Tag: Privacy

  • Trattamenti automatizzati e condotta del Datore

    Il Tribunale Palermo interviene sulla condotta che deve seguire il Datore di Lavoro che non informa i sindacati sui trattamenti automatizzati.

    Costituisce condotta antisindacale e assume rilevanza anche in sede penale per violazione della sfera personale il comportamento della società che rifiuta di fornire alle organizzazioni sindacali l’informativa contenente la descrizione delle modalità di trattamento delle informazioni utilizzati nei processi decisionali aziendali e che risultano basati su sistemi interni interamente automatizzati.

    Questo è quanto ha previsto la sentenza emessa dalla sezione lavoro del Tribunale di Palermo il 20 giugno 2023 che ha affermato che il costante rifiuto della società di comunicare ai sindacati le informazioni riguardanti la descrizione delle tecniche di automatizzazione dei processi aziendali assunti all’interno della propria organizzazione di lavoro, rappresenta, da un lato una violazione dei diritti sindacali e, dall’altro, rappresenta un illecito di natura penale in quanto considerato lesivo della sfera personale del dipendente.

    Nel caso di specie un dipendente ha chiesto all’azienda di conoscere il funzionamento inerente l’automatizzazione di alcuni processi interni con particolare riferimento ai processi di monitoraggio delle performance del personale dipendente.

    Le ragioni di tale richiesta erano, per la difesa del lavoratore, riconducibili alle mansioni che lo stesso ricopriva in azienda di responsabile della divisione risorse umane e ricerca del personale della società. Si trattava di un ruolo delicato che presupponeva la conoscenza in capo al personale di tutti gli aspetti del processo di recruiting all’interno dei quali si includeva la valutazione delle performance del singolo dipendente. Si argomentava, poi, che l’assolvimento dell’obbligo di informazione da parte dell’azienda era disceso dall’applicazione delle disposizioni del c.d. decreto Trasparenza (D.Lgs. 104/22).

    Il decreto Trasparenza ha riconosciuto alle aziende indipendentemente dalla loro dimensione l’obbligo di spiegare sinteticamente a tutti i dipendenti le proprietà dei software adibiti alla gestione dei rapporti di lavoro.

    A tal proposito il decreto in questione, sulla questione inerente la gestione dei processi automatizzati ha riservato una specifica regolamentazione. Tale regolamentazione ha previsto che il datore di lavoro deve riportare in una apposita informativa la descrizione dettagliata delle modalità con cui è solita effettuare il monitoraggio interno inerente le performance del proprio personale dipendente.

    In altri termini, a seguito dell’emanazione del decreto Trasparenza, l’informazione non poteva più solo essere contenuta all’interno dell’informativa privacy prevista dal regolamento europeo n. 2016/679 in materia di tutela dei dati personali ma doveva essere regolamentata con un documento informativo apposito.

    Ancora più che il legislatore ha da ultimo ulteriormente rafforzato questo diritto di informazione del lavoratore con l’introduzione nell’ordinamento del c.d. decreto Lavoro (dl 48/23 convertito in legge n. 85/23) che ha disciplinato proprio la questione dei processi automatizzati con particolare riguardo alla protezione della sfera della vita personale dei dipendenti.

    Si tratta di un diritto, quello della tutela della sfera personale, costituzionalmente garantito e la cui violazione può essere svolta d’ufficio in sede penale.

    La violazione della sfera personale di una persona rappresenta una autonoma fattispecie giuridica di reato che può essere desunta anche in via presuntiva dallo svolgimento dei fatti narrati e provati durante l’eventuale procedura pendente dinanzi al Tribunale del Lavoro.

    Il dipendente, durante il giudizio di primo grado, ha sostenuto dunque da un lato la violazione del comportamento antisindacale del datore di lavoro poiché quest’ultimo aveva omesso di fornire le informazioni di cui si sta trattando e richieste espressamente dalle organizzazioni sindacali stesse, dall’altro, invece, ha lamentato la lesione della sfera personale del ricorrente.

    Al contrario la linea difensiva della società ha sostenuto che l’obbligo informativo con la descrizione dei software impiegati in azienda per la gestione del personale era stato inviato alla posta elettronica aziendale del personale dipendente. Il dipendente non poteva non essere a conoscenza dell’applicazione in azienda di sistemi automatizzati specifici e riguardanti anche la gestione del personale.

    La società eccepiva poi che tali informazioni fossero coperto da segreto commerciale.

    Dopo le dovute indagini, il Tribunale ha ritenuto che la condotta tenuta dalla società fosse del tutto silente ed omissiva di fronte ad una espressa richiesta delle organizzazioni sindacali, venendo valutata come un rifiuto ad adempiere un obbligo giuridico.

    I giudici di prime cure hanno poi sottolineato l’importanza che i datori di lavoro cooperino alla tutela della sfera personale dei propri dipendenti anche sul luogo di lavoro. Una violazione in tale senso ne pregiudicherebbe, infatti, l’aspetto psicologico causando una lesione alla sfera più intima della persona.

