Source: http://www.patriziameo.it/privacy/category/privacy/
Timestamp: 2020-07-13 00:57:10+00:00
Document Index: 121915796

Matched Legal Cases: ['art. 162', 'art. 33', 'art. 162', 'art. 154', 'art. 164', 'art.2', 'art.5', 'art. 4']

Privacy – PatriziaMeo Consulente Privacy e DPO
Sanzione per data breach ad un istituto bancario
La banca si avvale di una società terza per la gestione delle pratiche di finanziamento per la cessione del quinto dello stipendio.
Utilizzando le credenziali di accesso dei dipendenti autorizzati di questa terza parte, ignoti – profittando di una vulnerabilità dell’applicativo di gestione delle pratiche – effettuano accessi abusivi a quelle di oltre 760 mila clienti, relative a istanze di finanziamento sia per cessione del quinto sia per credito al consumo. Gli accessi abusivi avevano riguardato una molteplicità di informazioni (dati anagrafici e di contatto, professione, livello di studio, estremi identificativi di un documento di riconoscimento e informazioni relative a datore di lavoro, salario, importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e codice Iban).
Violazione delle misure minime di sicurezza
L’accertamento ispettivo e l’istruttoria evidenziano che l’esfiltrazione dei dati personali dei clienti da parte di ignoti malintenzionati era stata resa possibile grazie a «un’errata progettazione del sistema di autorizzazione dell’applicativo» di gestione delle pratiche di finanziamento. A causa di ciò, «gli operatori potevano accedere a una qualsiasi pratica di finanziamento (sia di “prestito al consumo” che di “cessione del quinto dello stipendio”) (…) indipendentemente dal profilo di autorizzazione a loro attribuito». In tal modo la banca si è resa responsabile della carente adozione di un adeguato sistema di autorizzazione come previsto dal disciplinare tecnico, allegato B) al codice privacy (regole 12 e 13).
Sulla base delle violazioni riscontrate, l’Autorità ha irrogato la sanzione pecuniaria complessiva di 600.000 euro calcolata come segue:
euro 120.000 per la violazione delle misure minime di sicurezza (art. 162.2, in relazione all’art. 33)
euro 180.000 per le trasgressioni relative al provvedimento 192/2011 [art. 162.2-ter, in relazione all’art. 154.1, lett. c)]
euro 300.000 in applicazione dell’art. 164-bis.2, considerato l’ingente numero di interessati coinvolti.
Webinar privacy – 22 luglio 2020
Eventi, Formazione, Privacy, Pubblica amministrazione, Regolamento Europeo
Servizi sociali e scuola nell’emergenza COVID.
Sicurezza e trattamento dei dati.
Evento organizzato dall’Associazione Comuni Bresciani
Ora: 10.00 – 12.00
Le iscrizioni vanno formalizzate entro il 15/07/20 tramite il portale: www.associazionecomunibresciani.eu/elenco-corsi/
Mario Mazzeo, Avvocato in Roma e D.P.O.
Patrizia Meo, consulente privacy e D.P.O.
Privacy: concetti e principi fondamentali
La privacy al tempo del Covid: le semplificazioni in materia di trattamento dati personali
Servizi sociali e privacy: contattare e aiutare gli utenti, le cautele nel trattamento dei dati relativi alla salute e le sovvenzioni economiche
La privacy a scuola: Covid, lezioni a distanza e sicurezza
Data Breach al San Raffaele. Obbligo di notifica
Attacco hacker all’ospedale “San Raffaele” di Milano, nonostante i tentativi dell’ospedale di minimizzare l’accaduto.
L’accaduto è stato divulgato attraverso un tweet degli hacker di LulzSec Ita, che ha apportato anche prove dell’accaduto, con un dump dei dati di utenti e pazienti dell’ospedale. La domanda fatta da parte del collettivo hacker: “avete comunicato al Garante il databreach di due mesi fa?”.
I dump rivelati da Anonymous Italia e LulzSec Ita, però, sembrerebbero contenere non soltanto indirizzi e-mail e password di alcuni operatori sanitari, 2.400 indirizzi email accompagnati dalle relative password appartenenti ai sanitari e un elenco di nomi, cognomi, date di nascita, codice fiscale, nazionalità e comune di residenza di oltre 600 pazienti. Tra queste la password di Roberto Burioni: è nome.cognome.
Purtroppo, l’ospedale non ha comunicato all’Autorità Garante Privacy l’accaduto, né secondo gli hacker avrebbe chiuso le falle. Tanto che l’ospedale stesso nega di dover intervenire e che sia un data breach. In primo momento, avevano comunicato che i dati riguardavano una app “dismessa da anni e circoscritta” e dunque la sottrazione delle informazioni era limitata a password e utenze non più in uso. La stessa nota ufficiale aveva categoricamente escluso che “dati sensibili” erano stati oggetto di accesso abusivo o sottrazione.
