Piattaforma Rousseau: dal Garante privacy sanzione di 50mila euro

Il Garante per la protezione dei dati personali con provvedimento n. 83 del 4 aprile 2019 ha comminato all’Associazione Rousseau, quale responsabile del trattamento e in tale qualità trasgressore, il pagamento di euro 50.000 a titolo di sanzione per la violazione di cui al combinato disposto degli art. 32 del Regolamento UE 2016/679 oltre ad ingiungere alla stessa associazione i necessari adeguamenti indicati nel Provvedimento.

In effetti il Garante in osservanza a quanto sancito dall’art. 32 del GDPR ha accertato:

1. il mancato completo tracciamento degli accessi al database del sistema Rousseau e delle operazioni sullo stesso compiute che configura la violazione di quel generale dovere di controllo sulla liceità dei trattamenti gravante sul titolare del trattamento e, in particolare, dell’obbligo di assicurare più adeguate garanzie di riservatezza agli iscritti alla piattaforma medesima; ciò sia in ragione delle dimensioni delle banche dati in questione, sia della tipologia di dati raccolti nonché delle funzionalità che le caratterizzano;
2. la condivisione delle credenziali di autenticazione da parte di più incaricati dotati di elevati privilegi per la gestione della piattaforma Rousseau e la mancata definizione e configurazione dei differenti profili di autorizzazione in modo da limitare l’accesso ai soli dati necessari nei diversi ambiti di operatività, che nel previgente ordinamento erano addirittura qualificate come misure minime di sicurezza a carico dei titolari del trattamento. In tal caso, quindi si configura una violazione dell’obbligo di predisposizione, da parte del responsabile del trattamento, di misure tecniche e organizzative adeguate.

GDPR: firmata la convenzione tra Garante Privacy e Accredia.

Regolamento Ue e certificazione accreditata in materia dei dati personali

Accredia avrà il compito di attestare - in base alla norma di accreditamento UNI CEI EN ISO/IEC 17065:2012, integrata da “requisiti aggiuntivi” che saranno individuati dal Garante, la competenza e l’adeguatezza degli Organismi che ne faranno richiesta per certificare con maggiori garanzie i servizi di tutela della privacy.

NEWSLETTER N. 451 del 25 marzo 2019

• Sanità dopo il Gdpr, i chiarimenti del Garante 
• Banche, dati sanitari, carte fedeltà nel piano ispettivo del Garante Privacy

S.Marino diventa un paese con Garanzie Adeguate per il Garante Europeo

AVVISO per tutti coloro che operano con la Repubblica di San Marino.
Dal 05 gennaio 2019 è in vigore nella Repubblica del Titano una normativa efficace in materia di protezione dei dati personali, in linea con la recente evoluzione normativa comunitaria. Data la particolare restrizione con cui il GDPR consente i trasferimenti di dati extra UE, la legge permette di collocare San Marino tra i paesi che, ai sensi del considerando n. 108 e dell’art. 46 del Regolamento UE 679/2016, dispongono di “garanzie adeguate”, facilitando così il trasferimento di dati personali verso la Repubblica.

Chiarimenti sull'applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario

Provvedimento del Garante del 07.03.2019
Per le finalità di cura non si deve chiedere il consenso, mentre il consenso servirà per la refertazione online, fascicolo e dossier sanitario elettronico. Tocca ai medici, alle farmacie e alle aziende sanitarie la compilazione del registro dei trattamenti. Il singolo medico non deve nominare il Dpo (responsabile della protezione dei dati). ---> http://tiny.cc/s3ja4y

come comportarsi nel GDPR in caso di Brexit

Il Comitato Europeo per la Protezione dei Dati (EDPB) ha adottato una nota informativa sui trasferimenti di dati a norma del regolamento generale sulla protezione dei dati in caso di Brexit senza accordo con l’Ue.

Newsletter del garante del 07 febbraio 2019

Sommario della Newsletter:

NEWSLETTER N. 449 del 7 febbraio 2019

• Telemarketing indesiderato: 600 mila euro di sanzione a Wind Tre
• Cambridge Analytica: conclusa l’istruttoria, il Garante privacy prepara sanzioni
• Consulenti del lavoro: quando sono responsabili del trattamento dei dati

