasparenza anche rispetto alle transazioni di denaro e alle condizioni contrattuali tra utenti e fornitori di servizi.	Marzo 2016
Una legge olandese anticipa il Regolamento Europeo sulla protezione dei dati: obbligo di notifica del data breach e sanzioni più severe per le violazioni della legge sulla protezione dei dati
Una nuova legge olandese prevede l’obbligo generale per i titolari del trattamento di notificare i data breach all'Autorità nazionale per la protezione dei dati ed autorizza detta Autorità ad emettere sanzioni per le violazioni della legge sulla protezione dei dati. Il primo gennaio 2016, è entrata in vigore una legge che, in Olanda, anticipa alcuni obblighi previsti dalla riforma europea sulla protezione dei dati e secondo la quale i titolari del trattamento sono tenuti a comunicare immediatamente all’Autorità nazionale eventuali data breach che hanno, o potrebbero avere, gravi conseguenze per la sicurezza dei dati. Tale obbligo di notificazione deve essere adempiuto anche nei confronti degli individui interessati dal breach, qualora questo possa comportare conseguenze negative sugli stessi, salvo che i dati compromessi siano stati criptati o comunque siano resi indecifrabili a terzi.
La nuova legge, inoltre, consente all’Autorità olandese di imporre multe fino ad 820.000,00 Euro per le violazioni della legge sulla protezione dei dati, inclusa la mancata notifica del data-­‐breach.	Marzo 2016
La Commissione Europea ha pubblicato i dettagli sul Privacy Shield: il nuovo quadro per il trasferimento transfrontaliero di dati tra Europa e Stati Uniti
Il 29 febbraio 2016, dopo più di due anni di negoziati con il Dipartimento del Commercio statunitense, la Commissione Europea ha pubblicato la Decisione di adeguatezza sul nuovo Privacy Shield tra Europa e Stati Uniti, accompagnata da nuovi dettagli in merito al suo funzionamento. La nuova intesa proteggerà i diritti fondamentali dei cittadini europei nell’ambito del trasferimento di dati negli Stati Uniti e garantirà la certezza del diritto per le imprese.
Il 29 febbraio 2016, la Commissione Europea ha pubblicato la Decisione di adeguatezza sul nuovo Privacy Shield. L’accordo è il risultato delle azioni intraprese nel corso degli ultimi anni per ripristinare la fiducia nei flussi trasfrontalieri di dati, considerate le rivelazioni del 2013 sulla sorveglianza di massa.
Il nuovo accordo, tra gli altri punti, prevede:
garanzie chiare e obblighi di trasparenza per l’accesso ai dati da parte del governo degli Stati Uniti;
protezione più efficace dei diritti dei cittadini dell’UE e diverse possibilità di ricorso;
obblighi stringenti per le imprese che trattano dati personali dei cittadini europei.
Le aziende statunitensi che vorranno importare dati personali dall’Europa, quindi, dovranno impegnarsi a rispettare obblighi stringenti sulle modalità del trattamento dei dati, incluso il rispetto delle decisioni delle Autorità Garanti europee.
Il Gruppo di Lavoro Articolo 29 (di seguito, il "WP29"), in una dichiarazione rilasciata il 3 febbraio 2016, aveva espresso preoccupazioni sulla conformità del quadro giuridico statunitense rispetto alle garanzie fornite dalla giurisprudenza europea in materia di diritti fondamentali, in particolare per quanto concerne i principi di necessità e proporzionalità del trattamento dei dati, nonché sui rimedi giurisdizionali a disposizione dei cittadini europei.
Ebbene, alla luce dei dettagli ora disponibili, il WP29 valuterà se gli altri meccanismi disponibili per il trasferimento transfrontaliero dei dati possono ancora essere considerati validi. Secondo il presidente del Gruppo, Isabelle Falque-Pierrotin, una finale potrebbe essere adottata entro la fine di aprile.
Sulla base del parere espresso dal WP29, la Commissione europea potrà votare sull'adeguatezza del Privacy Shield, prima che lo stesso entri definitivamente in vigore.
Pertanto, le società statunitensi hanno quindi ancora qualche mese a disposizione per ponderare con attenzione ogni possibile alternativa (BCR, SCC e, dove applicabile, il consenso) prima di poter formalmente firmare il nuovo Privacy Shield.
Gruppo di lavoro Articolo 29: ‘Dichiarazione sul piano d'azione 2016 per l'attuazione del Regolamento generale sulla protezione dei dati’
Il Regolamento generale sulla protezione dei dati è vicino all'adozione: il Gruppo di lavoro Articolo 29 deve dunque adottare linee guida, strumenti e procedure previste per consentire al nuovo quadro giuridico di essere operativo il primo semestre del 2018. Dunque, il piano d'azione progettato per il 2016 si propone di delineare le priorità per il Gruppo di lavoro Articolo 29 nel preparare la transizione verso il nuovo quadro normativo, con particolare riferimento all’European Data Protection Board.
