Non è scritto ufficialmente, nè tantomeno potevamo aspettarci che un Decreto Legge dicesse che non valgono le sanzioni. Allora comportiamoci come se non ci fosse alcuna "tolleranza".
La sicurezza delle tue informazioni in azienda, vale di più della Privacy.
23 settembre 2018
22 settembre 2018
21 settembre 2018
20 settembre 2018
BUFALA Email con account hackerato e richiesta riscatto in bitcoin
BUFALA Email con account hackerato e richiesta riscatto in bitcoin: la Polizia Postale avverte
Siamo sempre "primi" e non sempre questo è una cosa "buona"
L' Italia si contraddistingue sempre per essere prematura in Europa:
✅ vuole la fattura elettronica prima degli altri paesi in Europa,
✅ anticipa di due anni l'età dei minori sui social.
✅ vuole la fattura elettronica prima degli altri paesi in Europa,
✅ anticipa di due anni l'età dei minori sui social.
In vigore da ieri, 19 settembre 2018, la nuova normativa che abbassa a 14 anni compiuti l’età minima per iscriversi autonomamente ai social network in deroga alle norme europee che la fissa invece a 16 anni. Si dividono due Garanti: quello per la privacy, favo
revole, e quello per l’infanzia, contrario.19 settembre 2018
18 settembre 2018
15 settembre 2018
Il tuo Gestionale è GDPR compliance?
Una organizzazione di qualsiasi dimensione che adotta un
sistema informatico gestionale che tratta dati personali non in modo conforme al
Regolamento UE 679/2016 di fatto rischia di essere sanzionata perché non ha adottato misure di sicurezza adeguate. Le responsabilità ricadono, in questo caso, sul titolare del trattamento e sul responsabile del trattamento, ove presente.
sistema informatico gestionale che tratta dati personali non in modo conforme al
Regolamento UE 679/2016 di fatto rischia di essere sanzionata perché non ha adottato misure di sicurezza adeguate. Le responsabilità ricadono, in questo caso, sul titolare del trattamento e sul responsabile del trattamento, ove presente.
11 settembre 2018
Il Gps aziendale deve essere disinseribile
Il cosiddetto
Gdpr, il Regolamento Ue 2016/679 in materia di privacy, ha trovato una sua
prima applicazione in materia di Gps installati sui veicoli aziendali. A dare
lo spunto per il provvedimento del Garante per la protezione dei dati personali
dello scorso 28 giugno il caso di un dipendente di una ditta specializzata
nella vendita di saldatrici che aveva contestato il monitoraggio continuo
dell’azienda anche al di fuori dell’orario di lavoro. I furgoni aziendali erano
infatti concessi in uso ai lavoratori anche per uso privato e l’impianto
satellitare di cui erano dotati ne consentivano il controllo costante. Oltre
alla localizzazione, venivano ricostruiti su mappa i percorsi effettuati dai
dipendenti, pause comprese, il consumo del carburante e i chilometri percorsi,
senza che venisse comunicata alcuna informativa o policy aziendale in
merito.
L’azienda si era difesa sostenendo che l’impianto era stato installato per motivi di sicurezza e per l’incolumità dei lavoratori. La pronuncia ha dato l’occasione al Garante per fissare alcuni importanti principi in tema di geolocalizzazione dei dipendenti, dopo l’entrata in vigore del Gdpr avvenuta il 25 maggio scorso. In particolare le aziende dovranno trattare i dati dei lavoratori in base al principio di minimizzazione, conservandoli per il periodo strettamente necessario: quello di 365 giorni adottato dall’azienda oggetto del provvedimento è stato ritenuto eccessivo. Dovrà, poi, essere consentito al lavoratore di disattivare il monitoraggio durante le pause o al termine dell’orario di lavoro.
Il provvedimento si segnala anche perché impartisce precise disposizioni alle società che forniscono i servizi di geolocalizzazione che dovranno rendere disponibili le funzioni di disattivazione del dispositivo senza eccessivi costi aggiuntivi.
