Source: https://www.alessandristudiolegale.com/2019/10/22/progettare-e-sviluppare-app-conformi-alla-normativa-sulla-protezione-dei-dati-personali/
Timestamp: 2020-02-22 01:23:36+00:00
Document Index: 74635313

Matched Legal Cases: ['art. 114', 'art.4', 'art. 4', 'art. 13', 'art. 4', 'art. 4']

PROGETTARE E SVILUPPARE APP CONFORMI ALLA NORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI. - Studio Legale Alessandri
Come espresso nella “Dichiarazione di Varsavia del 24 settembre 2013 (sulla c.d. “appificazione” della società) le applicazioni per dispositivi mobili (app) sono ormai onnipresenti negli smartphone e nei tablet, sulle auto, in casa e fuori casa. Sono inoltre sempre più numerosi gli oggetti che dispongono di interfacce-utente connesse ad Internet. Nel 2013 ammontavano ad oltre 6 milioni le app disponibili nel settore pubblico e privato, ed è un numero che è aumentato (ed aumenta ancora oggi) di oltre 30.000 unità al giorno.
Come noto le app, grazie anche al basso costo e al facile utilizzo, aiutano e vivacizzano molte delle attività che vengono svolte giornalmente; allo stesso tempo, le app raccolgono anche una grande mole di informazioni personali permettendo un monitoraggio digitale permanente, mentre gli utenti interessati spesso non ne hanno consapevolezza né ne conoscono i fini ultimi.
Tali app inoltre non sono spesso solo dirette ai clienti/interessati ma anche ai lavoratori dipendenti di queste PMI.
In ogni caso appare evidente la necessità di progettare e sviluppare le app in aderenza ai principi in materia di protezione dei dati personali (un esempio su tutti il principio di privacy by design) ed in materia giuslavoristica (in particolare sui controlli a distanza dei lavoratori).
Le app e le tipologie di dati personali più frequentemente da queste trattati.
La “creazione” di un’app può definirsi come uno sviluppo di applicazioni software per devices mobili che organizzano informazioni e dati fornendo all’utente determinate funzioni e servizi.
Tutto ciò implica che l’app può avere accesso e processare una notevole mole di dati anche personali presenti nel dispositivo. Tra i dati personali trattati più di frequenti si trovano: l’ubicazione, i contatti, l’identità dell’interessato, il registro delle chiamate, l’e-mail, la carta di credito ed i dati di pagamento, la cronologia di navigazione, gli sms e la messaggistica istantanea (es. whatsupp), le credenziali di autenticazioni per i servizi web e social, le fotografie e i filmati, la biometrica.
I principali rischi derivanti dall’implementazione di un “progetto” app consistono sinteticamente in: inconsapevolezza delle implicazioni privacy, una non trasparenza nei confronti degli utenti, il non fornire le prescritte informazioni agli utenti, finalità del trattamento incerte, assenza di un consenso libero e informato prima del trattamento, scarse o inadeguate misure di sicurezza, massimizzazione dei dati (raccolta di dati ulteriori a quelli effettivamente necessari).
Infine, come accennato nel paragrafo sopra, affidare un “progetto app” (sviluppo, distribuzione ecc.) a numerosi soggetti (es. sviluppatori, gli app stores ed i produttori) non adeguatamente coordinati e “consapevoli” può portare ad uno “scollamento” pericoloso foriero di pesanti conseguenze.
Produttori di Sistemi operativi e dispositivi. Quale ruolo in materia di protezione dei dati personali?
Se un produttore di sistemi operativi e dispositivi determini come proprie le finalità di un trattamento (es. dati trattati per il funzionamento e/o la sicurezza del dispositivo e/o per le funzioni di back up) sarà da considerare a tutti gli effetti normativi quale titolare del trattamento con conseguente applicazione allo stesso dei relativi obblighi.
Sviluppatori di App (App Developers).
i c.d. app stores.
Le c.d. “Terze parti”.
Possibile “impatto privacy” di un’app.
la DPIA è una procedura che permette infatti di valutare e dimostrare la conformità con le norme in materia di protezione dei dati personali. In pratica è finalizzata a descrivere un trattamento di dati per valutarne la necessità e la proporzionalità nonché i relativi rischi, allo scopo di approntare misure idonee ad affrontarli. Una DPIA può riguardare un singolo trattamento oppure più trattamenti che presentano analogie in termini di natura, ambito, contesto, finalità e rischi
Il Garante italiano ha fornito l’elenco delle tipologie di trattamenti di dati personali da sottoporre ad una valutazione d’impatto (si veda l’Allegato 1 (c.d. “Elenco”) al provvedimento n. 467 dell’11 ottobre 2018: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9058979)
App e lavoratori dipendenti.
L’art. 114 del Codice Privacy rubricato “Controllo a distanza” (cioè possibilità di verifica a distanza fisica o temporale dei lavoratori delle loro attività) prevede espressamente che in tale materia resta fermo quanto disposto dall´articolo 4 dello Statuto del Lavoratori rubricato “Impianti audiovisivi e altri strumenti di controllo”.
L’originaria impostazione del 1970 prevedeva un sistema di tutela della riservatezza e della dignità dei lavoratori attraverso un meccanismo normativo relativamente semplice basato su regola ed eccezione. Vi era un divieto del controllo a distanza mediante impianti audiovisivi ed altre apparecchiature salvo esigenze organizzative e produttive purchè vi fosse accordo con le RSA o, in assenza di queste, istanza alla competente DPL. Vi era in pratica una delega ad organismi rappresentativi o di pubblico controllo della tutela della riservatezza e della dignità dei lavoratori.
Infine il comma terzo precisa che: “Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal [Codice Privacy].
Dunque è stato espressamente abrogato il divieto di cui al comma 1° dell’art.4 dello Statuto dei lavoratori pre job act il quale vietava l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori.
Per quanto riguarda l’informativa prevista dal comma 3° dell’art. 4 dello Statuto, essa è ulteriore e diversa rispetto ad un’”ordinaria” informativa ex art. 13 GDPR e deve necessariamente riguardare tutti gli aspetti della modalità d’uso degli strumenti e di effettuazione dei controlli di cui ai commi 1° e 2° dell’art. 4 dello Statuto dei lavoratori. In particolare affinché una finalità determinata sia perseguibile con strumenti ex comma 1° è necessario che sia prevista nell’accordo sindacale o nell’autorizzazione mentre una finalità disciplinare sarà sempre perseguibile attraverso l’impiego di strumenti ex comma 2 dell’art. 4 dello Statuto a p atto che sia data informativa idonea.
Principi privacy in materia di controllo a distanza.
In attesa di future indicazioni in materia, dalle linee guida del Garante del 1° marzo 2007 in materia di controlli a distanza (seppur rivolte a internet e alla posta elettronica) è possibile ricavare qualche principio utile che il titolare del trattamento dovrà rispettare. In particolare: necessità e correttezza, trasparenza effettiva, non eccedenza dei dati raccolti, tutelare l’aspettativa di riservatezza e no al controllo occulto delle prestazioni lavorative.
#accountability#alessandristudiolegale#app#appeconomy#avvocato#controlliadistanza#dataprotection#datipersonali#gdpr#geolocalizzazione#gpdp#lawyer#privacy#rimini
previous post: Il Codice di condotta dei SIC (sistemi di informazione creditizia)
next post: Smart Toys e tutela dei dati personali