Il Gruppo di lavoro Articolo 29 (di seguito, "WP29"), il 2 febbraio 2016, ha adottato la ‘Dichiarazione sul piano d'azione 2016 per l'attuazione del Regolamento generale sulla protezione dei dati’. Secondo quanto stabilito dalla riforma europea sulla protezione dei dati personali (di seguito, "GDPR"), sarà implementato un nuovo modello di governance, dando maggior rilevanza alle autorità nazionali per la protezione dei dati. Si tratta di un modello di governance costruita su tre pilastri: autorità nazionali per la protezione dei dati, una maggiore cooperazione tra le autorità nazionali e l’European Data Protection Board (di seguito, "EDPB"). Il WP29 vuole anticipare la formazione di questa nuova organizzazione per quanto possibile.
Il piano si basa su 4 priorità:
l’organizzazione amministrativa interna dell’EDPB (come IT, risorse umane e budget);
la preparazione del meccanismo one stop shop;
l'adozione di linee guida per preparare i Titolari e Responsabili del trattamento all’entrata in vigore del GDPR;
comunicazioni sull’EDPB/GDPR.
Questo piano d'azione sarà riesaminato periodicamente e completato nel 2017 con nuovi obiettivi e risultati. Il WP29 consulterà regolarmente e ove opportuno le parti interessate (rappresentanti delle imprese e della società civile) per uno scambio di opinioni in merito all'attuazione del GPDR.
Il Garante europeo della protezione dei dati pubblica le sue priorità per il 2016
Il 7 gennaio 2016, il Garante europeo della protezione dei dati ha pubblicato le sue priorità per il 2016: un documento programmatico e una tabella che elencano le proposte della Commissione europea con maggiori probabilità di ripercussioni sui diritti fondamentali come la privacy e la protezione dei dati personali e per i quali il Garante europeo prevede di emettere pareri formali. Il 7 gennaio 2016, il Garante europeo della protezione dei dati (di seguito, "EDPS") ha pubblicato le sue priorità nell’ambito dell’attività politica e di consultazione per il 2016.
In primo luogo, alla luce dell'accordo raggiunto sul pacchetto di riforma della protezione dei dati, che include il Regolamento generale sulla protezione dei dati (di seguito, "GDPR") e la direttiva sulla protezione dei dati trattati dalla polizia e dalle autorità giudiziarie penali, l’EDPS continuerà a sostenere le istituzioni europee nel loro processo di creazione di un quadro di protezione dei dati coerente in Europa. A questo proposito l’EDPS aiuterà la Commissione europea nella fase di revisione del Regolamento 45/2001 concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, e farà in modo che i principi stabiliti dalla GDPR si applichino anche alle istituzioni e agli organi dell'UE. Inoltre, l’EDPS parteciperà alla revisione della Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comuniczioni elettroniche, conosciuta anche come “Direttiva e-Privacy”.
Inoltre, le altre aree strategiche sulle quali l’EDPS focalizzerà le proprie attività sono:
il raggiungimento di un’adeguata protezione nell’ambito del trasferimento transfrontaliero di dati: l’EDPS seguirà da vicino i negoziati tra il governo degli Stati Uniti e la Commissione europea relativi all’“Umbrella Agreement’;
misure di sicurezza e anti-terrorismo: l’EDPS sottolinea l'importanza di trovare un equilibrio tra le misure adottate in relazione ad attacchi terroristici ed il rispetto dei diritti e delle libertà fondamentali;
Iniziative per il Mercato Unico Digitale.
La dodicesima tornata di negoziati sul TTIP: la conclusione delle negoziazioni è prevista entro il 2016
Il 26 febbraio, l'Unione europea e gli Stati Uniti hanno terminato la dodicesima tornata di incontri sul Partenariato transatlantico su commercio e investimenti (TTIP). I negoziatori puntano a realizzare un accordo che rispecchi gli interessi di Europa e Stati Uniti. L’obiettivo è quello di concludere i negoziati nel 2016.
La dodicesima tornata di negoziati sul Partenariato transatlantico su commercio e investimenti (d’ora in poi, “TTIP”) ha accelerato in particolare i negoziati su due dei tre pilastri dell’accordo: cooperazione regolamentare e norme. Entrambi sono elementi fondamentali per la realizzazione del TTIP.
Per quanto riguarda la cooperazione regolamentare, i negoziatori hanno presentato delle nuove proposte volte a perfezionare ulteriormente i progetti relativi alla creazione, all'interno del TTIP, di un sistema che faciliti la cooperazione regolamentare attuale e futura, nei settori manifatturiero e terziario. La proposta, che sarà resa pubblica a breve, ha lo scopo di ridurre i costi superflui e alzare, o perlomeno mantenere, gli elevati standard attuali per la tutela della salute e della sicurezza delle persone. Con riferimento alle norme dell’accordo, i dibattiti si sono focalizzati tra gli altri sulla concorrenza, sul regime doganale e la facilitazione degli scambi commerciali, sulla composizione delle controversie tra governi e sulle piccole e medie imprese.
I negoziatori continueranno a lavorare. Sono state programmate due ulteriori tornate di negoziati prima della pausa estiva, ed anche altri contatti tra le squadre negoziali e incontri regolari tra il Commissario europeo per il Commercio Cecilia Malmström e il Rappresentante per il Commercio degli Stati Uniti d’America Michael Froman.