Webinar privacy – 2 incontri con Associazione Comuni Bresciani
Covid19, Eventi, Formazione, Privacy, Pubblica amministrazione, Regolamento Europeo
1. Misurazione della temperatura, test sierologici
2. Smartworking: essere smart al tempo del Covid19
Ora: 15.00 – 16.00
Le iscrizioni vanno formalizzate tramite il portale: www.associazionecomunibresciani.eu/elenco-corsi/
Live webinar: contenuti degli incontri
Misurazione della temperatura, test sierologici e App, cosa fare in pratica.
La tutela dei dati e l’emergenza Covid
Le indicazione del Garante Privacy
Smartworking: essere smart al tempo del Covid19.
Cos’è lo smarworking;
Tutela della privacy e controllo del dipendente;
Le misure di sicurezza e utilizzo degli strumenti per l’esecuzione della prestazione lavorativa;
Linee guida Agid per lavorare in sicurezza.
Organismo di Vigilanza 231, qualifica ai fini privacy
Il 12 maggio, il Garante per la protezione dei dati personali, su sollecitazione dell’Associazione dei Componenti degli Organismi di Vigilanza ex D.Lgs. 231/2001, ha espresso il suo parere sulla qualificazione soggettiva ai fini privacy degli OdV, definendo una questione controversa.
Il parere chiarisce che l’Organismo di Vigilanza (ODV) non può essere qualificato come titolare, considerato che i compiti di iniziativa e controllo propri dell’OdV non sono determinati dall’organismo stesso, bensì dalla legge che ne indica i compiti e dall’organo dirigente che nel modello di organizzazione e gestione definisce gli aspetti relativi al funzionamento compresa l’attribuzione delle risorse, i mezzi e le misure di sicurezza. Non può essere considereto neanche responsabile del trattamento,in quanto fa parte dello stesso ente, pertanto può essere considerato soggetto chiamato ad effettuare un trattamento “per conto del titolare”.
Sulla base di questa considerazioni, sia che i membri siano interni o esterni, l’ODV deve essere considerato parte dell’ente.
Il suo ruolo – che si esplica nell’esercizio dei compiti che gli sono attribuiti dalla legge, attraverso il riconoscimento di “autonomi poteri di iniziativa e controllo” – si svolge nell’ambito dell’organizzazione dell’ente, titolare del trattamento, che, attraverso la predisposizione dei modelli di organizzazione e di gestione, definisce il perimetro e le modalità di esercizio di tali compiti.
In merito al ruolo dei singoli membri che lo compongono, gli stessi saranno designati quali soggetti autorizzati al trattamento e dovranno attenersi alle istruzioni impartite dall’ente quale titolare, (artt.4, n.10,29,32 par.4Regolamento; v. anche art.2-quaterdecies del Codice).
Tali soggetti, in relazione al trattamento dei dati degli interessati, dovranno attenersi alle istruzioni impartite dal titolare affinché il trattamento avvenga in conformità ai principi stabiliti dall’art.5 del Regolamento. Lo stesso titolare sarà tenuto ad adottare le misure tecniche e organizzative idonee a garantire la protezione dei dati trattati, assicurando contestualmente all’OdV l’autonomia e l’indipendenza rispetto agli organi di gestione societaria nell’adempimento dei propri compiti secondo le modalità previste dalla citata normativa.
Faq del Garante Privacy nel mondo del lavoro
Covid19, Privacy, Regolamento Europeo
Tracciamento. Linee guida del Comitato Europeo
Covid19, Geolocalizzazione, Privacy, Regolamento Europeo, Sanità
Il Comitato Europeo per la protezione dei dati, ha pubblicato le Linee-guida 04/2020 sull’uso dei dati di localizzazione e degli strumenti per il tracciamento dei contatti nel contesto dell’emergenza legata al COVID-19 (versione in italiano sul sito del Garante Privacy).
Le linee guida ribadiscono che lo sviluppo delle app suscita “numerose preoccupazioni in materia di tutela della vita privata” e ribadisce che “il virus non conosce confini, appare preferibile sviluppare un approccio comune europeo in risposta alla crisi attuale, o almeno realizzare una cornice di interoperabilità”.
Il Comitato ribadisce e sottolinea quanto già espresso nella lettera di risposta alla Commissione europea (14 aprile), ossia che l’impiego di app per il tracciamento dei contatti dovrebbe avvenire su base volontaria e non comportare il tracciamento degli spostamenti individuali, facendo invece perno sulle informazioni di prossimità relative agli utenti. Per dati di ubicazione, utilizzare dati anonimi piuttosto che di dati personali.
È necessario tenere conto del rispetto dei principi generali di efficacia, necessità e proporzionalità che deve essere alla base delle misure adottate dagli Stati membri per combattere l’epidemia, e che comportano il trattamento di dati personali.
Il Comitato ha aggiunto che le “app non possano sostituire, ma solo supportare, il tracciamento manuale dei contatti effettuato da personale sanitario pubblico qualificato, che potrà stabilire con quale probabilità contatti ravvicinati diano luogo a una trasmissione del virus o meno (ad esempio, in caso di interazioni con una persona protetta da un adeguato equipaggiamento, come può avvenire ad esempio per un addetto alla cassa di un supermercato ecc.)”.