Si ribadisce infine l’obbligo gravante sul titolare di effettuare la notifica al Garante prima di effettuare il trattamento dei dati.
L’azienda si era difesa sostenendo che l’impianto era stato installato per motivi di sicurezza e per l’incolumità dei lavoratori. La pronuncia ha dato l’occasione al Garante per fissare alcuni importanti principi in tema di geolocalizzazione dei dipendenti, dopo l’entrata in vigore del Gdpr avvenuta il 25 maggio scorso. In particolare le aziende dovranno trattare i dati dei lavoratori in base al principio di minimizzazione, conservandoli per il periodo strettamente necessario: quello di 365 giorni adottato dall’azienda oggetto del provvedimento è stato ritenuto eccessivo. Dovrà, poi, essere consentito al lavoratore di disattivare il monitoraggio durante le pause o al termine dell’orario di lavoro.
Il provvedimento si segnala anche perché impartisce precise disposizioni alle società che forniscono i servizi di geolocalizzazione che dovranno rendere disponibili le funzioni di disattivazione del dispositivo senza eccessivi costi aggiuntivi.
Si ribadisce infine l’obbligo gravante sul titolare di effettuare la notifica al Garante prima di effettuare il trattamento dei dati.
05 settembre 2018
Nuovi Reati Penali in Italia
In attesa che il Garante della Privacy proceda a promuovere e pubblicare una versione del vecchio D.Lgs.196/2003 coordinata col nuovo testo normativo D.Lgs. 101 del 10/08/2018, abbiamo nel frattempo il nostro Codice Penale che si arricchisce di nuovi reati:
04 settembre 2018
In Gazzetta Ufficiale il GDPR Tutto Italiano
GDPR in Gazzetta Ufficiale.
Il testo, a lungo atteso, è finalmente stato pubblicato.
Si chiama D.Lgs. 101 del 10/08/2018.
Ora, però, basta a lavorare per l'Europa, pensiamo a lavorare per le PMI Italiane.
Tocca al Garante adesso il lavoro di dettare le regole per l’applicazione delle sanzioni amministrative e promuovere modalità semplificate di adempimento degli obblighi per le PMI.
Il testo, a lungo atteso, è finalmente stato pubblicato.
Si chiama D.Lgs. 101 del 10/08/2018.
Ora, però, basta a lavorare per l'Europa, pensiamo a lavorare per le PMI Italiane.
Tocca al Garante adesso il lavoro di dettare le regole per l’applicazione delle sanzioni amministrative e promuovere modalità semplificate di adempimento degli obblighi per le PMI.
03 settembre 2018
Differenza tra Incaricato Esterno e Responsabile Esterno
Autorizzato
al trattamento (incaricato)
Il regolamento europeo non prevede espressamente la figura dell'incaricato, ma non ne esclude la nomina, facendo riferimento a persone autorizzate al trattamento dei dati sotto l'autorità diretta del titolare o del responsabile (art. 4, n. 10 GDPR).
Incaricato, o autorizzato, è il soggetto persona fisica che effettua materialmente le operazioni di trattamento sui dati personali. Questo indica che se in teoria è possibile che un incaricato sia un soggetto esterno all'azienda, nella pratica risulterebbe difficile. L'autorizzato può operare alle dipendenze del titolare, ma anche del responsabile se nominato. Ovviamente gli autorizzati possono essere organizzati con diversi livelli di delega.
Designazione e istruzioni operative
Il regolamento europeo non prevede l'obbligo di nomina o designazione espressa, ma è fondamentale fornire agli autorizzati le istruzioni operative (art. 29 GDPR), compreso gli obblighi inerenti le misure di sicurezza, e che sia fornita loro la necessaria formazione. In caso contrario, infatti, anche in presenza di formali designazioni, queste sarebbero del tutto prive di valore.
La designazione degli autorizzati può avvenire anche con unico atto per più persone. L'eventuale designazione non necessita di firma per accettazione, anche se è utile una firma per presa visione, quale prova della conoscenza dell'incarico e delle istruzioni fornite.