La sentenza della Corte di Cassazione sulle c.d. “chiamate mute”: una questione legata agli algoritmi software, con impatti assai rilevanti sui players del telemarketing
Le aziende dovrebbero comprendere come la compliance sia una delle chiavi fondamentali per sbloccare il loro futuro, specialmente in quest’epoca soggetta a cambiamenti repentini, dove dai grandi flussi di dati derivano profonde responsabilità. La Suprema Corte, confermando l’orientamento dell’Autorità Garante per la protezione dei dati personali, ha voluto sottolineare come gli algoritmi debbano essere impostati in maniera tale da bilanciare i profitti aziendali con la correttezza nei confronti degli utenti.
A partire dal 2011, sono pervenute al Garante per la protezione dei dati personali (d’ora in poi, il “Garante”) numerosissime segnalazioni da parte di interessati che lamentano la ricezione di telefonate cd. “mute”. Le indagini condotte, anche di carattere ispettivo, hanno avuto finalità conoscitive, di monitoraggio, di accertamento - anche squisitamente tecnico - nonché di verifica circa l'osservanza delle norme in materia di protezione dei dati personali, con specifico riguardo all'art. 11 del D.Lgs. 196/2003 (d’ora in poi, “Codice”), ossia il principio di correttezza. All’esito di tali approfondimenti, il Garante ha emanato importanti provvedimenti, tra cui le "Prescrizioni per le chiamate a carattere commerciale cd. “mute”" (2011) e il "Provvedimento generale sulle c.d. 'chiamate mute’” (2014).
Il 15 gennaio 2016, la Suprema Corte di Cassazione, con sentenza n. 2196/2016, ha sancito che (i) l’invio di telefonate mute e (ii) l’utilizzo di un'utenza non inserita in un pubblico registro, sono consentiti solo con il consenso preventivo ed espresso dell’utente: i trattamenti che comportano l’inoltro di chiamate mute sono infatti equivalenti - in forza del principio di correttezza - a quelli effettuati con strumenti automatizzati.
La Suprema Corte ha quindi confermato l’orientamento più volte ribadito dal Garante: il Titolare, determinando le modalità del trattamento dei dati personali dei destinatari di iniziative di carattere commerciale, deve adottare - direttamente ovvero per il tramite dei propri responsabili cui dovranno essere impartite adeguate istruzioni - tutte le misure necessarie ed opportune, anche di carattere tecnico, atte a garantire che tale trattamento si svolga secondo modalità conformi al principio di correttezza di cui all'art. 11 del Codice. La questione è principalmente legata all’utilizzo di idonei algoritmi, ma gli impatti sono estesi all’intero settore del telemarketing. Marzo 2016
Il Garante europeo della protezione dei dati accoglie con favore l’’Umbrella Agreement’ tra UE ed USA e sollecita la necessità di garanzie efficaci. Nel frattempo, il presidente Obama firma il ‘Judicial Redress Act’
Il 12 febbraio 2016, il Garante Europeo della protezione dei dati ha espresso il suo sostegno per l'iniziativa ‘Umbrella Agreement’ tra Europa e Stati Uniti, attirando l’attenzione su tre punti fondamentali del progetto che si prefigge di ricostruire la fiducia tra i due partner strategici, disciplinando la condivisione di informazioni e il trasferimento di dati personali nell’ambito della lotta al crimine. Nel frattempo, in data 24 febbraio 2016, il presidente Obama ha firmato il ‘Judicial Redress Act’, che garantisce una serie di diritti ai cittadini non statunitensi, compresa la difesa contro presunte violazioni della privacy avvenute negli Stati Uniti. L’approvazione della legge è un passaggio fondamentale per l'approvazione dell'’Umbrella Agreement’.
Il Garante Europeo per la protezione dei dati (di seguito, “EDPS”), in un parere del 12 febbraio 2016, accoglie e condivide l'intenzione dei negoziati tra UE ed USA finalizzati a garantire un elevato livello di protezione dei dati personali nei trasferimenti trasnfrontalieri nell’ambito della lotta al crimine, e apprezza gli sforzi tesi ad introdurre nuove misure in tal senso.
Nel suo parere, l’EDPS fornisce raccomandazioni in merito ai miglioramenti necessari per garantire che l'accordo proposto possa salvaguardare adeguatamente i diritti degli individui. Le preoccupazioni espresse, invece, riguardano principalmente l'efficacia dei mezzi di tutela giudiziari, la prevenzione del trasferimento di massa di dati sensibili ed il raggio d’applicazione delle garanzie individuate.
Nel frattempo, Il 24 febbraio 2016, il presidente Obama ha firmato il Judicial Redress Act (di seguito, "JDA") che conferisce ai cittadini non statunitensi una serie di diritti, compresa la difesa contro presunte violazioni della privacy avvenute negli Stati Uniti. Il JDA è stato firmato a seguito dell’approvazione da parte del Congresso di un emendamento che riserva i sopracitati diritti ai cittadini dei Paesi che (i) consentono il trasferimento di dati personali verso gli Stati Uniti per fini commerciali e (ii) non prevedono politiche di trasferimento di dati personali che "ostacolano materialmente" la sicurezza degli Stati Uniti.
