Source: http://marcellopolacchini.postilla.it/2011/08/13/ma-la-privacy-riguarda-ancora-le-imprese/
Timestamp: 2018-10-19 10:47:19+00:00
Document Index: 48286738

Matched Legal Cases: ['art. 6', 'art. 6', 'art 5', 'art. 34', 'art. 13', 'art. 130', 'art. 5', 'art. 24', 'art. 34', 'art. 29', 'art. 47', 'art. 29', 'art. 31', 'art. 34', 'art. 13', 'art. 30', 'art. 29', 'art. 5', 'art. 24', 'art. 24', 'art. 11', 'art. 7', 'art. 24', 'art. 7', 'art. 24', 'art. 40', 'art. 40', 'art. 24', 'art. 4', 'art. 4', 'art. 38', 'art. 114', 'art. 4', 'art. 11', 'art. 11']

Ma la privacy riguarda ancora le imprese? - Il Blog di Marcello Polacchini
Postilla » Impresa » Il Blog di Marcello Polacchini » Privacy » Ma la privacy riguarda ancora le imprese?
E’ questa la domanda che mi viene spesso fatta dai miei clienti (e che mi faccio io stesso), dopo che con la legge 12 luglio 2011, n. 106 di conversione del D.L. 13 maggio 2011 n. 70 (il c.d. Decreto Sviluppo), il quale all’art. 6, comma 2, introduce importanti modifiche al Codice della privacy con l’intento, dichiarato, di ridurre gli oneri derivanti dalla normativa vigente e gravanti in particolare sulle piccole e medie imprese con struttura amministrativa snella.
Questa semplificazione degli adempimenti in materia di privacy a favore delle imprese, tuttavia, ha suscitato una molteplicità di dubbi interpretativi e un acceso dibattito tra gli operatori del settore.
Proviamo a mettere un po’ di ordine.
Le modifiche, in vigore già dal 14 maggio scorso, perseguono l’obiettivo (dichiarato nel comma 1 dell’art. 6) di riallineare la disciplina italiana della privacy alla Direttiva comunitaria di riferimento (Direttiva 95/46/CE “relativa alla tutela delle persone fisiche con riguardo al trattamento di dati personali, nonché alla libera circolazione di tali dati”) e di ridurre così gli oneri burocratici imposti dal nostro legislatore, in particolare, sulle piccole e medie imprese.
Perciò all’art 5 del Codice è aggiunto il comma 3-bis secondo il quale “il trattamento dei dati personali relativi a persone giuridiche, imprese, enti o associazioni effettuato nell’ambito dei rapporti intercorrenti esclusivamente tra i medesimi soggetti per le finalità amministrativo-contabili, non è soggetto all’applicazione del presente codice”.
In sostanza, i presupposti per la non applicazione del Codice sono che il trattamento dei dati personali:
– riguardi dati relativi a persone giuridiche (cioè imprese, enti, associazioni);
– sia effettuato nell’ambito di rapporti intercorrenti tra tali soggetti;
– sia effettuato per finalità amministrativo-contabili.
Il Decreto Sviluppo dà quindi una definizione dei trattamenti effettuati per finalità amministrativo-contabili, introducendo all’art. 34 il comma 1-ter che li individua in quelli “… connessi allo svolgimento di attività di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati. In particolare includono tutte quelle attività organizzative interne all’impresa, funzionali all’adempimento di obblighi contrattuali e precontrattuali…”
Si tratta di una definizione di carattere generale, che rispetto a quanto già indicato in via esemplificativa nel Provvedimento del Garante 19 giugno 2008 di semplificazione, chiarisce meglio il significato della nozione di “trattamento effettuato per fini amministrativo-contabili”, ricollegandolo a tutte quelle attività organizzative, amministrative, finanziarie e contabili realizzate dall’impresa per adempiere a esigenze organizzative interne e a obblighi pre-contrattuali, contrattuali o di legge nella gestione dell’impresa.