    Sulla base di queste argomentazioni il Tribunale siculo ha riconosciuto che l’omesso e continuato rifiuto da parte della società di comunicare ai sindacati le informazioni già previste dal decreto Trasparenza e, poi riportate nel decreto Lavoro, in materia di automatizzazione dei processi gestionali rilevano non solo sotto il profilo della condotta antisindacale ma anche in sede penale se potenzialmente lesive della sfera personale.

    La sentenza in commento arricchisce un orientamento giurisprudenziale già formatisi in tema di interpretazione delle disposizioni previste dal decreto Trasparenza e che riconosce l’obbligo di garantire una tutela piena alla sfera personale dei propri dipendenti sul posto di lavoro.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Posta aziendale e diritti dei lavoratori

    Il controllo sulla posta elettronica aziendale deve rispettare i diritti del lavoratore.

    La Corte di Cassazione è tornata nuovamente a pronunciarsi sul tema dei controlli difensivi del datore di lavoro sulla posta elettronica aziendale. Ad esempio è stata confermata l’illegittimità del licenziamento di un dirigente bancario per sospetto di infedeltà, ha confermato il principio di diritto espresso nei suoi precedenti (Cassazione n. 25732 del 2021, Cassazione n. 34092 del 2021) sui limiti dei controlli del datore di lavoro nei confronti dei propri dipendenti.

    Nel caso di specie, una banca aveva licenziato un dirigente a seguito di un controllo indiscriminato sulla sua posta elettronica aziendale.

    La Corte d’Appello di Milano aveva dichiarato il monitoraggio illegittimo, in quanto la banca non aveva garantito “la proporzionalità e le garanzie procedurali contro l’arbitrarietà del datore di lavoro”.

    In particolare, la banca:

    • non aveva allegato i “motivi che hanno portato ad un’ indagine così invasiva”;
    • aveva controllato “indistintamente tutte le comunicazioni presenti nel pc aziendale in uso” al lavoratore “e senza limiti di tempo dando vita così ad una indagine invasiva massiccia ed indiscriminata non giustificata”;
    • non aveva informato preventivamente il lavoratore “della possibilità che le comunicazioni che effettuava sul pc aziendale avrebbero potuto essere monitorate né del carattere e della portata del monitoraggio o del livello di invasività nella sua corrispondenza”;
    • non aveva acquisito il consenso del lavoratore al controllo della posta elettronica aziendale come prescritto dal regolamento della cui esistenza, peraltro, il lavoratore non era nemmeno a conoscenza.

    La sentenza è stata, quindi, confermata dalla Corte di Cassazione sulla base dei seguenti rilievi.

    La Corte richiama innanzitutto la distinzione tra i controlli a difesa del patrimonio aziendale che riguardano tutti i lavoratori e che devono essere realizzati nel rispetto dell’art. 4 Statuto dei Lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro) e i controlli anche tecnologici diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti (c.d. “controlli difensivi in senso stretto” ) che sono “all’esterno del perimetro applicativo dell’art. 4” dello Statuto dei Lavoratori e non richiedono il preventivo accordo sindacale o l’autorizzazione dell’ispettorato del lavoro.
    Per quanto riguarda i controlli difensivi in senso stretto i giudici di legittimità ribadiscono che gli stessi sono consentiti solo “in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto”.
    Il controllo deve, quindi, essere “mirato” sul singolo lavoratore ed “attuato ex post”, ossia a seguito del comportamento illecito del lavoratore, in quanto “solo a partire da quel momento il datore può provvedere alla raccolta di informazioni utilizzabili … non essendo possibile l’esame e l’analisi di informazioni precedentemente assunte in violazione delle prescrizioni di cui all’art.4 St. lav.”.

    La Corte sottolinea, poi, che anche in virtù del principio di vicinanza della prova, l’onere probatorio spetta al datore di lavoro, il quale deve “allegare prima e provare poi le specifiche circostanze che lo hanno indotto ad attivare il controllo tecnologico ex post, considerato che solo tale “fondato sospetto” consente al datore di lavoro di porre la sua azione al di fuori del perimetro di applicazione diretta dell’art. 4”.
    Nello specifico, deve trattarsi di “indizi, materiali e riconoscibili, non espressione di un puro convincimento soggettivo, idonei a concretare il fondato sospetto della commissione di comportamenti illeciti.”
    Quanto alla nozione di “fondato sospetto”, la Corte cita alcuni riferimenti utili alla sua definizione ed in particolare la giurisprudenza della Corte EDU secondo cui “l’esistenza di un ragionevole sospetto circa la commissione di illeciti”, mentre “non è accettabile la posizione secondo cui anche il minimo sospetto di appropriazione illecita possa autorizzare l’installazione di strumenti occulti di videosorveglianza”.