In occasione della firma della legge, il Commissario UE alla Giustizia, Věra Jourová, ha dichiarato che: "L'entrata in vigore del Judicial Redress Act aprirà la strada alla firma dell'accordo UE-USA per la protezione dei dati Umbrella Agreement. Quest’accordo [...] rafforzerà la privacy, garantendo al contempo la certezza del diritto nell’ambito degli scambi transatlantici di dati tra polizia e autorità giudiziarie penali. Questo è fondamentale per garantire la sicurezza ai cittadini europei attraverso una cooperazione solida ed efficiente tra l'Europa e gli Stati Uniti nella lotta contro il crimine e il terrorismo”.	Marzo 2016
E-commerce: l’AGCM irroga una sanzione di 400.000 Euro per pratica commerciale scorretta
Il sito di e-commerce illudeva gli utenti sulla immediata disponibilità di prodotti mai consegnati.
A seguito di numerose segnalazioni giunte da Altroconsumo, l’Autorità Garante della Concorrenza e del Mercato (di seguito, “AGCM”) ha irrogato una sanzione di 400.000 Euro ad un operatore di e-commerce, per pratiche commerciali scorrette commesse grazie allo “scudo” del web.
Il sito, infatti, offriva diversi prodotti hi-tech indicandoli come immediatamente disponibili, quando a seguito dell’ordine non venivano effettuate né la spedizione né la consegna.
Questo è in ordine di tempo l’ultimo di sette procedimenti già conclusi nel 2015, nei confronti di diversi operatori di e-commerce, che hanno portato all’irrogazione di sanzioni pari ad un totale di 970.000 Euro. Altri quattro procedimenti sono tuttora in corso, nell’ambito di un’ampia attività di monitoraggio organico dell’AGCM sul settore delle vendita a distanza, volto ad assicurare comportamenti corretti da parte delle imprese che operano nel commercio elettronico, anche in rapporto alla posizione particolarmente debole dei consumatori in questo campo.
Il Garante francese per la protezione dei dati semplifica la notificazione per il trattamento dei dati per fini disciplinari o processuali da parte di aziende pubbliche o private
Il 19 febbraio 2016, il Garante francese per la protezione dei dati ha emesso la Deliberazione AU-046, relative al trattamento di dati da parte di organizzazioni pubbliche e private per quanto riguarda la preparazione, l'esercizio e il successivo controllo nell’ambito di azioni disciplinari o giudiziarie.
La Commission nationale de l'informatique et des libertés (di seguito, "CNIL") ha rilevato come le aziende, per difendere i propri diritti, potrebbero trovarsi a preparare e gestire reclami con clienti, fornitori, dipendenti o altri soggetti, con conseguente trattamento di dati personali potenzialmente relativi a reati e condanne o a misure di prevenzione.
In linea di principio, secondo la legge francese sulla protezione dei dati personali, le aziende non sono autorizzate a trattare tali dati. Tuttavia, con una decisione del 2004, la Corte costituzionale francese ha rilevato che questo divieto non deve privare le imprese del loro diritto di ricorrere in giudizio. La CNIL ha quindi dichiarato che le aziende possono trattare dati personali relativi a reati, condanne e misure di sicurezza, in quanto vittime di un illecito.
Tale trattamento dei dati richiederebbe una specifica autorizzazione preventiva da parte della CNIL. Tuttavia, se il trattamento dei dati è conforme a tutti i requisiti previsti nella nuova Deliberazione AU-046, sarà sufficiente depositare presso l’Autorità Garante francese una mera notifica semplificata.
Across the EUniverse - Number ten
The shadow of Brexit Number 10 makes us think of Downing Street, Brexit and the old saying in Brussels that the EU grows on the basis of crises. After 30 years in Brussels we can guarantee that during each crisis there is the worry that this will be the time when the old saying doesn’t hold true. There are two big institutional issues facing the EU: Brexit and the end of Shengen. And overshadowing both institutional problems is the issue of migration.	Gennaio 2016
Droni, WP29 e regolamento ENAC: valutare accuratamente l’impatto sulla privacy degli indiviui
L’Art. 29 WP individua una serie di raccomandazioni per i piloti di droni (i quali agiscono, generalmente, in qualità di titolari del trattamento), per i produttori (che sono chiamati a rispettare i principi di “privacy by design” e “privacy by default”) nonché per le Autorità nazionali ed europee (chiamate a introdurre una regolamentazione ad hoc).
La riforma del regolamento ENAC: rinvio al D.lgs. 196/2003) e al principio di necessità.
Sempre maggiore attenzione sul tema dei droni da parte dell’l’Article 29 Data Protection Working Party (il “WP29”) e dell’Ente Nazionale per lAviazione Civile (“ENAC”).
Con il Parere n. 01/2015 del 16/06/2015, il WP29 interviene sulla tematica dell’utilizzo dei droni e del relativo impatto sulla privacy degli individui, suggerendo una serie di raccomandazioni nei confronti di:
Piloti – in qualità titolari del trattamento, i piloti sono chiamati a rispettare i principi di finalità, necessità, proporzionalità e non eccedenza; a garantire l’informativa agli interessati; a implementare idonee misure di sicurezza per la protezione dei dati raccolti e la loro successiva cancellazione e/o anonimizzazione;
Produttori – i quali sono chiamati a rispettare i principi di “privacy by design” e “privacy by default”, a effettuare una “valutazione di impatto privacy”; e ad inserire nelle confezioni tutte le informazioni concernenti la potenziale intrusività che l’utilizzo di un drone può avere nella vita degli individui;
Autorità nazionali ed europee – introdurre una specifica regolamentazione per l’utilizzo lecito e responsabile dei droni.
