Tag: garante privacy

  • Il Data Protection Officer e Data Breach

    Immagine tratta da pixabay.com

    Il Data Breach e il ruolo del Data Protection Officer nella gestione delle comunicazioni.

    Pianificare una procedura di Data Breach e, successivamente, essere in grado di gestire correttamente una violazione di sicurezza che può compromettere dati personali e il corretto funzionamento dei sistemi informativi sono operazioni fondamentali per evitare di incorrere nel così detto “Panico d’organizzazione” che, altrimenti, rischia di causare un effetto paralizzante per l’intero evento concorso. Tutto questo può comportare una serie di conseguenze ed impatti negativi tanto per l’organizzazione quanto per gli interessati coinvolti.

    Facciamo prima alcuni passi indietro.

    Per “Data Breach” intendiamo una violazione di sicurezza che comporta, o accidentalmente o in modo illecito, la perdita, la modifica, l’accesso o la divulgazione non autorizzata ai dati personali.
    Una violazione di questo tipo può compromettere la riservatezza, l’integrità e la disponibilità dei dati e il Titolare del Trattamento che subisce un Data Breach deve notificare, entro 72 ore dalla scoperta, l’avvenimento al Garante per la Protezione dei Dati Personali.

    Per poter gestire correttamente un Data Breach è necessario avere un’organizzazione preparata. Non è raro, comunque, che emerga un “Panico d’organizzazione” nel momento in cui si viene a conoscenza della compromissione dei dati e/o dei sistemi informatici, producendo così comportamenti non programmati e soprattutto incoerenti con gli obiettivi di sicurezza e tutela degli interessati.
    Il panico, alla pari della stupidità, pur essendo ponderabile con una misurazione certa, può essere influenzato da parte delle misure predisposte da parte dell’organizzazione. Se fosse altrimenti un fattore assolutamente imprevedibile o irresistibile ricadrebbe nel novero delle ipotesi di caso fortuito o di forza maggiore per cui non si può essere chiamati a rispondere per effetto di alcuna responsabilità organizzativa.

    Chiarito ciò, viene da chiedersi se e fino a che punto il Data Protection Officer possa, o anzi: debba, essere coinvolto in questa attività preventiva e di gestione. E soprattutto quale ruolo è chiamato a svolgere in relazione alla gestione del fattore umano nel corso di un evento di data breach. Stante l’indipendenza funzionale, il DPO assume più un ruolo di facilitatore, non solo rendendo il proprio parere, ma anche affiancando l’organizzazione nelle comunicazioni con gli stakeholder interni (es. personale, referenti) ed esterni (interessati, autorità di controllo, media). Sempre con il limite di non incorrere, in ragione della posizione o dell’azione intrapresa, in un conflitto di interessi.

    Andando sul piano operativo, nella gestione di una violazione di sicurezza assume un particolare rilievo il fattore della comunicazione interna ed esterna, la cui efficacia è misurabile con riferimento alla tempestività e alla completezza. Entrambi i criteri possono essere indicati dalla legge (ad esempio: NIS o GDPR), o altrimenti dalla volontà dell’organizzazione stessa (ad esempio: politiche e procedure), ma in entrambi i casi il DPO interviene tanto nello svolgimento dei propri compiti di consulenza che di sorveglianza. E un’incapacità o un ritardo nelle comunicazioni ha l’effetto di aumentare il panico effettivo, nonché percepito tanto dagli stakeholder interni che esterni.

    Certamente, l’adozione di un modello organizzativo che assegni in modo chiaro ruoli e responsabilità è fondamentale, così come un’azione di formazione continua per aumentare la consapevolezza e la responsabilizzazione del personale interno. In questo ambito il GDPR prevede espressamente con l’art. 39.1 lett. b) che il DPO debba svolgere un’azione di controllo sulle politiche adottate per “l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti”. Azione che comporta anche l’eventualità di indicare l’assenza delle stesse, oltre che la loro inadeguatezza tenendo conto del parametro dei rischi dei trattamenti.

    Il coinvolgimento del DPO nella comunicazione esterna può inoltre assumere un valore differente nel caso sia svolta per adempiere agli obblighi normativi, quali la notifica all’autorità di controllo o la comunicazione verso gli interessati, o altrimenti concordata all’interno di un tavolo di gestione della crisi. Nel primo novero di esprime un parere da cui il titolare dovrà rendicontare le ragioni di una condotta difforme, mentre nel secondo si va a contemperare con gli altri consulenti strategici dell’organizzazione.