Inoltre, sottolinea che “le procedure e i processi, compresi gli algoritmi implementati dalle app per il tracciamento dei contatti, dovrebbero svolgersi sotto la stretta sorveglianza di personale qualificato al fine di limitare il verificarsi di falsi positivi e negativi. In particolare, le indicazioni fornite in merito ai passi da compiere successivamente alla ricezione di un alert non dovrebbero basarsi unicamente su un trattamento automatizzato”.
Uffici chiusi, esigenza di comunicare con i clienti, restare a casa. Per continuare a comunicare all’esterno, ci si è affidati all’uso di tecnologie e strumenti, portando l’ufficio a casa. Le azienda a seguito dell’emergenza del coronavirus, hanno utilizzato lo smart working, ovvero il lavoro agile.
Se da un lato, il ricorso a questa modalità di lavoro, implica un accordo tra dipendente e datore di lavoro, dall’altro comporta l’uso di dispositivi informatici, che vanno regolamentati e gestiti in maniera sicura, per garantire la sicurezza informatica aziendale. L’attivazione dello smart working è stata semplificata, ma il datore di lavoro dovrà in ogni caso riflettere su alcuni aspetti organizzativi, tra cui il fatto che i lavoratori in smart working tratteranno informazioni e dati di proprietà dell’azienda.
Nella fretta di attivare le postazioni da casa, in pochi si sono chiesti quali misure di sicurezza porre in essere e come dare la giusta attenzione alla sicurezza delle informazioni.
Aumentano i rischi informatici.
Il lavoratore si è trovato ad utilizzare strumenti informatici, come pc o smartphone, aziendali o sistemi personali. In alcuni casi, un pc condiviso in famiglia con i figli, che lo utilizzano per lezioni online.
Ma la domanda da porsi è questa: i dati aziendali sono al sicuro?
Le aziende che già adottavano un regime di smart working, presumibilmente avevano già implementato strumenti per rispondere pienamente a tutte le necessità di questa modalità lavorativa. Pertanto, per i dipendenti avrebbero dovuto predisporre l’utilizzo di dispositivi, con applicativi pronti per una fruizione remota, dispositivi telefonici virtuali (software) adeguati allo scopo, portali per la gestione del tempo lavorativo (rilevazione presenze, ecc.). Nel contempo dovrebbero aver definito regolamenti per l’utilizzo degli strumenti aziendali o misure di sicurezza tecniche.
Tra le criticità emerse per le aziende che non hanno pensato alle misure di sicurezza, possiamo pensare alle connessioni di rete (ADSL, WiFi, ecc.) per le quali non si sono modificati i parametri standard (incluse le password amministrative, disponibili con una semplice ricerca su Google). Oppure la mancanza di sistemi antivirus.
Lo smartworking, pone un altro problema, perchè questa modalità di lavoro aumenta il rischio di un ingresso del datore di lavoro nella vita personale del lavoratore. Pertanto, il datore di lavoro dovrà essere in grado di dimostrare come l’utilizzo delle tecnologie informatiche non rientra in un’attività di controllo del lavoratore. Non dimentichimo che l’art. 4 dello Statuto dei lavoratori, prevede al comma III la possibilità di raccogliere le informazioni mediante gli strumenti utilizzati per rendere la prestazione di lavoro e di poterne disporre per tutti i fini connessi al relativo rapporto, purché sia stata fornita adeguata informazione al lavoratore sulle modalità d’uso dei dispositivi stessi e sui possibili controlli, il tutto nel rispetto dei principi sanciti dalla normativa vigente in tema di privacy.
Se l’azienda decide di autorizzare il lavoratore a lavorare in questa modalità, occorre che fornisca ai dipendenti:
istruzioni operative sulle modalità di utilizzo degli strumenti di lavoro e sugli obblighi di riservatezza
se e quali strumenti di controllo ha attivato sui device forniti al dipendente
un’informativa sul trattamento dei dati per il dipendente in smartworking.
Potrebbe interessarti: Smart working: vademecum per lavorare online in sicurezza – AGID
Questo articolo fa parte della rubrica “Appunti privacy durante l’emergenza Covid19”
www.patriziameo.it o pagina FB www.facebook.com/patriziameoconsulenteprivacy/
Scrivi all’indirizzo mail: info@patriziameo.it
Covid19, Formazione, Privacy, Senza categoria
Nel rispetto delle disposizioni normative atte a ridurre la diffusione della pandemia da COVID 19 lo
studio Patrizia Meo da alcune settimane opera in modalità smart working con efficienza e
puntualità, nella volontà di continuare a essere vicino ai propri clienti.
La privacy, in tempi straordinari come questi, è piùche mai importante.
Consulenza, documentazione, formazione, qualunque sia la vostra esigenza non esitate a contattarci via mail: info@patriziameo.it
Studio Patrizia Meo