Source: https://www.assodpo.it/it/author/assodpo/
Timestamp: 2019-11-13 17:47:54+00:00
Document Index: 32611026

Matched Legal Cases: ['art. 13', 'art. 5', 'art. 5', 'art. 58', 'art. 83', 'art. 32', 'art. 5']

﻿ Admin2 – ASSO DPO
ASSO DPO: GDPR, prossimi eventi sul territorio nazionale
L’Associazione data Protection Officer (ASSO DPO) è lieta di patrocinare due nuovi eventi sul territorio nazionale, che si terranno nei prossimi 23, 24 e 27 settembre: il Workshop GFT Italia “L’utilizzo sostenibile dell’Intelligenza Artificiale a supporto della GDPR” e il Congresso Nazionale sul tema“RPA e AI – Robotic Process Automation (RPA) e Intelligenza Artificiale (AI)” di RPA ITALY.
Il Presidente di ASSO DPO Matteo Colombo sarà presente il 23 settembre al workshop tematico di GFT dal titolo “L’utilizzo sostenibile dell’Intelligenza Artificiale a supporto della GDPR”. Nello scenario degli istituti bancari è sempre più impellente la necessità di sfruttare tecnologie e innovazione per migliorare la competitività, attraverso modalità giuridicamente sostenibili. Durante il workshop verranno analizzati casi concreti, sfruttando le peculiari testimonianze di esperti e partner, circa l’utilizzo dell’Intelligenza Artificiale e degli algoritmi di Machine Learning in relazione alla normativa GDPR.
Il Congresso Nazionale sul tema “RPA ed AI” organizzato dall’Associazione RPA ITALY si terrà a Milano il 24 settembre e a Roma il 27 settembre 2019. Questo Congresso ha l’obiettivo di spiegare perché l’RPA è un importante veicolo per tutte le tecnologie innovative di Intelligenza Artificiale che, sulla base dei dati digitali di cui esse si servono, aiuteranno le imprese a cogliere i benefici dell’Industia 4.0.
Il Componente del Comitato Scientifico di ASSO DPO, Fabio Ferrara, sarà relatore al panel “RPA, DPO and legal aspects” per parlare di Data Protection e sottolineare che la corretta protezione dei dati, anche quando questi sono manipolati da un software robot, deve essere una priorità assoluta per le Imprese.
Autore Admin2Pubblicato il 19 Settembre 2019 23 Settembre 2019
Con Decisione n° 26/2019, l’Autorità per la protezione dei dati personali greca (Hellenic Data Protection Authority) ha disposto una sanzione da 150 mila euro – oltre a delle misure correttive – nei confronti della multinazionale PRICEWATERHOUSECOOPERS Business Solutions Limited Liability Business and Accounting Service Provider SA (PWC BS) per non aver individuato correttamente la base giuridica del trattamento dei dati personali dei propri dipendenti e non aver rispettato il principio di accountability, in conformità al Reg. UE 2016/679.
– La base giuridica del trattamento dei dati personali dei dipendenti
– La violazione del principio di accountability
– Le sanzioni – considerazioni finali
La base giuridica del trattamento dei dati personali dei dipendenti
Il Garante ha condotto un’indagine in merito alla legittimità del trattamento di dati personali degli impiegati di PWC BS scaturito da un reclamo presentato da un’organizzazione sindacale, nel quale veniva rilevato come il datore di lavoro avesse erroneamente individuato il consenso del dipendente quale base giuridica del trattamento.
Nella Decisione dell’autorità greca viene effettivamente contestata la correttezza della base giuridica individuata, in quanto il consenso del dipendente non può essere considerato come liberamente concesso nell’ambito del rapporto di lavoro a causa dell’evidente squilibrio tra le parti. Le basi giuridiche corrette per questo trattamento sono il contratto di lavoro, l’adempimento di obblighi di legge del titolare del trattamento o il suo legittimo interesse, che consiste nel funzionamento regolare ed efficace dell’azienda.
Altro aspetto importante sottolineato nella decisione è che la scelta del consenso del dipendente come base giuridica deve essere effettuata come ultima ratio, proprio per le sue caratteristiche di irreversibilità: infatti, la revoca del consenso è considerata alla stregua di un divieto definitivo di effettuare il trattamento, che comporta l’impossibilità di trattare i dati anche identificando una diversa base giuridica.
Il Garante evidenzia, infine, le conseguenze della scelta sbagliata della base giuridica: i dipendenti sono stati indotti a pensare che la legittimità del trattamento si fondasse sul consenso prestato, in violazione del principio di trasparenza e degli art. 13 e 14 del Reg. UE 2016/679, e si sono visti negare un corretto esercizio dei diritti privacy, in quanto questi ultimi variano a seconda della base giuridica determinata a fondamento del trattamento.
La violazione del principio di accountability
Il Garante ha ritenuto che il principio di accountability o responsabilizzazione (art. 5 par. 2 del Reg. UE 2016/679) – che viene definito come il “nucleo del modello di compliance” privacy – sia stato così violato. Questo in quanto l’azienda non è stata in grado di soddisfare la richiesta dell’Autorità di documentare la propria scelta in merito alla base giuridica del trattamento dei dati personali dei dipendenti.