    Infine, richiamando quanto stabilito dalla Corte EDU nel caso Barbulescu c. Romania, la Corte di Cassazione indica gli elementi utili ad orientare il bilanciamento del giudice italiano nei casi di controlli difensivi “in senso stretto”, e precisamente: i) l’informazione del lavoratore circa la possibilità che il datore di lavoro adotti misure di monitoraggio, con la precisazione che la stessa dovrebbe, in linea di principio, essere chiara sulla natura della sorveglianza ed essere precedente alla sua attuazione; ii) il grado di invasività nella sfera privata dei dipendenti, tenendo conto, in particolare, della natura più o meno privata del luogo in cui si svolge il monitoraggio, dei limiti spaziali e temporali di quest’ultimo, nonché del numero di persone che hanno accesso ai suoi risultati; iii) l’esistenza di una giustificazione all’uso della sorveglianza e alla sua estensione con motivi legittimi, con la precisazione che quanto più invadente è la sorveglianza, tanto più gravi sono le giustificazioni richieste; iv) la valutazione, in base alle circostanze specifiche di ciascun caso, se lo scopo legittimo perseguito dal datore di lavoro potesse essere raggiunto causando una minore invasione della vita privata del dipendente; v) la verifica di come il datore di lavoro abbia utilizzato i risultati della misura di monitoraggio e se siano serviti per raggiungere lo scopo dichiarato della misura; vi) l’offerta di adeguate garanzie al dipendente sul grado di invasività delle misure di sorveglianza, mediante informazioni ai lavoratori interessati o ai rappresentanti del personale circa l’attuazione e l’entità del monitoraggio, dichiarando l’adozione di tale misura a un organismo indipendente o mediante la possibilità di presentare reclamo.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Le tutele sulla privacy si fermano ai volontari

    Le tutele sulla privacy dell’art. 4 dello Statuto dei Lavoratori vanno oltre il lavoro subordinato, ma si fermano di fronte ai volontari.

    Con la nota n. 2572 del 14 aprile 2023 l’Ispettorato Nazionale del Lavoro ha fornito una serie di indicazioni in merito ai provvedimenti con cui sono autorizzate, ai sensi dell‘art. 4, Legge n. 300/1970 (d’ora in poi solo ‘art. 4’), le installazioni di impianti/strumenti da cui derivi anche la possibilità di controlli a distanza dei lavoratori. Il riferimento espresso agli orientamenti del Garante per la protezione dei dati personali è nato dalla convergenza tra norme giuslavoristiche e norme data protection.
    In riferimento a queste ultime l’Ispettorato del Lavoro ne sottolinea la funzione “contenitiva di eventuali abusi datoriali e potenziali lesioni di ‘beni personali‘” e ricorda che il rispetto delle garanzie di cui all’art. 4 è condizione di ammissibilità dei trattamenti.

    Appare opportuno articolare gli argomenti della nota come di seguito:

    • Accordo con le RSA/RSU e consenso dei lavoratori – Si ribadiscono informazioni che gli interpreti attenti già hanno metabolizzato.
      In primis, l’accordo con le organizzazioni sindacali è la via prediletta dal legislatore per autorizzare il datore di lavoro (e titolare di trattamento) ad installare gli impianti/strumenti da cui derivi anche la possibilità di controlli a distanza delle attività dei lavoratori.
      In secundis, è l’affermazione che il consenso non supplisce alla mancanza di accordo con la componente sindacale, in quanto “il bene giuridico tutelato dalla disposizione (…) ha natura collettiva e non individuale”. Nella richiamata giurisprudenza penale si afferma che è per la “maggiore forza economico-sociale dell’imprenditore, rispetto a quella del lavoratore”, che la procedura codeterminativa è da reputare inderogabile, potendo essere sostituita dall’autorizzazione amministrativa nel solo caso di mancato accordo tra datore di lavoro e rappresentanze sindacali, mentre il consenso dei singoli lavoratori, “in qualsiasi forma prestato (…), non vale a scriminare la condotta del datore di lavoro che abbia installato i predetti impianti in violazione delle prescrizioni dettate dalla fattispecie incriminatrice” (Cass. pen., sent. 1733/2000.
    • Imprese con più unità produttive – Quando le varie unità produttive sono ubicate nell’ambito di competenza di un medesimo ITL, è possibile per il datore di lavoro presentare (in caso di mancato accordo o in assenza delle rappresentanze sindacali) una sola istanza di autorizzazione “in presenza di medesime ragioni legittimanti e avuto riguardo allo stesso sistema”. Attenzione, dunque: è necessario che sia accertata una corrispondenza fattuale tra le fattispecie concernenti le unità produttive. Altrimenti il criterio generale (nei fatti, verosimilmente preponderante) resta quello di presentazione di una istanza per ciascun impianto o strumento rilevante ai sensi dell’art. 4. Quando le unità produttive sono dislocate in diverse province, il datore può stipulare gli accordi con le controparti sindacali di ciascuna unità produttiva ma può anche scegliere di stipulare un accordo generale con le associazioni sindacali comparativamente più rappresentative sul piano nazionale. Mentre ove necessiti l’autorizzazione amministrativa, in alternativa alla presentazione delle istanze ai vari ITL territorialmente competenti, potrà essere richiesta all’INL, sede central.
    • “Integrazioni” alle autorizzazioni già rilasciate – L’INL parla di “istanza di integrazione” per una unità produttiva ulteriore rispetto a quella per cui sia stato già ottenuto provvedimento autorizzativo. Istanza integrativa è termine che potrebbe fuorviare, se dovesse essere inteso come un adempimento ridotto. L’agevolazione è de facto: se la ragione legittimante e l’impianto da istallare sono identici a quelli della prima unità produttiva, l’avvio del procedimento sarà ‘alleggerito’ dalla opportunità di predisporre un’istanza in cui cambiano pochissimi elementi/informazioni (oltre, naturalmente, all’indirizzo della unità produttiva). E dal punto di vista dell’esito, l’ITL avrà da valutare una fattispecie del tutto analoga a quella già autorizzata.
    • Imprese che non hanno ancora assunto lavoratori – Banalmente l’impresa neo-costituita che intenda assumere dei lavoratori dovrà avere ottenuto l’autorizzazione amministrativa prima dell’installazione dell’impianto e indicherà nell’istanza il numero dei lavoratori che ha programmato di assumere e risulteranno alle sue dipendenze all’avvio della attività.
      Segue il caso dell’impresa senza dipendenti che si sia dotata di un impianto legittimamente installato e funzionante. Che cosa fare dovendo procedere alla assunzione di personale? Attenzione: per l’INL l’impresa presenterà l’istanza di autorizzazione in un momento successivo (si intende, alla installazione dell’impianto, non alla assunzione dei lavoratori!) “ma dovrà produrre contestualmente attestazione che lo stesso impianto sarà disattivato non appena il personale sarà adibito al lavoro e che sarà messo nuovamente in funzione soltanto dopo l’eventuale provvedimento autorizzativo dell’Ispettorato del Lavoro”. L’indicazione appare in contrasto con il divieto legale (che è riferito alla “installazione” dell’impianto, a prescindere dalla sua messa in funzione) nella misura in cui è richiesta la sua “disattivazione” in attesa del provvedimento positivo. E’ auspicabile che l’INL voglia prontamente correggere l’indicazione: se non cambia il precetto legale, l’autorità amministrativa non può che attuarlo.
    • Sistemi di geolocalizzazione – L’INL ha censito un sensibile aumento, nel corso degli ultimi anni, delle istanze di autorizzazione riferite a sistemi di geo localizzazione (GPS) da installarsi sugli autoveicoli o su dispositivi (ad es., sistemi palmari, cellulari, computer, ecc.). I suddetti sistemi consentono la raccolta e l’elaborazione di dati di varia natura in modo tale da permettere una verifica continua e puntuale, anche a posteriori, della localizzazione dei mezzi (o dei dispositivi) e del loro tracciamento e, quindi, direttamente o indirettamente, anche del lavoratore che li utilizza. Sono dunque richiamate le varie prescrizioni, elaborate nel tempo dal Garante, di “misure a tutela dei diritti degli interessati consistenti nella configurazione dei sistemi in modo da: escludere il monitoraggio continuo, consentire la visualizzazione della posizione geografica da parte di soggetti autorizzati solo quando strettamente necessario rispetto alle finalità perseguite; consentire, di regola, la disattivazione del dispositivo durante le pause e al di fuori dell’orario di lavoro; effettuare, di regola, i trattamenti mediante pseudonimizzazione dei dati personali (utilizzo di dati non direttamente identificativi); prevedere la memorizzazione dei dati raccolti solo se necessario e con tempi di conservazione proporzionati rispetto alle finalità perseguite”. In tutto e per tutto la sostanza degli interventi è riconducibile alla applicazione dei criteri fissati dall’art. 5 del Regolamento UE 2016/679 (GDPR). Per cui, nel rispetto del principio di necessità, “la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il perseguimento delle finalità legittimamente perseguite”. Parimenti anche l’accesso ai dati (personali) “dovrà avvenire solo ed esclusivamente in funzione delle motivazioni poste a fondamento del provvedimento autorizzativo”, con la conseguenza che ogni diverso trattamento non consentito dei dati renderà utilizzabili le informazioni raccolte ai fini connessi al rapporto di lavoro (art. 4, comma 3). Infine, considerato che il provvedimento dell’ITL è rilasciato in relazione allo strumento di geolocalizzazione in sé, “in costanza delle ragioni legittimanti si ritiene che non sia necessario richiedere l’elenco delle targhe dei veicoli su cui verrà installato l’impianto”.
    • Casi di obbligatorietà degli impianti di videosorveglianza – In presenza di disposizioni normative che impongono l’adozione di impianti di videosorveglianza (a tutela dei minori e degli anziani, nelle sale scommesse) le garanzie dell’art. 4 restano incomprimibili. Unitamente alla disciplina in materia di trattamento dei dati personali, quelle garanzie non possono “subire limitazioni nei casi di sistemi di videosorveglianza imposti da normative di settore”.
    • Lavoratori etero organizzati che eseguono prestazioni lavorative tramite piattaforme digitali – La procedura imposta dall’art. 4 vale anche “per le tipologie di lavoro in relazione alle quali sono normativamente estese, nei confronti del lavoratore, le medesime tutele del lavoro subordinato in ragione delle caratteristiche del rapporto (l’art. 2, comma 1, del d.lgs. n. 81/2015 prevede l’applicazione della disciplina del rapporto di lavoro subordinato alle collaborazioni (…) che si concretano in prestazioni prevalentemente personali, continuative ed eseguite secondo modalità etero organizzate, anche qualora organizzate mediante piattaforme anche digitali”. Inoltre, in base al comma 1 dell’art. 47-quinquies, d. lgs. n. 81/2015, alle prestazioni lavorative sviluppate tramite piattaforme digitali si applicano la disciplina antidiscriminatoria e quella a tutela della libertà e dignità del lavoratore previste per i lavoratori subordinati, per cui l’operatività dell’art. 4 è da estendere anche a tali categorie di lavoratori autonomi.
    • Tutele ex art. 4 non estese ai volontari (non sono lavoratori) – Al di fuori delle tipologie di lavoro sopra indicate resta fermo il divieto di interpretazione analogica della disciplina penale ricollegata alla previsione dell’art. 4, con riferimento a tutte le realtà associative che si avvalgano di volontari di cui al d. lgs. n. 117/2017 (Codice del Terzo settore). Per l’art. 17, comma 5, “la qualità di volontario è incompatibile con qualsiasi forma di rapporto di lavoro subordinato o autonomo e con ogni altro rapporto di lavoro retribuito con l’ente di cui il volontario è socio o associato o tramite il quale svolge la propria attività volontaria”. Non sono pertanto applicabili ai volontari le tutele accordate dall’art. 4, mentre restano applicabili – è quasi superfluo affermarlo – le disposizioni in materia di privacy e protezione dei dati personali.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Organigramma e Funzionigramma Privacy