    Premessa fondamentale è ovviamente che il DPO stesso abbia esso stesso per primo capacità di comunicazione. Soft skill che non solo è facilmente deducibile da GDPR, ma si può riscontrare ad esempio anche all’interno della norma di certificazione volontaria UNI 11697:2017.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • I certificati di malattia con “Score”

    La gestione dei certificati di malattia con lo ‘score’: per la Cassazione il fine giustifica i mezzi, ma per la tutela dei diritti degli interessati è una battuta d’arresto.

    Per gestire le domande di indennità di malattia e indirizzare i controlli medici, l’INPS ha per anni utilizzato un software denominato SAVIO. Il programma informatico assegnava ad ogni domanda un indice, o score, collegato a determinate variabili quali la durata della prognosi, il luogo di provenienza del certificato, la quantità dei certificati presentati dal lavoratore, il settore produttivo, l’età, il genere, la qualifica, la retribuzione, la dimensione dell’azienda, la tipologia del rapporto di lavoro. 

    In tal modo alle domande veniva associato un indice relativo alla probabilità di insussistenza della malattia o di decorso prognostico più favorevole rispetto al dichiarato, consentendo all’Istituto di programmare ed effettuare le visite di controllo laddove fosse più ragionevole ipotizzare che il certificato medico riportasse una prognosi più lunga di quanto necessario.

    Il Garante Privacy, con ordinanza-ingiunzione n. 492 del 29 novembre 2018 riteneva che l’INPS avesse violato le disposizioni relative al trattamento dei dati sensibili perché: a) in assenza di idonea informativa, b) per avere trattato in modo illecito dati personali anche idonei a rilevare lo stato di salute, nonché c) per avere effettuato attività di profilazione.
    Con sentenza del 3 marzo 2020, n. 4609, il Tribunale di Roma respingeva il ricorso di INPS. Per quanto quivi attiene ed è di interesse, l’INPS si doleva per due motivi:

    • primo, l’attività di controllo da parte dell’Istituto trovava diretto fondamento nella legge, con la conseguente esclusione della necessità di informare o acquisire autorizzazioni o consensi da parte degli interessati, i quali, peraltro, trasmettevano ad esso Istituto i certificati di malattia di propria volontà ai fini di fondare le rispettive domande previdenziali.
    • secondo, difettava l’imputata profilazione, in quanto il soggetto, del quale non si considerava mai la diagnosi, non veniva mai individuato o inserito in determinate categorie o profili: si prescindeva altresì da qualsiasi profilazione soggettiva, essendo l’indice di cui al software calcolato ogni giorno e mai storicizzato, cosi che al lavoratore non veniva mai associata una variabile idonea a caratterizzarlo per inquadrarlo in qualche categoria o profilo, mancando del tutto qualunque valutazione del comportamento umano, non delineando mai il sistema la personalità dei singoli interessati; inoltre, difettava il trattamento “unicamente” automatizzato, in quanto le ulteriori verifiche venivano effettuate da un medico dell’istituto, il quale decideva in autonomia le visite da effettuare.

    La Corte di Cassazione dà ragione all’INPS su entrambi i motivi.

    Secondo la Corte, l’INPS svolge attività necessaria per adempiere a specifici obblighi o compiti previsti dalla legge in materia di previdenza e assistenza, dovendosi quindi ritenere che l’attività espletata nel caso di specie sia un’attività ampiamente “scriminata” dalle disposizioni normative all’epoca vigenti. Al riguardo la Cassazione distingue tra processi decisionali automatizzati che contemplano un coinvolgimento umano e quelli che, al contrario, affidano al solo algoritmo l’intero procedimento. Nel caso di specie non è contestato che l’apporto umano fosse sempre presente in quanto i medici dell’Istituto venivano chiamati ad effettuare le ulteriori verifiche, risultando quindi il procedimento in esame lecito.
    Per quanto attiene invero alla profilazione, la Corte Suprema ritiene che per aversi profilazione si deve avere: a) in premessa, un’attività di preparazione e predeterminazione di profili e di categorie, tali che vengano individuate delle caratteristiche comuni di persone fisiche per ciascuna di esse; b) in via esecutiva, la successiva applicazione di un “profilo” così disegnato ad una persona fisica. Nel caso trattato, afferma la Cassazione, non vi è stata profilazione: i lavoratori non erano inquadrati in categorie profilate né in alcun modo era valutata la personalità degli stessi, ma solo elementi afferenti alle certificazioni mediche inviate.

    Le conclusioni della Corte meritano alcune osservazioni.