Il nuovo comma 1-ter precisa, poi, che, in particolare perseguono finalità amministrativo-contabili, le attività d’impresa funzionali “alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilità e all’applicazione delle norme in materia fiscale, sindacale, previdenziale-assistenziale, di salute, igiene e sicurezza sul lavoro”.
A una prima lettura sembrerebbe, quindi, che adesso le imprese che non si rivolgono con la propria attività direttamente al consumatore ma operano esclusivamente con altre imprese, possono non dover più sottostare agli adempimenti relativi al trattamento dei dati dei propri fornitori e clienti, cadendo sia l’obbligo di dare l’informativa ex art. 13 del Codice, sia gli obblighi di applicazione delle misure minime di sicurezza (compresa la redazione del DPS). Pertanto il Codice della privacy rimane uno strumento destinato solo alla protezione della sfera privata della vita degli individui, persone fisiche. Si tratta di un’esenzione di carattere generale che però, a mio avviso, riduce e snatura la rilevanza della nozione stessa di “riservatezza”.
Mi sembra ovvio, però, che l’esclusione dell’applicazione delle disposizioni del Codice non può essere estesa a tutti quei casi in cui i dati dei clienti o fornitori siano oggetto di trattamento per finalità commerciali, pubblicitarie e promozionali (come ad esempio nei casi d’invio di materiale pubblicitario o comunicazioni pubblicitarie, vendita diretta, compimento di sondaggi o ricerche di mercato, utilizzo di webcam in luoghi pubblici). Inoltre l’esenzione non si applica ai casi di selezione del personale per conto terzi, di analisi delle abitudini o delle scelte di consumo di terzi (salvo non vi sia uno specifico accordo con l’interessato), di valutazione o monitoraggio circa la solvibilità economica, la situazione patrimoniale o il corretto adempimento di obbligazioni da parte di soggetti terzi rispetto alle proprie controparti commerciali.
Riguardo alle attività promozionali e pubblicitarie, però, bisogna distinguere il “marketing diretto”, che consiste nell’invio non sollecitato di comunicazioni o materiali pubblicitari (le cd. comunicazioni indesiderate di cui all’art. 130 del Codice), dal “marketing contrattuale”, che invece consiste nella promozione di beni o servizi concordata preventivamente ed espressamente tra l’impresa e i propri clienti. Mentre la prima tipologia di marketing è esclusa dalla nozione di attività svolte per fini amministrativo-contabili, la seconda può rientrarvi, essendo posta in essere espressamente in esecuzione di un contratto e previa acquisizione di un consenso informato dell’interessato.
In definitiva, mi sembra che chi trarrà beneficio dalle semplificazioni introdotte dal Decreto Sviluppo saranno solamente quelle piccole attività d’impresa che compiono trattamenti riconducibili esclusivamente alla tenuta contabile e all’adempimento contrattuale.
Ma il Decreto Sviluppo aggiunge anche un nuovo comma 3-bis all’art. 5 del Codice, con il quale esclude dall’ambito di applicazione del Codice della privacy i trattamenti dei dati relativi a persone giuridiche, imprese, enti o associazioni effettuati esclusivamente tra i medesimi soggetti (il cd. Business to Business o B2B), per finalità amministrativo-contabili.
La finalità della norma è di eliminare gli oneri burocratici derivanti dai trattamenti che non presentano rischi specifici per la privacy degli interessati, poiché riguardano gli ordinari rapporti di natura economica tra imprese, rispetto ai quali non vi sono esigenze di tutela delle informazioni trattate.
Le condizioni per l’applicazione di questa deroga all’applicazione del Codice sono che:
– il trattamento deve essere effettuato esclusivamente nell’ambito di rapporti intercorrenti tra persone giuridiche, imprese, enti o associazioni.
– i dati oggetto di trattamento devono essere relativi alla persona giuridica, impresa, ente o associazione;
– il trattamento deve essere effettuato per finalità amministrativo-contabili.