L'autorizzato deve, ovviamente, attenersi strettamente alle istruzioni ricevute.
La normativa non prevede requisiti quantitativi per essere considerati autorizzati, per cui anche la semplice presa visione di un dato personale (es. il magazziniere che consulta la bolla di consegna, il portantino che trasporta il malato e la cartella sanitaria) si qualifica come trattamento. Ugualmente, non rileva la circostanza che l'incarico sia a pagamento o gratuito, e nemmeno se il collaboratore è esterno (es. il lavoratore chiamato a riparare il computer che, ovviamente, può accedere ai dati ivi contenuti) invece che inquadrato nell'azienda.
In alcuni casi può sorgere il dubbio se designare un incaricato oppure nominare un responsabile. In genere ci si può orientare verso la nomina di responsabile quando, con riferimento alla quantità di dati e alla criticità degli stessi, appare necessaria una maggiore responsabilizzazione del soggetto, anche in ragione della maggiore autonomia operativa che può essergli concessa in via di una sua particolare specializzazione. L'incaricato, invece, è un mero esecutore di compiti.
Per fare qualche esempio, colui il quale elabora le paghe generalmente va designato responsabile, mentre chi si occupa della manutenzione e dell'assistenza del sistema informatico sarà incaricato. Se però la manutenzione viene affidata ad un'azienda, che manda all'occorrenza diversi soggetti, è preferibile nominare l'azienda stessa quale responsabile esterno, in modo che non occorra nominare caso per caso incaricati le persone inviate per le operazioni.
Il regolamento europeo non prevede espressamente la figura dell'incaricato, ma non ne esclude la nomina, facendo riferimento a persone autorizzate al trattamento dei dati sotto l'autorità diretta del titolare o del responsabile (art. 4, n. 10 GDPR).
Incaricato, o autorizzato, è il soggetto persona fisica che effettua materialmente le operazioni di trattamento sui dati personali. Questo indica che se in teoria è possibile che un incaricato sia un soggetto esterno all'azienda, nella pratica risulterebbe difficile. L'autorizzato può operare alle dipendenze del titolare, ma anche del responsabile se nominato. Ovviamente gli autorizzati possono essere organizzati con diversi livelli di delega.
Designazione e istruzioni operative
Il regolamento europeo non prevede l'obbligo di nomina o designazione espressa, ma è fondamentale fornire agli autorizzati le istruzioni operative (art. 29 GDPR), compreso gli obblighi inerenti le misure di sicurezza, e che sia fornita loro la necessaria formazione. In caso contrario, infatti, anche in presenza di formali designazioni, queste sarebbero del tutto prive di valore.
La designazione degli autorizzati può avvenire anche con unico atto per più persone. L'eventuale designazione non necessita di firma per accettazione, anche se è utile una firma per presa visione, quale prova della conoscenza dell'incarico e delle istruzioni fornite.
L'autorizzato deve, ovviamente, attenersi strettamente alle istruzioni ricevute.
La normativa non prevede requisiti quantitativi per essere considerati autorizzati, per cui anche la semplice presa visione di un dato personale (es. il magazziniere che consulta la bolla di consegna, il portantino che trasporta il malato e la cartella sanitaria) si qualifica come trattamento. Ugualmente, non rileva la circostanza che l'incarico sia a pagamento o gratuito, e nemmeno se il collaboratore è esterno (es. il lavoratore chiamato a riparare il computer che, ovviamente, può accedere ai dati ivi contenuti) invece che inquadrato nell'azienda.
In alcuni casi può sorgere il dubbio se designare un incaricato oppure nominare un responsabile. In genere ci si può orientare verso la nomina di responsabile quando, con riferimento alla quantità di dati e alla criticità degli stessi, appare necessaria una maggiore responsabilizzazione del soggetto, anche in ragione della maggiore autonomia operativa che può essergli concessa in via di una sua particolare specializzazione. L'incaricato, invece, è un mero esecutore di compiti.