Consulenti del lavoro: quando sono responsabili del trattamento dei dati 
Precisazioni del Garante privacy dopo il nuovo Regolamento UE 
Il Garante per la privacy ha precisato il ruolo e le responsabilità dei consulenti del lavoro nel trattamento dei dati personali della clientela alla luce del nuovo Regolamento europeo, identificandoli come “responsabili del trattamento” quando trattano i dati dei dipendenti dei clienti in base all’incarico da questi ricevuto.
Rispondendo ai quesiti sottoposti dal Consiglio Nazionale dei consulenti del lavoro e da numerosi professionisti, il Garante ha infatti chiarito che il Regolamento (UE) 679/2016 si pone in linea di continuità con quanto già prefigurato dalla Direttiva 95/46/CE. Il Regolamento conferma, infatti, le definizioni di titolare e responsabile del trattamento, nelle quali il primo resta il soggetto che “determina le finalità e i mezzi del trattamento di dati personali” e il secondo colui che “tratta dati personali per conto del titolare del trattamento”.
E dunque i consulenti del lavoro sono “titolari” quando trattano, in piena autonomia e indipendenza, i dati dei propri dipendenti oppure dei propri clienti quando siano persone fisiche, come ad esempio i liberi professionisti determinando puntualmente le finalità e i mezzi del trattamento. Sono, viceversa, “responsabili” quando trattano i dati dei dipendenti dei loro clienti sulla base dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare. E’ il caso, ad esempio, dei consulenti che curano per conto di datori di lavoro la predisposizione delle buste paga, le pratiche relative all’assunzione e al fine rapporto, o quelle previdenziali e assistenziali, trattando una pluralità di dati personali, anche sensibili, dei lavoratori.
Si tratta di informazioni raccolte e utilizzate dai datori di lavoro in base al contratto e a norme di legge e di regolamento (come quelle in materia di lavoro, previdenza e assistenza sociale), e che vengono gestite dai consulenti cui sono esternalizzati i servizi sulla base delle discipline di settore e delle regole deontologiche pertinenti. Ed è sul contratto di affidamento dell’incarico e di designazione a responsabile del trattamento da parte del cliente che si basa la legittimità dei trattamenti realizzati dal consulente.
Il Garante ha chiarito infine che ai consulenti, pur in qualità di “responsabili” del trattamento, viene riconosciuto un apprezzabile margine di autonomia e correlativa responsabilità anche con riguardo alla individuazione e predisposizione di idonee misure di sicurezza, sia tecniche che organizzative, a tutela dei dati personali trattati.

Anc. Il gettito non può prevalere sulla privacy

In questo articolo:

• L’impianto della fattura elettronica deve essere riconsiderato: non presenta un livello di sicurezza sufficiente

L'Anc non ci sta. Nonostante l'intervento del Garante della privacy, sollecitato dalla denuncia dell'Associazione nazionale commercialisti, l'obbligo di fatturazione elettronica scatterà il 1° gennaio 2019.

In un incontro con alcuni parlamentari il Garante Antonello Soro ha ribadito che le criticità “riguardano l’inclusione di dati che interessano la totalità dei cittadini, anche quelli sulle abitudini riservate, il ruolo degli intermediari che si sarebbe esteso in modo indefinito e le responsabilità del cosiddetto postino dell’Agenzia delle Entrate, atto a incamerare i dati”, ma “determinati aspetti potranno essere corretti senza particolari difficoltà”.

L’impianto della fattura elettronica deve essere riconsiderato: non presenta un livello di sicurezza sufficiente

Il Governo promette aggiustamenti che non paiono sufficienti all'Anc, che ribatte per voce del presidente Marco Cuchel: “Come Associazione Nazionale Commercialisti, non vogliamo perdere di vista il vero punto dolente di tutta l’operazione, e cioè la fragilità del sistema circa la sicurezza dei dati. La nostra segnalazione al Garante della protezione dei dati personali, cui è seguito il noto provvedimento dell’Autorità nei confronti dell’Agenzia delle Entrate, è centrata, non tanto e non solo sulla violazione dei dati attinenti alla sfera personale, ma, soprattutto, sul rischio che operatori economici privati, i quali si troveranno a gestire e custodire tutte le informazioni inerenti l’attività economica del Paese, fin nel minimo dettaglio, possano utilizzare impropriamente questi dati, mettendo a repentaglio l’economia nazionale”.

In un comunicato stampa del 20 novembre 2018, si dicono sconcertati e amareggiati per la posizione del Ministero che, da parte sua, afferma la necessità di proseguire senza indugi nel percorso intrapreso, stante necessità di non perdere il gettito previsto dall’introduzione della nuova normativa.