Il Codice della privacy continua invece ad applicarsi nei casi in cui:
– il titolare del trattamento o l’interessato è una persona fisica;
– il trattamento, anche se viene fatto nell’ambito di rapporti B2B, persegue finalità diverse da quelle amministrativo-contabili (come nel caso di trattamenti che possono presentare particolari rischi per la privacy, come ad esempio il marketing diretto, i sondaggi e le ricerche di mercato).
Perciò questa deroga all’applicazione del Codice non riguarda qualsiasi attività o trattamento di dati realizzati dalle imprese, ma riguarda esclusivamente gli ordinari rapporti commerciali tra imprese, nell’ambito dei quali non sono più necessari gli obblighi di informativa e consenso, le eventuali nomine dei responsabili del trattamento e l’adozione di tutte le misure minime di sicurezza.
Il Decreto Sviluppo inserisce poi nell’art. 24 del Codice una nuova ipotesi di esonero dal consenso che riguarda le comunicazioni di dati personali non sensibili, effettuate per finalità amministrativo-contabili, tra società, enti o associazioni con società controllanti, controllate o collegate o sottoposte a comune controllo, nonché tra consorzi, reti di imprese, raggruppamenti e associazioni temporanee di imprese con i loro aderenti. Questa nuova disposizione semplifica gli adempimenti connessi alla circolazione delle informazioni non sensibili nell’ambito di gruppi di imprese o di altre forme di organizzazione congiunta dell’attività d’impresa previste dall’ordinamento per esigenze organizzative o gestionali interne, escludendo in questi casi la necessità del consenso dei soggetti ai quali si riferiscono i dati scambiati.
Per beneficiare dell’esonero dal consenso, il titolare del trattamento e il destinatario della comunicazione devono essere necessariamente società, imprese, enti o associazioni, mentre l’interessato può essere sia una persona fisica che una persona giuridica, purchè diversa dai soggetti tra cui avviene la comunicazione.
Un altro punto molto importante è poi la modifica del comma 1-bis dell’art. 34 del Codice (introdotto dall’art. 29 del D.L. n. 112/2008, convertito dalla legge n. 133/2008), che disciplina l’autocertificazione sostitutiva del DPS.
Il nuovo comma 1-bis estende in via generalizzata l’ambito oggettivo di applicazione dell’autocertificazione sostitutiva del DPS ai trattamenti con strumenti elettronici di qualsiasi tipologia di dati, comuni, sensibili e giudiziari, connessi alla gestione del rapporto di lavoro.
In particolare, possono avvalersi dell’autocertificazione i soggetti che, oltre a trattare dati personali comuni, trattano come unici dati sensibili e giudiziari quelli relativi ai propri dipendenti e collaboratori, anche extracomunitari, nonché quelli relativi ai loro coniugi e parenti.
Questa autocertificazione deve essere fatta una tantum dal titolare del trattamento, ai sensi dell’art. 47 del D.P.R. n. 445/2000 (T.U. in materia di documentazione amministrativa) e deve attestare che egli tratta dati personali comuni e soltanto i dati sensibili e giudiziari connessi alla gestione del rapporto di lavoro, in osservanza delle misure minime di sicurezza previste dal Codice della privacy e dal Disciplinare Tecnico ad esso allegato.
E’ da notare che, a differenza della disposizione dell’art. 29 del D.L. n. 112/2008, che richiedeva genericamente l’osservanza delle “altre misure di sicurezza prescritte”, lasciando intendere che l’attestazione dovesse riguardare l’adozione di tutte le misure di sicurezza richiamate dall’art. 31 del Codice (le cd. misure idonee), il nuovo comma 1-bis circoscrive il contenuto dell’autocertificazione alle sole misure minime di sicurezza elencate tassativamente dall’art. 34, garantendo così maggiori certezze alle imprese rispetto al rischio di essere esposte a responsabilità penale per false dichiarazioni.
Dalla lettura della norma, sembrerebbe pertanto che rimanga soggetto all’obbligo di redazione del DPS soltanto chi tratta dati sensibili e/o giudiziari non riguardanti i propri dipendenti.