Per fare qualche esempio, colui il quale elabora le paghe generalmente va designato responsabile, mentre chi si occupa della manutenzione e dell'assistenza del sistema informatico sarà incaricato. Se però la manutenzione viene affidata ad un'azienda, che manda all'occorrenza diversi soggetti, è preferibile nominare l'azienda stessa quale responsabile esterno, in modo che non occorra nominare caso per caso incaricati le persone inviate per le operazioni.
La Formazione è importante
Il Garante, in sede ispettiva e per il tramite della GdF potrebbe richiedere di acquisire il programma ed il piano di formazione, le dispense, i materiali erogati, il test finale ed analizzare il profilo delle istruzioni agli incaricati al trattamento connesse all’accesso, consultare le banche dati, i livelli di autorizzazione e policy aziendali (ad esempio in materia di password aziendali e di videosorveglianza ).
09 agosto 2018
Consiglio dei Ministri si pronuncia sul GDPR
Ora i ritardatari del GDPR possono andare in ferie tranquillamente: niente "galera" o sanzioni fino a dicembre 2018.
Il Consiglio dei Ministri di oggi 8 agosto si pronuncia a favore delle PMI.
Aspettiamo di leggere la Gazzetta Ufficiale però, perchè sappiamo bene che in Italia le leggi viaggiando da un Palazzo all'altro perdono qualcosa.
Il Consiglio dei Ministri di oggi 8 agosto si pronuncia a favore delle PMI.
Aspettiamo di leggere la Gazzetta Ufficiale però, perchè sappiamo bene che in Italia le leggi viaggiando da un Palazzo all'altro perdono qualcosa.
02 agosto 2018
Videosorveglianza senza autorizzazione: sanzioni e procedura ispettiva
CHIARIMENTI DEL MINISTERO DEL LAVORO -
L’ispettore del Ministero del lavoro, una volta verificata l’installazione di impianti audiovisivi in assenza di un preventivo accordo con le organizzazioni sindacali o dell’autorizzazione rilasciata da parte della Direzione territoriale del lavoro, deve impartire una prescrizione all’impresa inadempiente. Nel verbale ispettivo dovrà essere fissato un termine per la rimozione degli impianti illegittimamente installati. Per limitare l’applicazione della sanzione penale, l’azienda potrà, nel frattempo, siglare l’accordo o richiedere l’autorizzazione ministeriale. Quali sono gli adempimenti in caso di controlli a distanza su strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa o di registrazione degli accessi e delle presenze?
Il Ministero del Lavoro ha fornito, con la nota n. 1241 del 1° giugno 2016, alcuni chiarimenti in merito agli aspetti sanzionatori applicabili in caso accertamento, da parte degli organi di vigilanza, dell’installazione di impianti audiovisivi, dai quali possa derivare anche la possibilità di controllo a distanza dell’attività dei lavoratori in orario di lavoro, privi del prescritto accordo sindacale o dell’autorizzazione da parte della Direzione del Lavoro territorialmente competente (art. 4, legge n. 300/1970). La nota è di sicuro interesse al fine di chiarire alcuni aspetti controversi della normativa. In particolare, con riguardo al provvedimento di prescrizione impartito qualora venga violata la normativa di riferimento.
Requisiti e condizioni
Partiamo dal fatto che l’installazione di un impianto di videosorveglianza non può avvenire in assenza di uno specifico accordo con le organizzazioni sindacali o, in mancanza di esso, della autorizzazione rilasciata da parte della Direzione del Lavoro territorialmente competente. Inoltre, potranno essere installati ed utilizzati esclusivamente:
- per esigenze organizzative e produttive,
- per la sicurezza del lavoro,
- per la tutela del patrimonio aziendale.
Viene violata la norma anche per il solo fatto di aver installato le apparecchiature senza averle successivamente attivate. Infatti, secondo il Ministero del lavoro, “La condotta criminosa è rappresentata dalla mera installazione non autorizzata dell’impianto, a prescindere dal suo effettivo utilizzo” (Cass. Penale n. 4331/2014, “l’idoneità degli impianti a ledere il bene giuridico protetto, cioè il diritto alla riservatezza dei lavoratori, necessaria affinché il reato sussista … è sufficiente anche se l’impianto non è messo in funzione, poiché, configurandosi come un reato di pericolo, la norma sanziona a priori l’installazione, prescindendo dal suo utilizzo o meno”).