    Ogni impresa o Pubblica Amministrazione che riveste il ruolo privacy di titolare del trattamento, nel predisporre un modello organizzativo privacy e, comunque, prima di definire un percorso di conformità al GDPR deve necessariamente innestare, sull’architettura generale della propria organizzazione, una specifica struttura organizzativa privacy, attribuendo ad ogni entità, nell’ambito del proprio assetto organizzativo, ruoli e responsabilità funzionali a presidiare i dati personali.

    Il titolare deve predisporre un organigramma ed un funzionigramma privacy.

    Tale schema è funzionale ad assicurare che il titolare abbia sempre il pieno controllo di tutti i trattamenti, anche di quelli che vengono effettuati per suo conto da altre entità (i.e. i responsabili del trattamento).

    Si tratta, però, evidentemente di un organigramma piatto (flat) che descrive una struttura organizzativa con un solo livello di gestione tra il titolare e tutti i dipendenti/autorizzati e gli eventuali responsabili del trattamento/sub responsabili.

    Questo tipo di struttura, molto accentrata, è solitamente utilizzata da liberi professionisti o piccole imprese ma evidentemente non appare adeguata a Pubbliche Amministrazioni o imprese medio/grandi.

    L’art. 2 quaterdecies del Codice Privacy è una forma di declinazione del principio di accountability, poichè stabilisce che il titolare, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, individuando le modalità che ritiene più opportune, può attribuire specifici compiti e funzioni, connessi al trattamento di dati personali, a persone fisiche, espressamente designate, che operano sotto la sua autorità.

    Così, sulla base di questa norma, l’impresa o la Pubblica Amministrazione che riveste il ruolo di titolare può modellare, all’interno della propria organizzazione, specifici ruoli ulteriori rispetto a quelli dell’autorizzato e del responsabile del trattamento. Sono particolari ruoli che vengono in genere definiti designato o anche delegato poiché la categoria giuridica utilizzata per l’attribuzione del ruolo è la delega di funzioni.

    Utilizzando questa particolare leva è così possibile attribuire, all’interno dell’organizzazione del titolare, ruoli e responsabilità diversificati ed adeguati alle varie esigenze operative.

    Così, ad esempio, i soggetti ai quali è attribuito il potere decisionale circa finalità e mezzi dei trattamenti potranno assumere il ruolo privacy di “Esercente la funzione di titolare” mentre ai “middle managers” potrà essere attribuito il ruolo di “designato/delegato”.

    È così possibile disegnare un organigramma ed un funzionigramma privacy più articolato, in cui vengono delineati analiticamente i compiti attribuiti e sono contestualmente individuati ulteriori livelli di responsabilità rispetto all’organigramma “flat” disegnato considerando soltanto le indicazioni stabilite nel GDPR.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • La difesa non giustifica l’accesso alla mail

    La difesa in giudizio di un’indagine non giustifica l’accesso alla posta elettronica del lavoratore coinvolto.

    Il legittimo interesse a trattare dati personali per difendere un proprio diritto in giudizio non annulla il diritto dei lavoratori alla protezione dei dati personali. Tanto più se riguarda una forma di corrispondenza, come i messaggi di posta elettronica, la cui segretezza è tutelata anche costituzionalmente.

    È il motivo per cui un’azienda è stata sanzionata di recente, dato che, dopo l’interruzione della collaborazione lavorativa con un’esponente di una cooperativa, ne aveva mantenuto attivo l’account di posta elettronica, prendendo visione del contenuto e impostando un sistema di inoltro verso un dipendente della società.

    La collaboratrice, prima che si definisse il rapporto di lavoro con l’azienda, aveva raccolto, a nome dell’azienda stessa e tramite una casella mail aperta per l’occasione, i riferimenti di potenziali clienti incontrati ad una fiera.