C’è però da fare un’importante considerazione, e cioè che l’esenzione dalla redazione del DPS prevista per i soggetti che trattano come unici dati sensibili e giudiziari quelli relativi ai propri dipendenti e collaboratori, non esime gli stessi soggetti dagli adempimenti più rilevanti ai fini della corretta applicazione del Codice della privacy.
Mi riferisco in particolare agli obblighi di:
– fornire l’informativa prevista dall’art. 13 del Codice;
– raccogliere il consenso degli interessati, quando è necessario (cioè al di fuori dei casi di esclusione previsti dagli artt. 24 e 26);
– nominare per iscritto gi incaricati del trattamento, cioè le persone fisiche autorizzate al trattamento dei dati, definendo l’ambito di operatività degli stessi e fornendo loro le istruzioni per la gestione dei dati che gli vengono affidati (art. 30);
– nominare per iscritto gli eventuali responsabili del trattamento, eventualmente anche esterni (art. 29);
– adottare tutte le misure minime di sicurezza previste dagli artt. 33, 34 e 35 del Codice e dal Disciplinare Tecnico ad esso allegato (ad eccezione del DPS);
– assolvere agli obblighi derivati dal provvedimento del Garante sull’individuazione degli amministratori di sistema;
– assolvere agli obblighi derivati dal provvedimento del Garante sulla videosorveglianza.
Perciò appare del tutto evidente che l’individuazione delle misure di sicurezza e la gestione delle procedure di sicurezza aziendali, indipendentemente dalla redazione del DPS, implicano una conoscenza della normativa sulla tutela della privacy e l’adozione di policy aziendali che non sono finalizzate esclusivamente all’applicazione di una disposizione di legge, ma servono soprattutto a tutelare il titolare del trattamento dalle conseguenze di una scorretta gestione dei dati personali e da possibili richieste di risarcimento danni per trattamenti dei dati non conformi alla legge.
Ne consegue – a mio avviso – che il titolare del trattamento consapevole dei rischi che una non corretta gestione dei dati comporta, dovrebbe continuare a considerare con estrema attenzione la normativa sulla protezione del trattamento dei dati personali, anche nel caso in cui non fosse effettivamente tenuto a redigere il proprio DPS.
Insomma… la privacy per le imprese non è stata cancellata!
Concludo questo mio lungo intervento ribadendo che l’unica interpretazione “autentica” sull’impatto del Decreto Sviluppo sulla gestione della privacy nelle imprese la potrà dare solo il Garante per la privacy.
Infine, pur apprezzando l’intento del legislatore di ridurre gli oneri burocratici gravanti sulle piccole e medie imprese, ritengo che alcune delle novità introdotte, quali l’esclusione dell’applicazione del Codice ai trattamenti per finalità amministrativo-contabili e il venir meno dell’obbligo di applicare le misure minime di sicurezza, rappresentino una netta regressione del sistema di tutela di un bene delicato come la privacy. Inoltre mi domando come si coordineranno queste nuove norme con la sussistenza di altri principi generali del nostro ordinamento giuridico che garantiscono la tutela della riservatezza, anche con la previsione di fattispecie penali. Vedremo gli sviluppi…
Letture: 11394 | Commenti: 15 |
15 Commenti a “Ma la privacy riguarda ancora le imprese?”
Scritto il 24-8-2011 alle ore 16:18
Complimenti Marcello sei stato chiaro ed esaustivo.
Mi sono posto una domanda e te ne vorrei fare partecipe. Stante il fatto che la normativa è entrata in vigore il 14 maggio come mai non si è ritenuto opportuno da parte dell’Autority emanando le autorizzazioni generali prenderne atto e magari modificarle? come vedi ti riporto l’art. 5 dell’autorizzazione generale n 1 che econdo me e da quanto letto anche secondo te meritava piu’ attenzione 5) Modalità di trattamento.
Buon lavoro Giulio
Scritto il 25-8-2011 alle ore 19:20
Ti ringrazio Giulio.
Si sarà trattato sicuramente di una “svista”….
Piuttosto…. mi preoccupa l’imbarazzante silenzio del Garante su tutta questa vicenda.