“Ancora una volta”, si legge nel comunicato, “sembra prevalere il gettito a questioni ben più importanti che dovrebbero avere la priorità in uno Stato di Diritto, quali la salvaguardia dei dati aziendali riguardanti anche i brevetti. Tutto l’impianto della fattura elettronica deve essere riconsiderato, in quanto, ad oggi, non presenta un livello di sicurezza sufficiente. Riguardo a questo argomento dovrebbe essere di monito ciò che è successo in merito allo spesometro del 2017, il cui sistema telematico per molti giorni ha permesso indebiti accessi, e su cui l’Agenzia ha dovuto riferire in Parlamento, e la più recente vicenda sulla sicurezza delle pec dei magistrati, sottoposte in questi giorni ad un attacco hacker”.

Autore: Gioia Lupoi

"La fatturazione elettronica va cambiata" dice il garante della privacy

Il Garante privacy all’Agenzia delle entrate: la fatturazione elettronica va cambiata
I trattamenti di dati previsti dal 1 gennaio 2019 possono violare la normativa sulla protezione dei dati. Sproporzionata raccolta di informazioni e rischi di usi impropri da parte di terzi

clicca qui

le istruzioni del Garante privacy sul registro dei trattamenti

clicca qui

Regolamento Ue: le istruzioni del Garante privacy sul registro dei trattamenti

Il Garante per la protezione dei dati personali ha messo a disposizione sul proprio sito le istruzioni sul Registro delle attività di trattamento, previsto dal Regolamento (EU)
n. 679/2016.
Il Registro, che deve essere predisposto dal titolare e del responsabile del trattamento, è un documento contenente le principali informazioni (specificatamente individuate dall’art. 30 del Regolamento) relative alle operazioni di trattamento svolte da una impresa, un’associazione, un esercizio commerciale, un libero professionista.

L’obbligo di redigere il Registro costituisce uno dei principali elementi di accountability del titolare, poiché rappresenta uno strumento idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno della propria organizzazione, indispensabile ai fini della valutazione o analisi del rischio e dunque preliminare rispetto a tale attività.

Il Registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.

Come specificato nelle FAQ del Garante, sono tenuti a redigere il Registro le imprese o le organizzazioni con almeno 250 dipendenti e - al di sotto dei 250 dipendenti - qualunque titolare o responsabile che effettui trattamenti che possano presentare rischi, anche non elevati, per i diritti e le libertà delle persone o che effettui trattamenti non occasionali di dati oppure trattamenti di particolari categorie di dati (come i dati biometrici, dati genetici, quelli sulla salute, sulle convinzioni religiose, sull’origine etnica etc.), o anche di dati relativi a condanne penali e a reati.

Nelle FAQ vengono indicate, tra l’altro, quali informazioni deve contenere il Registro e le modalità per la sua conservazione e il suo aggiornamento.

Roma, 8 ottobre 2018

Sospensione nei controlli: ci sta o no?

Non è scritto ufficialmente, nè tantomeno potevamo aspettarci che un Decreto Legge dicesse che non valgono le sanzioni. Allora comportiamoci come se non ci fosse alcuna "tolleranza".

Gli Imprenditori si sentono schiacciati dal peso del GDPR

Ma qualcuno ci può spiegare la misura di questa "Larga scala"???

BUFALA Email con account hackerato e richiesta riscatto in bitcoin

BUFALA Email con account hackerato e richiesta riscatto in bitcoin: la Polizia Postale avverte

clicca qui 

Siamo sempre "primi" e non sempre questo è una cosa "buona"

L' Italia si contraddistingue sempre per essere prematura in Europa:
✅ vuole la fattura elettronica prima degli altri paesi in Europa,
✅ anticipa di due anni l'età dei minori sui social.

In vigore da ieri, 19 settembre 2018, la nuova normativa che abbassa a 14 anni compiuti l’età minima per iscriversi autonomamente ai social network in deroga alle norme europee che la fissa invece a 16 anni. Si dividono due Garanti: quello per la privacy, favo

revole, e quello per l’infanzia, contrario.

A quando la prossima Rivoluzione Privacy?

LA FAMIGLIA PRIVACY ITALIANA

Non era meglio fare un nuovo D.Lgs. piuttosto che "novellare" quello vecchio?

Il tuo Gestionale è GDPR compliance?

Una organizzazione di qualsiasi dimensione che adotta un
sistema informatico gestionale che tratta dati personali non in modo conforme al
Regolamento UE 679/2016 di fatto rischia di essere sanzionata perché non ha adottato misure di sicurezza adeguate. Le responsabilità ricadono, in questo caso, sul titolare del trattamento e sul responsabile del trattamento, ove presente.

Non guardare cosa fanno gli altri, pensa a te e alla tua Azienda