    Secondo l’azienda poi, il successivo tentativo di contattarli a nome della propria cooperativa aveva in seguito portato ad un contenzioso giudiziale.

    Quindi, nel timore di perdere i rapporti coi potenziali clienti, l’azienda non si era limitata a scrivere per spiegare loro che la persona era stata rimossa, ma ne aveva anche visionato le comunicazioni. È bene ricordare che né l’esigenza di mantenere i rapporti con i clienti né l’interesse a difendere un proprio diritto in giudizio, legittimano un tale trattamento di dati personali. Per realizzare un adeguato bilanciamento degli interessi in gioco (necessità di prosecuzione dell’attività economica del titolare e diritto alla riservatezza dell’interessato) sarebbe stato sufficiente attivare un sistema di risposta automatico, con l’indicazione di indirizzi alternativi da contattare, senza prendere visione delle comunicazioni in entrata sull’account.

    Nel corso del procedimento è emerso anche che l’azienda, in quanto titolare del trattamento, non aveva fornito all’interessata né idoneo riscontro alla richiesta di cancellazione della casella e-mail né l’informativa sul trattamento dati. A nulla vale il fatto che il contratto di assunzione non fosse stato ancora firmato. Come ricorda l’Autorità, nell’ambito di trattative precontrattuali, infatti, l’obbligo di informare gli interessati è espressione del principio generale di correttezza.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Rischio privacy per una riparazione del pc

    Foto di Field Engineer – Pexels.com

    Privacy a rischio anche per una semplice riparazione del computer: il 37,5% dei tecnici dell’assistenza curiosano nei dispositivi dei clienti.

    Capita a tutti di dover portare un pc o un laptop in assistenza, e sicuramente in tali circostanze ci si chiederà se i tecnici curioseranno tra i file archiviati sul proprio computer, comprese foto e filmati. Secondo un’indagine condotta dall’Università di Guelph in Canada, purtroppo la risposta in molti casi è “sì”, sia per chi si rivolge ad un negozio di informatica locale sia per chi si rivolge al servizio di assistenza di una catena o del produttore del dispositivi elettronici.

    Nello specifico, le violazioni della privacy rilevate dalla ricerca riguardano i dati privati che quasi mai hanno a che fare con il problema del pc, ad esempio ben 6 tecnici su 16 (37,5%) guardano i file e i dati personali dei clienti e a volte li copiano pure su dispositivi esterni (2 su 16).

    Secondo l’indagine dell’università canadese, queste intromissioni nella sfera privata degli ignari utenti avvengono con la stessa frequenza nei negozi locali e nelle grandi catene, ma soprattutto essendo condotte da tecnici specializzati spesso è anche difficile rilevare segnali di tale attività illegale e scorretta nei confronti dei clienti.

    Dato che non è possibile sapere quando si avrà bisogno di assistenza tecnica, le aziende informatiche che trattano di privacy forniscono alcune “best practices” per seguire norme di sicurezza che proteggano sempre i dati e che riducano il rischio di una violazione della privacy sui dati memorizzati nel proprio computer:

    per seguire norme di sicurezza che proteggano sempre i dati e che riducano il rischio di una violazione della privacy sui dati memorizzati nel proprio computer:

    • verificare in rete opinioni e recensioni di un negozio locale per verificare la reputazione del tecnico. In caso di sospetti, rivolgersi all’assistenza del produttore del dispositivo;
    • se è possibile ancora accedere ai dati e utilizzare il computer prima di portarlo a riparare fare un backup dei dati e rimuovere i file più critici;
    • rimuovere tutti i dispositivi di archiviazione esterna;
    • utilizzare un software di crittografia per protegge i file;
    • nei casi più estremi, utilizzare un software di cancellazione sicura per eliminare tutti i dati personali dal computer (dopo aver fatto il backup) e le tracce delle ultime attività online;
    • non condividere le password se non è necessario per effettuare la riparazione.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Decreto Trasparenza al lavoratore

    Decreto Trasparenza al lavoratore; meglio un’unica informativa privacy.

    Il decreto 104/2022, noto anche come Decreto Trasparenza, impone l’obbligo ai datori di lavoro di dare informazioni esaustive ai lavoratori a proposito dei sistemi decisionali o di monitoraggio automatizzati utilizzati nel corso dell’attività lavorativa e per la gestione dei rapporti di lavoro (fin dalla fase pre-assuntiva).

    Quindi, ci sono due livelli informativi che stanno in piedi entrambi e il Garante raccomanda, per i rapporti di lavoro instaurati dopo l’1/8/2022, che le specifiche informazioni sui sistemi decisionali o di monitoraggio automatizzati siano fornite congiuntamente alle informazioni previste dal Gdpr e «quindi nello stesso documento».

    Sul punto si aggiunge che se si inserisce nell’informativa privacy il blocco informativo del decreto Trasparenza, è meglio comunque darne evidenza formale, ad esempio con paragrafi separati e con un titolo esplicito. Se, invece, si mettesse tutto insieme, si potrebbe alimentare il dubbio su eventuali omissioni: d’altra parte, come scrive il Garante, ci sono alcune informazioni del decreto 104 che sono una specificazione di informazioni già previste dal Gdpr.