Mi sembra che dopo blande rimostranze verbali nell’ambito di un’audizione, l’Authority per la privacy abbia scelto il SILENZIO totale.
Si…. forse è davveo la fine della privacy nell’ambito dei rapporti tra persone giuridiche!
Torno sott’acqua!!!
Scritto il 30-8-2011 alle ore 21:19
complimenti per lo scritto!
mette luce su molti punti bui
però l’intento del legislatore mi sembra meno nobile e alto!
mossa parzialmente liberatoria con ancora dubbi e possibilità al controllore di dettare indicazioni
Scritto il 1-9-2011 alle ore 14:54
ti sottopongo un quesito al quale non ho ancora saputo darmi risposta nonostante l’attenta analisi della normativa vigente.
Da alcuni mesi siamo in regime di opt out e ció comporta il venir meno dell’informativa semplifcata per quanto riguarda i dati inerenti alle persone giuridiche.
Il mio problema è che la mia societá prende i dati dal DATA BASE UNICO, e, per quanto riguarda i dati aziendali effettua alcune integrazioni non reperibili sul DBU (es. categoria merceologica, fascia fatturato, P.I. etc…);
La domanda è la seguente: se viene meno l’informativa sui quotidiani a tiratura nazionale come bisogna comportarsi con le integrazioni?
Scritto il 1-9-2011 alle ore 17:57
Salve Roberto, il DBU (Elenco Telefonico Generale, o archivio elettronico generale), comprende i numeri telefonici e i dati identificativi dei clienti di tutti gli operatori nazionali di telefonia fissa e mobile che hanno espresso il consenso ad essere inseriti nel Data Base Unico e all’utilizzo dei propri dati per varie finalità, come la pubblicazione in elenchi e servizi di informazione, ricerca derivata, invio di pubblicità.
Cercando di ricostruire quanto previsto dalle norme vigenti, ai sensi dell’art. 24 comma 1, lettera c) del Codice, gli operatori possono utilizzare, senza acquisire il consenso del soggetto interessato, numerazioni provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque anche per finalità di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati.
Tra i limiti e le modalità previsti dall’art. 24, comma 1, lettera c) del Codice c’è il vincolo di finalità, in base al quale i dati sono raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altri trattamenti in termini compatibili con tali scopi (art. 11, comma 1, lettera b) del Codice), pertanto il trattamento è consentito solo ove la specifica disciplina di riferimento abbia espressamente previsto l’attività di comunicazione telefonica di cui all’art. 7, comma 4, lettera b), ovvero tali comunicazioni risultino direttamente funzionali all’attività svolta dall’interessato, che è posta alla base dell’inserimento del dato telefonico nei pubblici registri, elenchi, atti o documenti conoscibili da chiunque di cui all’art. 24 del Codice, e sempreché non vi sia stata o sia manifestata opposizione al trattamento.
Al di fuori dei casi sopra indicati (dati estratti da elenchi telefonici o provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque) il trattamento per le finalità di cui all’art. 7, comma 4, lettera b) del Codice di dati contenuti in banche dati comunque formate è consentito solamente nel rispetto dei principi generali del Codice e quindi solo previo rilascio di un’idonea informativa e l’acquisizione dello specifico consenso (ai sensi degli articoli 13 e 23 del Codice).
Scritto il 3-2-2012 alle ore 23:58
Buonasera Marcello, sono un semplice privato che da un pò mesi sta cercando di capire come funziona la normativa sulla privacy. E ora le spiego perchè, chiedendole cortesemente dei suggerimenti. Io sto costruendo un sito sul quale vorrei creare una directory inserendo alcuni dati essenziali (ragione sociale e indirizzo sede legale) di una certa categoria di imprese del Piemonte. Chiedendomi se dovessi avere il consenso dei titolari di queste imprese ho iniziato ad informarmi. Ho addirittura chiamato all’URP del Garanta per la privacy ma non mi hanno saputo dare una risposta definitva. A questo punto formulo la mia prima domanda: per la pubblicazione sul mio sito di questi due dati (ragione sociale ed indirizzo) devo chiedere il consenso ai titolari?
