Ispezioni sul rispetto della normativa Privacy

Il Garante per la protezione dei dati personali, prosegue con le attività di controllo (svolte attraverso la Guardia di Finanza) in merito ai trattamenti di dati svolti nell’ambito di settori particolarmente delicati, quali la fatturazione elettronica, il whistleblowing, il food delivery, il rispetto delle azioni in caso di data breach. 

Le verifiche avranno ad oggetto anche le società che operano nel settore del “rating reputazionale”.

Ulteriori ispezioni sono programmate dal Garante per verificare il rispetto delle norme nel rilascio di certificati tramite l’Anagrafe nazionale della popolazione residente, e nell’attività di marketing, sia nel settore pubblico che privato.

Saranno effettuati controlli anche sull’adozione delle misure di sicurezza da parte di pubbliche amministrazioni e di imprese che trattano particolari categorie di dati personali, sulla corretta somministrazione dell'informativa e l'acquisizione del consenso al trattamento dei dati.

Saranno inoltre verificati i tempi di conservazione dei dati. 

Si ricorda che le attività ispettive sono attivate anche su  segnalazioni e reclami, con particolare attenzione alle violazioni più gravi.

Il Garante della Privacy riporta inoltre un primo bilancio dell’attività ispettiva e sanzionatoria nel primo semestre del 2020 registrando un notevole incremento delle entrate complessive derivanti dalle sanzioni che passano da 1 milione 223mila euro del primo semestre del 2019 a 7 milioni 108 mila euro, con un aumento del 481% 

Sono state effettuate, inoltre, iscrizioni a ruolo per un importo complessivo di 5 milioni 42 mila euro (+124%) a fronte dei 2 milioni 248mila euro del primo semestre 2019, che hanno riguardato trasgressori che non si sono avvalsi della facoltà di definizione agevolata prevista dal decreto legislativo n.101 del 2018.

Covid-19: classificato secondo le categorie degli agenti biologici

Attraverso la direttiva (Ue) 2020/739 (pubblicata sulla G.U.C.E. L del 4 giugno 2020, n. 175), il Covid-19 è stato classificato come agente biologico di categoria 3. La direttiva dovrà essere recepita attraverso un atto normativo nazionale ma, ad oggi, rappresenta un punto di riferimento (seppure in divenire) per la classificazione del rischio nelle aziende italiane.
Il provvedimento va a modificare l’allegato III alla direttiva 2000/54/CE del Parlamento Europeo e del Consiglio per quanto riguarda l’inserimento del Sars-CoV-2 nell’elenco degli agenti biologici per i quali è nota la possibilità di causare malattie infettive nell’uomo.
La direttiva 2020/739, una volta recepita nell'ordinamento italiano tramite un decreto attuativo, andrà a modificare il titolo X del D.Lgs. n. 81/2008 (c.d. “Testo unico sulla sicurezza”).
Si ricorda che ai sensi del sopra citato Testo Unico, la classificazione per categorie degli agenti biologici è così ripartita:

a) agente biologico del gruppo 1: un agente che presenta poche probabilità di causare malattie in soggetti umani;

b) agente biologico del gruppo 2: un agente che può causare malattie in soggetti umani e costituire un rischio per i lavoratori; è poco probabile che si propaghi nella comunità; sono di norma disponibili efficaci misure profilattiche o terapeutiche;

c) agente biologico del gruppo 3: un agente che può causare malattie gravi in soggetti umani e costituisce un serio rischio per i lavoratori; l'agente biologico può propagarsi nella comunità, ma di norma sono disponibili efficaci misure profilattiche o terapeutiche;

d) agente biologico del gruppo 4: un agente biologico che può provocare malattie gravi in soggetti umani e costituisce un serio rischio per i lavoratori e può presentare un elevato rischio di propagazione nella comunità; non sono disponibili, di norma, efficaci misure profilattiche o terapeutiche.

Attività di ispezione sulla Privacy: la programmazione del Garante per il primo semestre 2020 e le sanzioni del 2019

Il Garante ha definito i settori che saranno oggetto di verifica nei primi sei mesi del 2020 e, in particolare riguarderanno:

- i trattamenti di dati svolti nell’ambito della sanità e, più precisamente, gli enti pubblici che si occupano della “medicina di iniziativa” e le multinazionali del settore farmaceutico e sanitario.

- i trattamenti di dati effettuati dagli intermediari dell’ambito della fatturazione elettronica;

- le società che gestiscono banche dati reputazionali e dalle società di food delivery;

- il rispetto delle norme nel rilascio di certificati tramite l’Anagrafe nazionale della popolazione residente,

- il trattamento dei dati per attività di marketing, e-banking, gestione delle carte di fedeltà;

- l’uso di software per la gestione delle segnalazioni di condotte illecite (il cosiddetto “whistleblowing”);

- la gestione in caso di violazioni della sicurezza dei dati (data breach).

Saranno inoltre effettuati controlli sulle misure di sicurezza da parte di pubbliche amministrazioni e di imprese che trattano categorie di dati particolari, sulla corretta somministrazione di informativa e acquisizione del consenso, oltre che sui tempi di conservazione dei dati.