    Quanto alle sanzioni rimane, tra l’altro, sempre da chiarire quali si applichino (se quelle del Gdpr o quelle del decreto Trasparenza), per lo meno con riferimento alle violazioni degli obblighi informativi presenti, in forma rispettivamente generale e specifica, in tutte e due le normative.

    Per i rapporti di lavoro anteriori all’1/8/2022 i dipendenti possono ottenere le informazioni previa richiesta scritta al datore di lavoro, tenuto a rispondere entro 60 giorni: questa procedura, scrive il Garante, si aggiunge a quella prevista dal Gdpr per l’accesso ai dati (per la quale c’è, però, il diverso termine di risposta, di regola, di un mese).

    Il Garante punta, poi, l’attenzione su altri adempimenti previsti da altre leggi e dal Gdpr, che i datori di lavoro non devono dimenticare. Non c’è solo l’informativa, ma ci sono anche: gli obblighi relativi ai controlli a distanza; la valutazione di impatto privacy, anche quando si comprano prodotti da terzi (il datore deve disattivare funzioni illegittime) l’aggiornamento (senza obbligo di notizia ai lavoratori) del registro dei trattamenti.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • SOLLECITO PER UNA FATTURA, MA È UN VIRUS

    Impiegato riceve un sollecito per una fattura scaduta ma è un virus: privacy dei dipendenti violata e sanzione all’azienda.

    Foto di Pixabay – pexels.com

    Un ingenuo impiegato di Interserve, una grossa società che nel Regno Unito opera come fornitore strategico del governo e tra i propri clienti, ha abboccato ad una classica mail di phishing inviata da un falso fornitore che sollecitava il pagamento di una fattura scaduta con tanto di file allegato che conteneva, invece del documento, un ransomware capace di crittografare tutti i dati presenti nei server aziendali compresi quelli del personale.

    Quando il dipendente ha aperto la mail contente il malware ha scartato l’ipotesi che si potesse trattare di un messaggio nefasto per l’attività girandola così al collega dell’amministrazione sottolineando che si trattava di una fattura da pagare. Quando quest’ultimo ha cliccato sul file ZIP allegato la segnalazione dell’antivirus ha riconosciuto il file scaricato ed estratto come sospetto mettendolo in automatico in quarantena per poi proseguire con la propria mansione senza preoccuparsene troppo. Il danno, ormai, era stato fatto.

    Anche se la rimozione del virus da parte del programma sembrava essere andata a buon fine in realtà l’hacker aveva mantenuto l’accesso al pc del dipendente che in quel momento si trovava in smart working a causa della pandemia e, durante i giorni seguenti, il cybercriminale ha compromesso 283 sistemi e 16 account in quattro domini e riuscendo a mettere le grinfie anche su 4 database in cui erano memorizzati tutti i dati personali dei 11300 dipendenti comprese molte informazioni sensibili di ciascuno di essi.

    “Questa violazione dei dati potrebbe causare danni reali ai dipendenti, poiché li ha resi vulnerabili alla possibilità di furto di identità e frode finanziaria“, ha spiegato John Edwards, che guida l’autorità inglese per la protezione dei dati, la quale al termine dell’istruttoria su questo disastroso data breach lo scorso 24 ottobre ha reso noto di aver inflitto alla Interserve una sanzione pari a circa 5,1 milioni di euro.

    Nel comunicato stampa pubblicato sul proprio sito istituzionale, il garante inglese si è espresso anche aspramente nei confronti della società: “Lasciare la porta aperta ai cyber-attaccanti non è mai accettabile, soprattutto quando si ha a che fare con le informazioni più sensibili delle persone. Il più grande rischio informatico che le aziende devono affrontare non viene dagli hacker al di fuori della loro azienda, ma dalla noncuranza all’interno della stessa“.

    Probabilmente, quelle parole messe nero su bianco dall’autorità che pesano come un macigno sulla reputazione della Interserve, sono scaturite anche dal fatto che, se da una parte la società aveva prodotto un fiume di procedure, (tra cui la policy sulla sicurezza delle informazioni, quella sulla gestione delle minacce e delle vulnerabilità, oltre a linee guida per la risposta agli incidenti ransomware, etc.), nei fatti però tutto ciò serve a ben poco “se la tua azienda non monitora regolarmente le attività sospette nei suoi sistemi e non agisce in base agli avvisi, o non aggiorna il software e non fornisce formazione al personale“, come ha rimarcato lo stesso John Edwards.

    “Sprovveduto o incompetente quanto si voglia qualificare quell’impiegato pur di trovare un capro espiatorio, è chiaro però che in realtà il suo maldestro operato non è altro che il risultato di una gestione perlopiù burocratica dei temi della privacy e della cybersecurity che produceva tanta carta e pochi fatti.”

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • Decreto trasparenza: le disposizioni transitorie non sono poi così transitorie

    Il 13 agosto scorso è entrato in vigore il D.lgs. 104/2022 “Decreto trasparenza” che sottolinea l’importanza di comunicare a ciascun lavoratore in modo chiaro e trasparente le informazioni ivi previste per tutelare i propri diritti.