Premesso che ho letto e cercato di capire le norme sulla privacy, ho visto che non è necessario il consenso per “dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque” come cita la lettera c) dell’art. 24 del Codice. A questo punto ecco la mia seconda domanda: il sito http://www.infoimprese.it, sito delle camere di commercio che mette a disposizione dati sulle imprese registrate al sistema camerale, può essere considerato un pubblico registro?
A proposito del Codice, devo dire che trovo poco semplice la redazione dell’informativa, sia perchè ci vuole un pò di tecnicismo sia perchè è grande la paura di non redigerla in modo idoneo, come vorrebbe la legge.
Tornando al mio caso, se dovessi essere costretto a chiedere il consenso alle aziende, crede che possa essere sufficiente un contatto telefonico o mi devo far rilasciare per forza un consenso scritto e firmato? A questo proposito il consenso e la lettura dell’informativa potrebbe avvenire online?
Chiedo scusa per tutti questi interrogativi ma dal momento che non ho ricevuto un’adeguata risposta nemmeno da parte del Garante stesso, mi vedo costretto a ricorrere al web per poter colmare tutte queste lacune anche perchè, io semplice cittadino, devo confessare che non mi posso permettere di pagare un esperto che mi indichi la strada giusta da percorrere.
Ringraziandola infinitamente per la sua gentile attenzione la saluto cordialmente.
Scritto il 4-2-2012 alle ore 13:41
E’ molto strano che l’URP del Garante non le abbia saputo dare alcuna indicazione…
Ad ogni modo la questione che lei pone mi sembra superata, in quanto un piccolo comma inserito nell’art. 40 del D.L. 6 dicembre 2011 n. 201 (il cd. “Decreto Salva Italia” del governo Monti), convertito nella Legge 22 dicembre 2011, n. 214, ha fatto una piccola “grande rivoluzione” nella disciplina della privacy nel nostro Paese.
La lettera a) del comma 2 dell’art. 40 recita testualmente:
“ all’articolo 4, comma 1, alla lettera b), le parole “persona giuridica, ente od associazione” sono soppresse e le parole “identificati o identificabili” sono sostituite dalle parole “identificata o identificabile”….”
Decifrando il complicato linguaggio giuridico (ma quando mai il legislatore italiano si deciderà ad eliminare questi incomprensibili richiami ad altri testi di legge?!) questo significa che d’ora in poi la tutela della privacy riguarda solamente le persone fisiche.
Perciò in pratica, d’ora in avanti si possono trattare i dati di persone giuridiche, enti e associazioni, pubblici e privati, senza dover chiedere il loro consenso (a maggior ragione se questi dati sono “provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque” come prevede la lettera c) dell’art. 24 del D.Lgs. 196/03.
Sarei molto curioso di sapere che cosa le ha risposto l’URP del Garante…..
http://marcellopolacchini.postilla.it/2011/12/12/novita-anche-per-la-privacy-nel-decreto-monti/
http://marcellopolacchini.postilla.it/2011/12/27/la-privacy-dopo-il-decreto-monti-cosa-e-cambiato/#more-220
Scritto il 6-2-2012 alle ore 21:02
Grazie mille per la risposta, la terrò bene a mente…………comunque la persona dell’URP che mi aveva risposto mi diceva in sostanza che il Garante si trovava in una fase di analisi per capire, dopo le novità introdotte con i decreti, quali interpretazioni dovevano essere date a queste novità. L’addetto però era anche molto “legalese” nel parlare. Io, comunque considererò le sue indicazioni. Ho controllato il Codice ed è aggiornato con l’ultimo decreto di dicembre. Un paio di settimane fa non lo era ancora, forse era un periodo in cui il Garante non si era ancora deciso ad apportare le modifiche. Ad ogni modo grazie ancora per tutto.