    Un primo elemento attinge alla pertinenza al caso di specie dell’art. 97 della Costituzione, il quale richiede sia assicurato “il buon andamento” dell’amministrazione pubblica. Il software SAVIO, secondo la Corte, nel permettere un più elevato livello di digitalizzazione della P.A., costituisce perciò uno strumento per migliorare la qualità dei servizi resi ed espletati, e ciò proprio nell’ambito delle procedure seriali, implicanti l’elaborazione di ingenti quantità di istanze. Ciò fa così emergere, con tutta la sua forza, l’utilità di tale modalità operativa nella gestione dei pubblici interessi. Tali programmi vengono quindi posti dalla Suprema Corte nell’alveo del detto principio costituzionale.

    Tralasciando le argomentazioni relative alla profilazione – anche quelle meriterebbero delle osservazioni – e, invece, concentrandoci sul primo rilievo, si ricorda che il Garante aveva indicato l’assenza di norme relative in merito ai tipi di dati e alle operazioni eseguibili nell’ambito del trattamento automatizzato e, quindi, l’utilizzo del software era da considerarsi in violazione del “Codice Privacy”. Affermare ora, che INPS agisce per scopi previsti dalla legge – richiamando addirittura l’articolo 97 Cost. – non significa che le decisioni automatizzate assunte non debbano essere regolate da norme che ne disciplinino il tipo di dati e le operazioni eseguibili. E soprattutto, ancor più evidente, perché mai agire per scopi previsti dalla legge dovrebbe esimere dal rendere l’informativa agli interessati?

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Nuovo servizio per segnalare le telefonate indesiderate

    Foto di Porapak Apichodilok – Pexels.com

    È in funzione il nuovo servizio telematico per segnalare al Garante della Privacy la ricezione di telefonate indesiderate, che sostituisce la segnalazione tramite il modello cartaceo, che non dovrà più essere utilizzato, e fa parte di un pacchetto di servizi e di procedure online che il Garante sta implementando per semplificare il rapporto con i cittadini e gli adempienti previsti per i titolari.

    La segnalazione riguarda un singolo Titolare, ma possono essere inserite segnalazioni relative a più chiamate, purché riferite sempre allo stesso Titolare.
    La segnalazione può riguardare anche la ricezione di “telefonate mute”, ovvero quelle chiamate svolte per finalità commerciali in cui la persona contattata, dopo aver risposto, non viene messa in comunicazione con alcun interlocutore, ma l’utente sente una sorta di rumore ambientale chiamato anche “comfort noise”.

    È richiesta la massina accuratezza durante la compilazione dei dati visto che, data la grande quantità di segnalazioni che pervengono al Garante, le informazioni segnate nel modulo saranno esaminate in maniera automatizzata aggregando e confrontando le informazioni ricevute. Si ricorda, inoltre, che le false informazioni rilasciate all’Autorità hanno conseguenze di carattere penale.

    Il sistema automatizzato non permette, inoltre, di inserire segnalazioni generiche del tutto prive di elementi circostanziali (come l’utenza interessata, l’oggetto, la descrizione della promozione, la data e l’ora di ricezione delle telefonate, il numero chiamante, il titolare del trattamento, ecc.).

    Con questo nuovo servizio a beneficio degli utenti vessati dal telemarketing, in particolare quelli che si sono iscritti al Registro Pubblico delle Opposizioni “RPO” senza ottenere i risultati sperati, adesso l’Autorità sarà agevolata nel perseguire gli operatori commerciali di telemarketing che continuano a non rispettare le regole del Codice della Privacy.

    Se 犀利士 avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • GARANTE PRIVACY: SE UN SITO WEB TRASMETTE DATI PERSONALI È NECESSARIO L’UTILIZZO DI PROTOCOLLI SICURI

    Per evitare il rischio di furti d’identità, il titolare deve mettere in atto misure tecniche ed organizzative idonee a garantire un livello di sicurezza adeguato al rischio per i principi di “integrità e riservatezza” sanciti dal Regolamento.

    Per questo un’azienda fornitrice di servizi idrici è stata sanzionata dall’autorità visto che l’accesso al sito web della stessa azienda dedicato ai “servizi online” avveniva tramite il protocollo di rete “http” non crittografato e non sicuro; in questo caso c’era il rischio che i dati inseriti in anagrafica (nomi, cognomi, codici fiscali/partite iva, indirizzi di posta elettronica, numeri di telefono e dati di fatturazione) potessero essere oggetto di furti d’identità.

    Pertanto, si rende necessario mettere in atto, fin dall’inizio, misure tecniche ed organizzative adeguate a tutelare i dati personali e successivamente effettuare revisioni periodiche delle misure di sicurezza adottate.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.