    Riguardo agli obblighi di trasparenza da parte del datore di lavoro, si possono sintetizzare le seguenti situazioni: rapporti di lavoro sorti dal 13 agosto 2022 in poi, per i quali trova piena applicazione il decreto trasparenza, con conseguente obbligo da parte del datore di lavoro di fornire le informazioni integrative al lavoratore prima dell’inizio dell’attività lavorativa ed almeno 24 ore prima in caso di modifica incidente sulle predette informazioni. In questo caso il lavoratore non deve effettuare alcuna richiesta, dovendo ricevere le informazioni direttamente dallo stesso datore di lavoro, garantendo la massima trasparenza.

    1. rapporti di lavoro sorti dal 13 agosto 2022 in poi , per i quali trova piena applicazione il decreto trasparenza, con conseguente obbligo da parte del datore di lavoro di fornire le informazioni integrative al lavoratore prima dell’inizio dell’attività lavorativa ed almeno 24 ore prima in caso di modifica incidente sulle predette informazioni. In questo caso il lavoratore non deve effettuare alcuna richiesta, dovendo ricevere le informazioni direttamente dallo stesso datore di lavoro, garantendo la massima trasparenza.
    2. rapporti di lavoro instaurati alla data del 1° agosto 2022 dove il lavoratore per ricevere le informazioni previste dal decreto trasparenza deve effettuare una richiesta scritta al datore di lavoro o al committente, la cui mancanza non fa sorgere alcun obbligo in capo a quest’ultimo.
    3. Una volta effettuata la richiesta, in caso di modifica dei trattamenti incidente sulle informazioni integrative di cui all’art. 1-bis, il lavoratore deve essere informato almeno 24 ore prima. rapporti di lavoro instaurati tra il 2 e il 12 agosto 2022 per i quali il lavoratore deve effettuare richiesta scritta come al punto precedente.


    Secondo le tempistiche dettate dalla legge, si instaura una differenza di trattamento tra dipendenti in base alla data dell’inizio del rapporto di lavoro; per questo motivo il datore di lavoro è invitato a dare a tutti i lavoratori le informazioni previste riducendo il rischio di vertenze fondate su presunti trattamenti pregiudizievoli.

    L’ispettorato del lavoro, imputato ad effettuare i controlli relativi agli adempimenti del Decreto Trasparenza, dovrà applicare le sanzioni amministrative pecuniarie nei confronti del datore di lavoro o del committente.
    In ogni caso, relativamente al Decreto Trasparenza,  restano da chiarire una serie di punti.

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.

  • La ripetibilità nella privacy è utile?

    La valutazione del rischio è un concetto applicabile a vari ambiti, quali la sicurezza nei luoghi di lavoro, la sicurezza alimentare e la privacy. Facendo riferimento a questo ultimo campo citato l’analisi del rischio si traduce, sinteticamente, nella valutazione dell’impatto e della probabilità del verificarsi di possibili minacce per i trattamenti dei dati personali da parte delle aziende.

    Il processo di valutazione del rischio privacy è composto da 4 fasi:

    • identificazione dei pericoli;
    • analisi dei pericoli;
    • valutazione dei pericoli;
    • trattamento del rischio.


    Affinché una valutazione del rischio possa essere considerata “di buona qualità” deve possedere alcune caratteristiche. Una di queste è la “ripetibilità”, ovvero garantire che la valutazione dia risultati simili e confrontabili nel tempo.
    La valutazione del rischio dovrebbe essere svolta regolarmente almeno una volta all’anno, oppure, ogni volta che si evidenziano cambiamenti significativi circa il contesto nel quale opera l’organizzazione, inoltre ripetere la valutazione porta al miglioramento della metodologia utilizzata e permette di constatare se le misure introdotte sono efficienti o devono essere modificate.

    La ripetibilità è una caratteristica fondamentale della valutazione del rischio perché garantisce al titolare dei dati che il gruppo, o il valutatore singolo, che ha il compito di svolgere la valutazione del rischio abbia ricevuto le stesse informazioni delle valutazioni precedenti, rendendola il più possibile oggettiva.

    Per rendere coerenti tra loro successive valutazioni del rischio relative al medesimo contesto è necessario che le informazioni rimangano coerenti nel tempo. Il gruppo di valutazione o il valutatore singolo deve seguire le linee guida stabilite che definiscono l’approccio e gli strumenti per il calcolo della probabilità di rischio e dei fattori che intervengono a determinare tale valore. Per rendere ripetibile una valutazione del rischio è opportuno seguire lo standard ISO/IEC 27701:2019 che specifica i requisiti e fornisce una guida per stabilire, implementare, mantenere e migliorare continuamente un PIMS (Privacy Information Management System).

    Se avete dei dubbi non esitate a contattarci! Eco-Verde è una società di consulenza che offre attività di supporto, supervisione e revisione della documentazione e delle procedure aziendali che comportano il trattamento di dati personali per l’adeguamento ad una normativa in costante evoluzione, a seguito dell’entrata in vigore del GDPR.

    Eco-Verde s.r.l.