Si rileva inoltre che nel corso del 2019 sono state applicate sanzioni per 15.910.390 euro oltre ad iscrizioni a ruolo per un importo complessivo di 12.243.267 euro, riguardanti trasgressori che non si sono avvalsi della facoltà di definizione agevolata prevista dal decreto legislativo n.101 del 2018.

Adempimenti e controlli privacy sempre più vicini

Si avvicina il termine ultimo per l'applicazione "morbida" del D.Lgs.101/2018 con il quale è stata definita più in dettaglio l'applicazione del già efficace Regolamento Europeo n.2016/679 (meglio conosciuto come GDPR).

In sostanza, sia il Regolamento Europeo che il Decreto Legislativo italiano sono già perfettamente applicati tuttavia, la norma italiana ha previsto un periodo di 8 mesi dalla sua entrata in vigore, durante i quali il Garante per la Privacy terrà conto della novità normativa nello svolgimento delle proprie attività di controllo e di applicazione delle sanzioni.

Il periodo sopra citato terminerà a maggio 2019, ma preme ricordare che non si tratta di sospensione dell'applicabilità della normativa o delle sanzioni.

Pertanto, in caso di contestazioni da parte di soggetti interessati in periodo precedente la scadenza, le autorità chiamate a giudicare applicherebbero le sopra citate norme (pur con eventuale occhio di riguardo dato dalla recente normazione) senza concedere esoneri da responsabilità.

GDPR e consulenti del lavoro: Responsabili o Titolari?

Attraverso la newsletter del 7 febbraio 2019, il Garante per la Privacy ha chiarito la corretta interpretazione del ruolo dei consulenti del lavoro in merito alla protezione dei dati personali e, nello specifico, con riferimento al GDPR.

In sostanza, il consulente del lavoro che tratti i dati dei propri dipendenti è Titolare del trattamento.

Nei confronti dei propri clienti (e dei loro dipendenti) assume invece il ruolo di Responsabile del trattamento in quanto, di fatto, tratta dati per conto del Titolare - cliente.

Con questo chiarimento pare risolto il dubbio che da mesi produce il rimando di competenze e responsabilità tra il Consulente del lavoro ed i propri clienti.

Richiesta preventivo adeguamento privacy 2018

Per richiedere un preventivo sulla consulenza per adeguarsi al GDPR (Reg.UE 2016/679) compilare il modulo (stampato o da PC) ed inviare a progettoaziendams@gmail.com

Formato .PDF: clicca qui

Formato .doc: clicca qui

Privacy - si avvicina la scadenza del "GDPR"

Il nuovo Regolamento Europeo sulla protezione dei dati personali

Il 25 maggio 2018 scadranno i termini per adeguarsi al nuovo Reg.UE n.2016/679 in materia di protezione dei dati personali.

Si tratta di una norma che ricade su tutte le imprese e studi professionali che trattano dati personali di soggetti fisici (dipendenti, clienti, fornitori). A seconda del tipo di dati personali trattati (generici, particolari, giudiziari, ecc.) sono richiesti adempimenti differenti che permettono di adeguarsi in modo diverso secondo le reali esigenze.

Alla base dell’adeguamento si trova un’analisi dei dati presenti, del loro percorso in azienda (ed eventualmente verso terzi come commercialista, avvocato, ecc.) con la definizione delle misure di sicurezza necessarie (sia informatiche che tecniche ed organizzative).

Gli aspetti di cui tenere conto sono in particolare rivolti a garantire:

- che solo chi è autorizzato possa accedere ai dati posseduti (quindi nessuna intrusione o sottrazione)

- che i dati non vengano perduti (quindi nessuna perdita per cancellazione, guasto, ecc.)

In determinati casi occorre nominare un Responsabile della Protezione Dati che dovrà eseguire monitoraggi regolari sullo stato di sicurezza dei dati trattati.

Informativa e consenso al trattamento: occorre fornire adeguata informativa (nuova rispetto a quella precedente di cui al “vecchio” D.Lgs.196/2003) e ottenere il consenso al trattamento dei dati.

Tutti coloro che trattano dati per l’azienda o lo studio devono essere in possesso di nomina da parte del Titolare (siano essi interni o esterni) con definizione precisa di quanto loro consentito.

Sanzioni

Il Regolamento prevede sanzioni che arrivano fino a 20 milioni di euro o, se non bastasse, fino al 4% del fatturato annuo mondiale dell’impresa sanzionata.

 

Costi di adeguamento

Variano in base a: tipo di dati presenti, estensione e modalità del trattamento, complessità organizzativa.

Di sicuro NON è accettabile un adeguamento “sulla carta” con analisi preconfezionate e non aderenti alla realtà aziendale.

Progetto Azienda Sas dispone di personale qualificato in materia legale, tecnica e amministrativa, con all’attivo decine imprese adeguate, docenze a corsi di formazione e seminari e pubblicazioni.

Per qualsiasi informazione si invita a contattare:

dott. ing. Alessandro Badiale – progettoaziendams@gmail.com cel. 3496338177