Addirittura, il Ministero evidenzia la possibilità di sanzionare l’azienda anche qualora vengano montate, senza le prescritte regole, telecamere “finte” montate al solo scopo dissuasivo.
La stessa Autorità Garante della Privacy ha più volte ribadito la illegittimità dell’installazione di un impianto di videosorveglianza senza l’accordo con le rappresentanze sindacali o, in subordine, l’autorizzazione rilasciata dalla Direzione Territoriale del Lavoro.
Sanzioni in caso di violazione
In caso di violazione al disposto legislativo, viene prevista una sanzione penale (ammenda) che va da 154,00 a 1.549,00 euro ovvero l’arresto da 15 giorni ad un anno (art. 38 della legge n. 300/1970), salvo che il fatto non costituisca reato più grave.
Attività degli ispettori
Ma quale è la procedura che il Ministero del Lavoro impartisce ai propri ispettori del lavoro in caso di verifica circa l’omesso accordo sindacale o richiesta autorizzatoria alla Direzione del Lavoro?
L’ispettore, una volta verificata l’installazione di impianti audiovisivi a fronte di un mancato accordo con le organizzazioni sindacali ovvero in assenza dell’autorizzazione rilasciata da parte della Direzione del Lavoro, deve impartire una prescrizione ai sensi dell’art. 20 del d.lgs. n. 758/1994 al fine di far cessare la condotta illecita e far rimuovere gli impianti audiovisivi stessi. Tali adempimenti, una volta effettuati potranno eliminare la contravvenzione accertata.
All’interno del verbale ispettivo dovrà essere altresì fissato un termine per il ripristino della legalità e quindi per la rimozione degli impianti illegittimamente installati. Il termine dovrà essere “congruo”, in ragione dell’effettivo tempo tecnico realmente necessario per la disinstallazione degli impianti audiovisivi.
Al fine di limitare la sanzione penale, l’azienda potrà, nel frattempo, siglare l’accordo sindacale o richiedere il rilascio dell’autorizzazione ministeriale. Infatti, qualora nel periodo di tempo fissato dall’organo di vigilanza per lo smontaggio delle apparecchiature, venga siglato l’accordo sindacale ovvero venga rilasciata l’autorizzazione della competente Direzione territoriale del lavoro, venendo meno i presupposti oggettivi dell’illecito, l’ispettore potrà ammettere “il contravventore a pagare in sede amministrativa, nel termine di 30 giorni, una somma pari al quarto del massimo dell’ammenda stabilità per la contravvenzione commessa” (art. 21 d.lgs. n. 758/1994).
Inapplicabilità della procedura
Per completezza di informazione, la disposizione generale, relativa alla richiesta di autorizzazione ministeriale o di accordo sindacale, non si applica nei seguenti casi:
- agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa
- agli strumenti di registrazione degli accessi e delle presenze.
L’impresa potrà assegnare a un dipendente un pc, un tablet, uno smartphone ecc. (se utili per prestare l’attività lavorativa) e potrà anche controllare – a posteriori – che tali strumenti vengano utilizzati nel rispetto delle disposizioni aziendali, senza per questo dover ottenere il previo consenso.
Si ricorda che sono, assolutamente vietati, controlli di natura “massiva”, indiscriminati e continui e non strettamente legati alla prestazione svolta dal dipendente.
In queste ipotesi, va rivista la modulistica per la policy aziendale, con una mappatura degli strumenti aziendali che rientrano tra gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa. Una volta mappati gli strumenti, va predisposta la documentazione utile a provare la loro «inerenza» con l’attività lavorativa.
Le informazioni raccolte attraverso detti strumenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione sulle modalità d'uso degli strumenti e di effettuazione dei controlli. L’informativa va fatta per iscritto e firmata dal dipendente per ricevuta.