Inoltre, è stato rilevato come le modalità concrete di gestione abbiano comportato un trasferimento dell’onere della prova dell’accountability dal titolare all’interessato: in particolare, è stato richiesto ai dipendenti di firmare un documento con il quale riconoscevano che i loro dati personali – trattati dall’azienda – fossero direttamente collegati, pertinenti e appropriati al rapporto di lavoro e all’organizzazione dell’attività lavorativa stessa.
L’Autorità ha specificato, invece, che è onere di ciascun titolare adottare un modello di compliance privacy tale da dimostrare la corretta applicazione dei principi di cui all’art. 5 del Reg. UE 2016/679.
Le sanzioni – considerazioni finali
Il Garante ha esercitato i suoi poteri ai sensi dell’art. 58 par. 2 del Reg. UE 2016/679, imponendo delle misure correttive tali da comportare l’immediato adeguamento della Società al Regolamento, in conformità alla Decisione. Inoltre, reputando insufficienti le sole misure correttive, ha anche comminato una sanzione amministrativa pecuniaria di 150 mila euro, ai sensi dell’art. 83 del Reg. UE 2016/679, alla luce del fatturato rilevato dai bilanci pubblicati dalla Società.
Ad avviso di chi scrive, la Decisione fornisce importanti spunti per valutare un aggiornamento delle informative privacy fornite sino ad oggi dai titolari del trattamento italiani ai loro dipendenti; ci si chiede se l’interpretazione relativa al consenso del dipendente quale base giuridica in connessione con il principio di accountability adottata dal Garante Greco verrà presto condivisa da altre Autorità privacy in Europa.
FONTE: Summary of Hellenic DPA’s Decision n° 26/2019 (Hellenic Data Protection Authority)
Autore Admin2Pubblicato il 18 Settembre 2019 18 Settembre 2019
Il pulsante “Mi piace” di Facebook: titolarità e adempimenti in capo al sito web che lo incorpora
Oggetto del presente articolo è la decisione del 29 luglio scorso della Corte di Giustizia, Sezione Seconda, causa C-40/17 assunta in applicazione della Direttiva 95/46 oggi abrogata, i cui principi sono stati tuttavia confermati dal Regolamento UE 2016/679, vertente su un caso relativo ad un’analoga questione già trattata dalla medesima Corte: possibili corresponsabilità dei proprietari di siti web o pagine social con i gestori di questi ultimi.
2. La decisione della Corte di Giustizia
3. Quali soluzioni in concreto?
L’associazione tedesca a tutela degli interessi dei consumatori, Verbraucherzentrale NRW, ha intentato un procedimento giudiziario avverso un rivenditore di abbigliamento online, Fashion ID, per avere quest’ultimo incorporato nel proprio sito web il plug-in “Mi piace” del social network Facebook, con conseguente trasmissione al server di Facebook di alcuni dati personali dei visitatori, indipendentemente dalla loro interazione con tale plug-in, in violazione della normativa sulla protezione dei dati.
In particolare, la Verbraucherzentrale NRW ha contestato al gestore dell’e-commerce di agire quale titolare del trattamento nella raccolta e trasmissione di tali dati personali alla piattaforma social, senza fornire al visitatore preventiva idonea informativa e senza raccoglierne il consenso.
Al parziale accoglimento delle richieste in primo grado, ha fatto seguito il ricorso della Fashion ID dinanzi al giudice del rinvio, che ha deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia i propri dubbi in materia di protezione dei dati personali:
– Un’associazione di categoria per la tutela dei consumatori è legittimata ad agire in giudizio per la tutela dei relativi dati personali?
– L’operatore di un sito web che incorpori un plug-in social che trasmette dati personali al gestore del social network è da considerarsi titolare o contitolare di tale trattamento?
– Qualora sia confermata la titolarità di tali trattamenti in capo al proprietario del sito web, qual è la corretta base giuridica da porre a fondamento degli stessi?
In merito alla prima domanda, la Corte dichiara che la Direttiva madre non osta alla previsione di una normativa nazionale che consenta alle associazioni per la tutela dei consumatori di agire o resistere in giudizi volti a stabilire responsabilità in materia di protezione dei dati personali.
Il giudice del riesame attribuisce al proprietario di un sito web che incorpori un plug-in social, la titolarità del trattamento rispetto ad alcune delle operazioni effettuate tramite plug-in: la raccolta e la trasmissione dei dati personali dei visitatori al social network, ciò anche in mancanza di un effettivo accesso ai dati trasmessi.
Infatti, unicamente in relazione a tali trattamenti (e non rispetto alle operazioni successive effettuate dal social network) si individuano in capo alla società autonome finalità di trattamento, in particolare ottimizzare la pubblicità dei suoi prodotti rendendoli più visibili sul social e beneficiare del vantaggio commerciale che consiste nell’aumentare la pubblicità dei suoi beni.