Anche la normativa italiana si aggiorna. Infatti, a tutela delle potenziali lesioni del diritto alla riservatezza, il novellato regolamento ENAC, all’art. 34, rinviando al D.lgs. n. 196/2003 (il “Codice Privacy”), stabilisce l’esigenza di individuare modalità che permettano di identificare l’interessato solo qualora ciò si renda necessario, ai sensi dell’art. 3 del Codice Privacy.
Il Garante approva il Codice deontologico sul trattamento dei dati personali ai fini di informazione commerciale
Le società che offrono informazioni sull'affidabilità commerciale di imprenditori e manager potranno raccogliere dati solo da fonti pubbliche o direttamente dall’interessato. I dossier dovranno essere sempre aggiornati e la conservazione dei dati avrà precisi limiti temporali. Le società dovranno adottare misure per garantire la sicurezza, l'integrità e la riservatezza delle informazioni commerciali.
In tutti i casi in cui i dati non vengano forniti direttamente dall’interessato, la società dovrà sempre dichiarare la fonte da cui ha tratto i dati personali sulla persona censita.
Tutte le società del settore dovranno pubblicare un'informativa completa almeno sul proprio sito web. Quelle con un fatturato superiore a 300.000 euro (in questo ambito di attività) dovranno realizzare insieme un unico portale dove inserire le comunicazioni sulle attività di informazione commerciale.
E' previsto inoltre l'obbligo per gli operatori del settore di garantire un riscontro telematico, tempestivo e completo, alle richieste in materia di privacy avanzate dalle persone censite.
Gli operatori del settore dovranno adeguarsi entro il 1 ottobre 2016, data in cui Il Codice entrerà in vigore.
Job Act: i controlli a distanza mediante strumenti elettronici
Lo scorso 23 settembre sono stati definitivamente pubblicati in Gazzetta Ufficiale i quattro decreti del Jobs Act, incluso il discusso D.lgs. n. 151/2015, che modifica l’art. 4 dello Statuto dei Lavoratori sui controlli a distanza mediante strumenti elettronici, con importanti risvolti sulla compliance aziendale.
In data 23 settembre 2015 sono stati pubblicati in Gazzetta Ufficiale i quattro decreti legislativi in attuazione della Legge n. 183/2014 (c.d. “Jobs Act”).
Le nuove norme in materia di controlli a distanza dei lavoratori mediante l’impiego di strumenti elettronici innovano, in particolare, con riferimento all’introduzione dei fini di tutela del patrimonio aziendale, al controllo a distanza per mezzo di strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e alla deregolamentazione degli strumenti di registrazione degli accessi e delle presenze dei lavoratori.
La novella introdotta con la riforma del Jobs Act chiarisce, tra le altre cose, che le informazioni raccolte secondo le nuove modalità sopra delineate sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione circa le modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal D.lgs. n. 196/2003 (il “Codice Privacy”).
Il Safe Harbour non garantisce più un adeguato livello di protezione per il trasferimento dei dati personali.
La Corte di Giustizia dell’Unione europea dichiara invalida la decisione della Commissione che attesta che gli Stati Uniti garantiscono un adeguato livello di protezione dei dati personali trasferiti: il parere dell’Art. 29 WP e la decisione del Garante per la protezione dei dati personali.
Nella causa C-362/14, la Corte di giustizia dell’Unione europea ha dichiarato invalida la decisione della Commissione n. 2000/520/CE, che attesta che gli Stati Uniti garantiscono un adeguato livello di protezione dei dati personali trasferiti. A tal riguardo, la Corte ha anche sottolineato che, quando esiste una decisione della Commissione, le autorità nazionali di controllo, investite di una domanda, devono poter comunque esaminare in piena indipendenza se il trasferimento dei dati di una persona verso un paese terzo rispetti i requisiti stabiliti dalla Direttiva 95/46/CE.
Alla luce della Sentenza in questione, in un comunicato pubblicato lo scorso 16 ottobre, il Gruppo Articolo 29 ha evidenziato l’esigenza che, laddove entro la fine di gennaio 2016 non si trovino idonee soluzioni alternative al Safe Harbour, le Autorità nazionali di controllo dovranno adottare tutte le misure necessarie a garantire il rispetto degli obblighi di protezione dei dati, anche irrogando sanzioni ove necessario.
Il Garante per la protezione dei dati personali, inoltre, con un provvedimento del 22 ottobre, ha dichiarato decaduta l’autorizzazione del 10 ottobre 2001 con la quale si consentivano i trasferimenti di dati verso gli Stati Uniti sulla base dell’accordo Safe Harbour. Per poter trasferire lecitamente i dati personali oltreoceano, società multinazionali, organizzazioni e imprese italiane dovranno di conseguenza ricorrere ad altri strumenti quali, ad esempio, il consenso espresso, le clausole contrattuali standard o le regole di condotta adottate all'interno di un medesimo gruppo (le cosiddette Binding Corporate Rules – BCR).