Scritto il 7-2-2012 alle ore 10:33
Pablo…. mi fa piacere di essere più veloce del Garante!! ahahahah
Scritto il 7-2-2012 alle ore 18:06
Salve Marcello, mi è venuta una curiosità. Mi conferma che ai sensi del codice sulla privacy, per “imprese” si intedono solo le società, e quindi vengono esclusi le imprese individuali e i lavoratori autonomi? Se così fosse, sarei costretto a chiedere il consenso del trattamento dei dati personali di questi ultimi soggetti? Cordialità.
Scritto il 8-2-2012 alle ore 18:10
Pablo il termine “imprese” ha un significato generico e significa “aziende”.
Per la privacy i termini corretti da usare sono: persone fisiche e persone giuridiche.
Dopo il decreto Monti del dicembre scorso, a seguito della modifica della letera b) del comma 1 dell’art. 4 del D.Lgs. 196/03, il Codice della privacy si applica solo al trattamento dei dati personali (e identificativi) delle “persone fisiche”, cioè cittadini, lavoratori autonomi, imprese individuali.
Sono esclusi dall’applicazione i trattamenti di dati delle società di persone e di capitali, degli enti e delle associazioni.
Scritto il 9-2-2012 alle ore 08:00
allegato al post n 289 sono sempre alessia. ho seguito il suo consiglio e ieri mi sono rivolta ad un avvocato che mi ha scritto una lettere dicendomi che il mio datore di lavoro aveva tempo 60 giorni x denunciarmi e’ vero? puo portare le immagini che lui dice di aver visto e di avere ancora davanti a un giudice se dovesse proseguire la causa? ringrazio
Scritto il 9-2-2012 alle ore 12:04
Alessia, non entro nel merito del termine entro il quale il suo datore di lavoro avrebbe dovuto denunciare il preteso furto. Le ha già risposto il suo avvocato.
Per quanto riguarda le videoriprese, le ribadisco che in base al provv. gen. del Garante privacy dell’8 aprile 2010 sulla videosorveglianza, le immagini registrate non possono essere conservate oltre 24 ore.
Inoltre, le immagini riprese nell’ambiente di lavoro all’insaputa dei dipendenti e senza aver seguito la procedura di garanzia prevista dall’art. 4, comma 2, della L. n. 300/1970 costituiscono un trattamento illegittimo di dati personali e integrano il reato penale di cui all’art. 38 L. n. 300/1970 (v. art. 114 D.Lgs. n. 196/2003 che richiama l’art. 4 della L. n. 300/1970).
Va poi ricoordato anche l’art. 11 comma 1, lettera e, del Codice della privacy, che stabilisce che i dati personali possono essere “conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati”. Pertanto, la conservazione delle immagini videoregistrate per un periodo di tempo superiore a quello necessario al suo ex datore di lavoro per verificare se fosse stato commesso un furto è un “trattamento di dati illegittimo. La conseguenza è che una prova che comporti il trattamento di dati personali fatto in violazione delle norme del Codice della privacy (in particolare in violazione dell’ art. 11) è una “prova illecita” e ,come tale,non dovrebbe essere assunta in un processo penale e, se assunta, andrebbe eliminata dal processo.
Si tratta in ogni caso di una tematica molto complessa e delicata, che ha risvolti diversi nell’ambito del processo civile e di quello penale, perciò andrebbe approfondita con un avvocato.
Scritto il 18-12-2012 alle ore 11:38
interessante leggere,nel mio caso, o rileggere questo articolo a posteriori e dopo l’intervento del Garante in materia…….
Io ,ovviamente,sottoscrivo in toto tutti gli argomenti e considerazioni svolte. Mi interessebbe magari farci qualche ulteriore considerazione oggi ad un anno e mezzo dall’entrata in vigore delle recenti modifiche di legge. Che ne dice ?
Scritto il 18-12-2012 alle ore 18:52
Livio credo che siamo in una fase di stand by.
Il Governo è caduto, ci saranno le elezioni e il nuovo Regolamento UE si farà attendere per almeno un altro anno…. il rischio è che la privacy finisca nel dimenticatoio.