Inoltre, in ossequio alla definizione di titolare del trattamento, è il gestore del sito web a determinare nel plug-in lo strumento idoneo al raggiungimento delle predette finalità, esercitando un’influenza decisiva sulla raccolta e la trasmissione dei dati dei propri visitatori.
Infine, la Corte precisa che le basi giuridiche che legittimano tale trattamento sono l’interesse legittimo di entrambi i corresponsabili, unitamente alla preventiva acquisizione del consenso.
Quali soluzioni in concreto?
La palla ora passa alle società proprietarie di siti web che vogliano continuare ad utilizzare i plug-in social: come acquisire in concreto il consenso dei visitatori?
Come spesso accade, infatti, l’interprete si preoccupa più dei principi giuridici, che non dell’applicazione concreta degli stessi: considerando che la raccolta e la trasmissione dei dati avvengono al momento dell’atterraggio del visitatore sul sito web incriminato indipendentemente dall’interazione che lo stesso possa avere con il plug-in, quale tecnologia dovranno utilizzare per informare preventivamente l’interessato e acquisirne le relative preferenze?
È davvero possibile attribuire ai gestori di siti web tale adempimento o, in applicazione del principio di “privacy by design e by default”, una soluzione tecnica dovrebbe essere implementata dai social network?
Autore Admin2Pubblicato il 6 Settembre 2019
CNIL: 400 mila euro per violazione delle misure di sicurezza e della conservazione dei dati personali
La società francese SERGIC, specializzata nella promozione immobiliare, l’acquisto, la vendita, l’affitto e la gestione di proprietà – con 486 dipendenti e un fatturato di 43 milioni di euro – ha subito una sanzione GDPR da 400mila euro.
La violazione delle misure di sicurezza
La CNIL, l’autorità garante francese, ha ricevuto un reclamo da un interessato, in merito ad una violazione di dati personali inerente la piattaforma web SERGIC.
Dal reclamo emerge che una modifica nell’URL consentiva un accesso abusivo ai dati personali, nello specifico a 300 mila file, riferiti a 30 mila possibili locatari, contenenti copie di carte d’identità, tessere sanitarie, accertamenti fiscali, certificati di morte, certificati di matrimonio, previdenza sociale, certificati di pensione di invalidità, sentenze di divorzio, estratti conto, estratti conto bancari e ricevute di affitto.
La società era al corrente della violazione da tempo, ed ha impiegato circa 6 mesi per la risoluzione della vulnerabilità informatica. La CNIL ha sottolineato che non sono state adottate delle contromisure momentanee per ridurne la portata, nonostante l’accesso abusivo potesse essere messo in atto anche senza una particolare esperienza informatica.
Il Garante francese ha inoltre evidenziato l’alto numero delle persone coinvolte nella violazione e la “sensibilità” dei dati personali trattati, che necessitano di misure di sicurezza elevate.
L’ulteriore violazione inerente la conservazione di dati personali
L’ulteriore violazione riguarda i periodi di conservazione dei dati personali degli aspiranti locatari.
In particolare, il Garante ha ritenuto che il periodo di conservazione superasse il termine legato alla finalità perseguita – ossia la candidatura all’affitto di un immobile e la successiva selezione – in quanto venivano conservati anche i dati dei soggetti scartati.
È stata contestata anche la conservazione per l’ulteriore finalità di adempimento di obblighi legali o fini precontenziosi o contenziosi. L’accortezza richiesta dalla CNIL è quella di creare una repository ad hoc per questa finalità: i dati personali devono essere selezionati e trasferiti in apposito archivio, diverso dal data base “attivo” dei candidati alla selezione. Questa separazione logica assicura che, tramite apposite misure di sicurezza tecniche ed organizzative, i dati personali conservati siano resi accessibili solo a soggetti preposti (autorità, in adempimento di obblighi di legge). Al termine delle scadenze di legge, anche l’archivio separato va eliminato.
La sanzione da 400mila euro
Considerato quanto sopra, il Garante ha deciso di comminare una sanzione pecuniaria di 400 mila euro, per violazione delle regole inerenti le misure di sicurezza (art. 32 GDPR) e del principio di conservazione (art. 5 GDPR).
La sanzione comminata è esemplare, in quanto dimostra che le autorità privacy possono entrare nel merito delle scelte aziendali basate su norme come gli artt. 32 e 5 del GDPR, che sembravano lasciare margine di scelta al Titolare – imponendogli di tenere conto dello stato dell’arte e dei costi di attuazione nella scelta delle misure di sicurezza e di valutare il periodo di conseguimento della finalità nella definizione delle tempistiche di conservazione – anche nell’ambito della sua “responsabilizzazione”.
Il provvedimento comminato dovrebbe quindi rappresentare uno spunto di riflessione per tutti i Titolari del trattamento, rispetto alle scelte aziendali fatte nell’ambito della loro accountability con riferimento a misure di sicurezza e conservazione dei dati personali.
Autore Admin2Pubblicato il 25 Luglio 2019