Infine, nella comunicazione al Parlamento Europeo e al Consiglio del 6 novembre scorso, anche la Commissione Europea ha sottolineato che gli strumenti alternativi al Safe Harbour possono ancora essere utilizzati ai fini del trasferimento lecito dei dati personali negli Stati Uniti.
EU: secondo la Direttiva sulla sicurezza delle reti informatiche le imprese dovranno notificare le violazioni subite ai sistemi informatici
Alle aziende e alle PA, operanti in specifici settori, sarà richiesto di fare un risk assesment e di adottare misure adeguate e proporzionate per garantire la sicurezza dei sistemi informatici. Tali enti saranno infatti tenuti a comunicare tempestivamente alle competenti autorità qualsiasi anomalia che comprometta gravemente la sicurezza dei loro sistemi informatici.
La presidenza del Consiglio dell'UE ha annunciato, il 7 dicembre 2015, di aver raggiunto un accordo informale con il Parlamento Europeo sul testo della proposta di Direttiva sulla sicurezza informatica (Network and Information Security Directive – cd. “NIS”).
Una delle caratteristiche salienti della Direttiva NIS è la promozione della cultura del “risk management”: alle società e alle PA operanti nei settori critici, come energia, trasporti, sanità e finanza, sarà richiesto di valutare i rischi che affrontano e adottare misure adeguate e proporzionate al fine di garantire la sicurezza dei propri sistemi informatici. Oltre a ciò, gli enti coinvolti saranno tenuti a comunicare tempestivamente alle competenti autorità qualsiasi anomalia che comprometta gravemente i necessari livelli di sicurezza. Tale misura sembra essere particolarmente innovativa, considerato che ad oggi, la maggior parte degli incidenti non vengono portati alla conoscenza delle autorità competenti, restando del tutto ignoti. In caso di approvazione della Direttiva NIS, invece, le autorità preposte saranno in grado di imporre misure appropriate, assegnando altresì priorità strategiche.
Come sempre, tuttavia, per poter valutare gli effetti positivi della normativa, occorrerà attendere sia l’approvazione finale da parte delle istituzioni europee, sia il recepimento da parte degli Stati membri, soprattutto considerato che l’attuale testo della Direttiva contiene ancora alcune previsioni fortemente ambigue ed equivoche.
La nuova PSD 2
Approvata la Direttiva del Parlamento Europeo e del Consiglio relativa ai servizi di pagamento nel mercato interno, che modifica le direttive 2002/65/CE, 2009/110/CE e 2013/36/UE e il regolamento (UE) n. 1093/2010, e abroga la direttiva 2007/64/CE.
Il 16 novembre 2015 il Consiglio ha adottato una direttiva volta a sviluppare ulteriormente un mercato UE per i pagamenti elettronici. La direttiva ingloba e abroga la direttiva 2007/64/CE, che ha costituito la base giuridica per la creazione di un mercato unico dell'UE per i servizi di pagamento. La direttiva riveduta adatta le norme per includere i servizi di pagamento emergenti ed innovativi, compresi i pagamenti tramite internet e dispositivi mobili. Intende garantire un ambiente più sicuro per i pagamenti, in particolare per quelli che utilizzano canali a distanza.
Gli Stati Membri avranno adesso due anni di tempo per recepire la direttiva nelle legislazioni e nelle regolamentazioni nazionali.
Il testo completo della direttiva è disponibile al link: http://data.consilium.europa.eu/doc/document/PE-35-2015-INIT/it/pdf
Corte Europea dei Diritti dell’Uomo: legittimo il controllo dell’email aziendale
Respinto il ricorso di un dipendente licenziato dopo che il datore di lavoro, accedendo alla sua casella di posta elettronica aziendale, aveva accertato che la stessa era stata utilizzata per finalità private invece che per lo svolgimento delle attività lavorative
A scriverlo è la Corte Europea dei diritti dell’uomo, nella sentenza depositata il 12 gennaio 2016 in merito al caso Barbulescu contro Romania.
A rivolgersi ai giudici di Strasburgo un cittadino rumeno, dipendente di una società privata che si era visto licenziato dopo che il datore di lavoro aveva scoperto che l’account di posta elettronica aziendale era stato usato per fini personali. Di qui il licenziamento e successivamente, all’esito dei procedimenti dinanzi ai giudici nazionali, l'approdo alla Corte.
In via preliminare, quest’ultima ha riconosciuto che le e-mail rientrano nel diritto alla corrispondenza, rientrando quindi nel perimetro di tutela dell'articolo 8 della Convenzione dei diritti dell'uomo, che assicura il diritto al rispetto della vita e delle comunicazioni private.
Valutando la proporzionalità dell'ingerenza, tuttavia, la Corte ha evidenziato la necessità di distinguere tra l'account personale e quello aziendale del dipendente, avendo il datore di lavoro diritto a verificare il corretto adempimento da parte dei propri dipendenti dei compiti professionali ad essi assegnati. Non solo: il datore di lavoro era entrato nell'account del lavoratore credendo in maniera legittima che vi fossero esclusivamente comunicazioni con i clienti. Un elemento decisivo, secondo I giudici della Corte, i quali hanno altresì evidenziato come l'azienda non avesse controllato altri dati o documenti, a dimostrazione della ragionevolezza e della proporzionalità dei trattamenti svolti. Infine, nei vari ricorsi presentati a livello nazionale per verificare un'eventuale violazione della privacy, il lavoratore non ha mai spiegato il perché avesse utilizzato l'account aziendale per fini personali, nonostante ciò fosse vietato.