L’informazione preventiva dovrà far riferimento:
- agli estremi identificativi del responsabile del trattamento,
- alle modalità di utilizzo dello strumento,
- alle modalità di effettuazione dei controlli,
- alla possibilità per l’interessato di accedere ai dati,
- ai soggetti che possono venire a conoscenza dei dati stessi ed al loro ambito di diffusione,
- alle conseguenze legate al rifiuto di forme di controllo.
L’informativa rappresenta la “conditio sine qua non” ai fini della legittimazione di ogni controllo.
29 maggio 2018
Vigilanza privata con il GPS: il Garante chiede tutele
Il Garante privacy ha dato il via libera alla geolocalizzazione, attraverso smartphone e tablet, del personale di una società che effettua servizi di vigilanza privata e trasporto valori, ma ha prescritto misure a tutela della riservatezza dei lavoratori [doc. web n. 9358266].
Con l'applicazione installata sui dispositivi mobili si intende garantire la sicurezza delle pattuglie e l'ottimizzazione delle assegnazioni e distribuzioni degli interventi e consentirà di inviare segnali di allarme in caso di pericolo.
I dati di geolocalizzazione raccolti, le coordinate del dispositivo e la velocità del veicolo saranno conservati per un periodo non superiore alle 24 ore, fatte salve speciali esigenze, e il trattamento dati dovrà cessare al termine dell'attività lavorativa con la riconsegna a fine servizio dei dispositivi da parte dei dipendenti. Le guardie dovranno attivare l'applicazione mediante codice identificativo e password fornita dalla centrale operativa.
Le guardie giurate non saranno direttamente identificate dal sistema e l'accesso in tempo reale ai dati di localizzazione effettuato dal personale autorizzato della centrale operativa sarà previsto solo in caso di necessità ed emergenza.
L'Autorità ha ritenuto il trattamento dei dati che la società intende effettuare lecito, necessario e proporzionato, anche in considerazione della specifica disciplina che prevede l'adozione di peculiari misure tecniche di controllo con geolocalizazione per il trasporto di contanti.
Il Garante ha però chiesto, a maggiore tutela dei lavoratori, di posizionare sul dispositivo un'icona che indichi che la localizzazione è attiva e di configurare il sistema in modo tale da oscurare la posizione geografica dei dipendenti decorso un dato periodo di inattività dell'operatore sul monitor della centrale operativa.
I dati raccolti dal sistema potranno essere consultati dagli addetti alla centrale operativa e dalla direzione informatica della società muniti di apposite credenziali e profili autorizzativi, in particolare per l'estrazione dei dati. A ulteriore tutela dei dipendenti sarà escluso l'utilizzo dei dati per finalità di controllo dei lavoratori o per scopi disciplinari.
La società dovrà fornire alle guardie un'idonea informativa che consenta l'esercizio dei diritti.
In conformità a quanto previsto dallo Statuto dei lavoratori la società si è impegnata a procedere alla convocazione delle rappresentanze sindacali per sottoscrivere uno specifico accordo o, in mancanza di questo, ad acquisire l'autorizzazione del competente organo del Ministero del Lavoro.
25 maggio 2018
Il Regolamento Europeo 679/2016
Indice
- Regolamento UE - Home
- Il testo del Regolamento
- Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali
- Le iniziative formative del Garante
- Responsabile della Protezione dei Dati - RPD
- Valutazione d'impatto della protezione dei dati
- Notifica delle violazioni di dati personali - Data Breach
- Applicazione e definizione delle sanzioni amministrative
- Trasparenza
- Processi decisionali automatizzati e profilazione
- Diritto alla portabilità
- Consenso
- Autorità di controllo capofila
- Accreditamento degli organismi di certificazione
- Applicazione dell’art. 49 in materia di deroghe per il trasferimento di dati personali all’estero
- Registro delle attività di trattamento
Iscriviti a:
Post (Atom)