Di qui la decisione di considerare legittimo l’accesso all’email effettuato per tutelare l’interesse della società al buon andamento aziendale.
Sì del Garante privacy alla banca dati delle morosità telefoniche intenzionali, quei mancati pagamenti dovuti ad una precisa volontà dell’utente.
Si avvia così la costituzione del "Sistema informativo sulle morosità intenzionali nel settore della telefonia" (c.d. “S.I.Mo.I.Tel.”) che censirà persone fisiche e giuridiche, enti, associazioni, titolari di ditte individuali e liberi professionisti non in regola, in particolare, con i pagamenti delle bollette telefoniche relative ai pacchetti comprensivi di abbonamento e fornitura di smartphone o tablet. Nel sistema non saranno però inseriti gli utenti con morosità dovute a ritardi occasionali.
La banca dati sarà consultabile dagli operatori prima dell'attivazione di un nuovo contratto. Obiettivo del provvedimento è quello di contrastare il fenomeno del cosiddetto "turismo telefonico": gli utenti che passano da un operatore all'altro lasciando dietro di sé bollette insolute, avendo però nel frattempo acquisito la disponibilità di un dispositivo spesso di significativo valore economico.
Le informazioni sui pagamenti non regolarizzati saranno conservate per 36 mesi e poi verranno cancellate automaticamente. Ora gli operatori dovranno identificare l’ente privato a cui affidare la gestione del sistema.
Delibere AGCOM: maggiore trasparenza degli ECS e più garanzie per i contratti a distanza
L’AGCOM rafforza le tutele offerte agli utenti di servizi di comunicazione elettronica, adottando misure finalizzate ad una maggiore consapevolezza e libertà nella scelta del proprio operatore, ma anche limitando il pericolo di attivazioni non richieste. Vengono inoltre definiti precisi obblighi informativi in capo agli operatori, in particolare nel caso di contratti conclusi a distanza o fuori dai locali commerciali.
L’Autorità per le Garanzie nelle Comunicazioni (“AGCOM”), ha rafforzato le tutele offerte agli utenti di servizi di comunicazioni elettroniche.
Il nuovo “Regolamento recante disposizioni a tutela dell’utenza in materia di contratti relativi alla fornitura di servizi di comunicazioni elettroniche” (Allegato A alla Delibera n. 519/15/CONS) prevede nuove misure per garantire il diritto degli utenti di scegliere liberamente e consapevolmente il proprio operatore e intende anche limitare il pericolo di attivazioni non richieste o comunque basate su informazioni incomplete o fuorvianti. Si sono inoltre definiti precisi obblighi informativi in capo agli operatori, in particolare nel caso di contratti conclusi a distanza o fuori dai locali commerciali.
Il Regolamento intende anche rispondere alle urgenti esigenze di maggiore chiarezza riguardo alle frequenti rimodulazioni contrattuali decise unilateralmente da alcuni operatori: in particolare sarà obbligatorio seguire il format prestabilito dall’Autorità (Allegato 1 del Regolamento). Inoltre l’impegno minimo iniziale non potrà superare, per i consumatori, i 24 mesi.
Nella medesima riunione, l’Autorità ha approvato anche alcuni orientamenti per il mercato per la conclusione tramite telefono di contratti per la fornitura di servizi di comunicazione elettronica (Delibera 520/15/CONS).
E-commerce, no alla profilazione senza consenso specifico
‪Il Garante ha ribadito l’illiceità dei trattamenti svolti in assenza del necessario consenso
Il Garante ha vietato ad una delle più importanti società di vendita online di biglietti per spettacoli teatrali, manifestazioni sportive e concerti il trattamento dei dati personali di oltre 300.000 utenti, perché effettuato in difformità a quanto previsto dalla normativa vigente.
La società, infatti, acquisiva un unico consenso generico, peraltro preselezionato, in violazione dei requisiti di specificità e libertà del consenso, oltre a non aver adempiuto né all’obbligo di notificazione stabilito dal Codice in riferimento alle attività di profilazione, né a quello di fissazione di idonei tempi di conservazione dei dati raccolti attraverso i siti.
Il Garante ha dunque dichiarato illeciti i trattamenti svolti, prescrivendo alla società di adottare, entro sessanta giorni, le misure necessarie per allinearsi a quanto disposto dal Codice. Il Nucleo Speciale Privacy, sulla base degli elementi e dei documenti acquisiti, ha provveduto inoltre a contestare alla società le relative sanzioni.
EDPS: allerta sui sistemi di sorveglianza
La vendita di strumenti potenzialmente lesivi della privacy e l’offerta di servizi correlati sono temi che devono essere regolati con più attenzione così da prevenire abusi di diritti umani sia in Europa che altrove.
Il 15 dicembre 2015 il Garante Europeo per la Protezione dei Dati (European Data Protection Supervisor, “EDPS”) ha pubblicato un importante parere riguardante le tecnologie di sorveglianza invasiva, segnalando i rischi celati dietro al crescente – e non sufficientemente regolato – mercato della vendita, distribuzione ed utilizzo di spyware.
Tali strumenti, infatti, possono essere utilizzati sia per fini legittimi, ad esempio da parte delle forze dell’ordine, sia per aggirare la sicurezza delle comunicazioni elettroniche e del trattamento dei dati, compromettendo in tal modo l’integrità dei database, dei sistemi e delle reti. Considerato, tuttavia, che il fenomeno dell’Internet of things è in continua crescita, pare evidente che i rischi non potranno che aumentare.
L’EDPS lancia dunque un appello sia alla comunità IT che al Legislatore Europeo, richiamando l’attenzione sulla necessità di compiere ogni sforzo necessario a tenere sotto controllo il mercato, applicando in particolare il principio di “privacy-by-design” al fine di rendere sicura ogni tecnologia sin dalla fase di progettazione.
A fronte della globalità delle interconnessioni, la cybersecurity ha assunto una rilevanza ed una dimensione che vanno ben al di là dei confini dell’UE, obbligando tutti gli attori di mercato ad iniziare a ragionare in un’ottica di integrazione delle relative esigenze in tutti i processi di business.
La Commissione collaborerà a stretto contatto con le autorità nazionali per la protezione dei dati personali per assicurare l’applicazione uniforme delle nuove regole. Durante il biennio di transizione, la Commissione informerà i cittadini sui loro diritti e le aziende sui loro obblighi.
Riforma Europea sulla protezione dei dati personali: accordo finalmente raggiunto
A seguito dei lunghi negoziati svolti tra le istituzioni coinvolte, il Parlamento Europeo ed il Consiglio hanno finalmente trovato un accordo sul testo dell’atteso Regolamento Europeo
Il 15 dicembre 2015, a seguito dei negoziati finali condotti dalle tre istituzioni (il c.d. “trilogo”), il Parlamento Europeo ed il Consiglio hanno trovato un accordo sul testo della proposta di riforma in materia di protezione dei dati personali avanzata dalla Commissione nel 2012. La nuova e tanto a lungo attesa normativa porrà fine al mosaico di norme sulla protezione dei dati attualmente esistente in Europa, permettendo ai cittadini di acquisire maggior fiducia nel trattamento dei propri dati.
Nel contempo, grazie a norme attualizzate e unificate le imprese potranno sfruttare al meglio le possibilità offerte dal mercato unico digitale, sgravandosi di oneri burocratici e godendo della maggiore fiducia dei consumatori.
A seguito dell’accordo politico raggiunto dal trilogo, il testo finale verrà formalmente adottato dal Parlamento Europeo e dal Consiglio all’inizio del 2016. Le nuove regole saranno applicabili nei due anni successivi.
Delibere AGCOM: maggiore trasparenza dagli ECS e più garanzie per i contratti a distanza
L’AGCOM rafforza le tutele offerte agli utenti di servizi di comunicazione elettronica, adottando misure finalizzate ad una maggiore consapevolezza e libertà nella scelta del proprio operatore, ma anche limitando il pericolo di attivazioni non richieste. Vengono inoltre definiti precisi obblighi informativi in capo agli operatori, in particolare nel caso di contratti conclusi a distanza o fuori dai locali commerciali. L’Autorità per le Garanzie nelle Comunicazioni (“AGCOM”), ha rafforzato le tutele offerte agli utenti di servizi di comunicazioni elettroniche.
Checks on the authenticity of coins: Garante says yes.
Green light by the Italian Data Protection Authority (the “Garante”) to the draft decree of the Italian Ministry of Economy and Finance governing the regulation concerning the authenticity of coins and their fitness for circulation. The draft decree submitted to Garante’s approval implements the Regulation UE no. 1210/2010 by means of which, among other, cash handlers (“gestori del contante”) has been charged with the task of verifying the integrity and preservation of coins in order to identify the ones false and/or the ones unfit for circulation.	Marzo 2015
The use of new technologies to geo-localize the smartphones
By means of the recent resolution n. 32/2015, the Italian DPA has authorized the use of new technologies aimed at geo-localizing people missing in the mountains, in order to make much more efficient and precise the rescue operations. More in detail, the Corpo Nazionale Soccorso Alpino e Speleologico (Cnsas) has brought to the attention of the Italian DPA two new systems, which will transmit the geo-localization data of the missing people’s smartphones to the Cnas’ operations centre, without both the intervention of a telephone operator and the consent of the people to be helped. The geo-localization will occur only after the formal activation of the researches by the emergency units.	Marzo 2015
Inspection activities in 2014: the amount of sanctions rises to 5 million Euro
The amount of the sanctions imposed by the Italian Data Protection Authority showed an increase of nearly one million compared to 2013 (20% more). The sanctions applied to public entities and private companies mainly concerned privacy violations for failure to adopt the needed security measures, omission or lack of information and unlawful data processing. More in detail, the Garante carried out 385 inspections on-the-spot, notified 577 administrative violations and deferred 39 procedures to the Judicial Authority.	prev
Francesca Bonino	Paolo Gallarati	Carlo Grignani	Rocco Panetta	﻿

References: Articolo 29
 Articolo 29
 Articolo 29
 Articolo 29
 Articolo 29
 sentenza 
 sentenza 
 Sentenza 
 Articolo 29
 sentenza