Sanzioni anche per la Pubblica Amministrazione

Una sanzione di 75.000€ al Ministero dello Sviluppo Economico per tardiva nomina del Responsabile della Protezione Dati (quello che in gergo viene chiamato RPD oppure DPO - Data Protection Officier) è stata recentemente irrogata dal Garante della Privacy.

La tardiva nomina sarebbe emersa a seguito dell'istruttoria di un procedimento inerente la pubblicazione integrale dei curricula di molti manager attraverso la quale sarebbe stato possibile attuare furto di identità (erano presenti anche numeri di cellulare e, in alcuni casi, copie del documento di identità) e creazione di database con profilazioni non autorizzati.

Il Garante ha ritenuto, inoltre, che la pubblicazione dei curricula senza alcun filtro, rappresenta un trattamento sproporzionato rispettoai principi dettati dal Gdpr in quanto sarebbe stato sufficiente utilizzare strumenti meno invasivi rispetto alla pubblicazione sul web dei dati e delle informazioni di tutti i manager, evitando il rischio di utilizzi illeciti da parte di terzi.

Controlli del Garante sui social network

Recentemente sono stati avviati controlli e richieste da parte del Garante della Privacy nei confronti dei più conosciuti social network. 

Le verifiche sono volte a capire quali siano i modi adottati per il controllo dell'età degli iscritti poiché sono state evidenziate situazioni critiche inerenti minori che operano in modo intenso e continuativo sulle piattaforme in esame. 

Al momento i social interessati dalle attività di controllo hanno ricevuto richieste di chiarimenti da fornire entro termini piuttosto brevi (15 giorni salvo eventuali proroghe). Al termine del procedimento potremo comprendere come evolverà la non facile situazione. 

Da rilevare che la verifica dell'età di chi si iscrive ad una piattaforma può essere particolarmente difficoltosa a meno di non richiedere dati personali specifici (immagine di un documento di identità, ecc.).

 

Ispezioni sul rispetto della normativa Privacy

Il Garante per la protezione dei dati personali, prosegue con le attività di controllo (svolte attraverso la Guardia di Finanza) in merito ai trattamenti di dati svolti nell’ambito di settori particolarmente delicati, quali la fatturazione elettronica, il whistleblowing, il food delivery, il rispetto delle azioni in caso di data breach. 

Le verifiche avranno ad oggetto anche le società che operano nel settore del “rating reputazionale”.

Ulteriori ispezioni sono programmate dal Garante per verificare il rispetto delle norme nel rilascio di certificati tramite l’Anagrafe nazionale della popolazione residente, e nell’attività di marketing, sia nel settore pubblico che privato.

Saranno effettuati controlli anche sull’adozione delle misure di sicurezza da parte di pubbliche amministrazioni e di imprese che trattano particolari categorie di dati personali, sulla corretta somministrazione dell'informativa e l'acquisizione del consenso al trattamento dei dati.

Saranno inoltre verificati i tempi di conservazione dei dati. 

Si ricorda che le attività ispettive sono attivate anche su  segnalazioni e reclami, con particolare attenzione alle violazioni più gravi.

Il Garante della Privacy riporta inoltre un primo bilancio dell’attività ispettiva e sanzionatoria nel primo semestre del 2020 registrando un notevole incremento delle entrate complessive derivanti dalle sanzioni che passano da 1 milione 223mila euro del primo semestre del 2019 a 7 milioni 108 mila euro, con un aumento del 481% 

Sono state effettuate, inoltre, iscrizioni a ruolo per un importo complessivo di 5 milioni 42 mila euro (+124%) a fronte dei 2 milioni 248mila euro del primo semestre 2019, che hanno riguardato trasgressori che non si sono avvalsi della facoltà di definizione agevolata prevista dal decreto legislativo n.101 del 2018.

Covid-19: classificato secondo le categorie degli agenti biologici

Attraverso la direttiva (Ue) 2020/739 (pubblicata sulla G.U.C.E. L del 4 giugno 2020, n. 175), il Covid-19 è stato classificato come agente biologico di categoria 3. La direttiva dovrà essere recepita attraverso un atto normativo nazionale ma, ad oggi, rappresenta un punto di riferimento (seppure in divenire) per la classificazione del rischio nelle aziende italiane.
Il provvedimento va a modificare l’allegato III alla direttiva 2000/54/CE del Parlamento Europeo e del Consiglio per quanto riguarda l’inserimento del Sars-CoV-2 nell’elenco degli agenti biologici per i quali è nota la possibilità di causare malattie infettive nell’uomo.
La direttiva 2020/739, una volta recepita nell'ordinamento italiano tramite un decreto attuativo, andrà a modificare il titolo X del D.Lgs. n. 81/2008 (c.d. “Testo unico sulla sicurezza”).
Si ricorda che ai sensi del sopra citato Testo Unico, la classificazione per categorie degli agenti biologici è così ripartita:

a) agente biologico del gruppo 1: un agente che presenta poche probabilità di causare malattie in soggetti umani;

b) agente biologico del gruppo 2: un agente che può causare malattie in soggetti umani e costituire un rischio per i lavoratori; è poco probabile che si propaghi nella comunità; sono di norma disponibili efficaci misure profilattiche o terapeutiche;

c) agente biologico del gruppo 3: un agente che può causare malattie gravi in soggetti umani e costituisce un serio rischio per i lavoratori; l'agente biologico può propagarsi nella comunità, ma di norma sono disponibili efficaci misure profilattiche o terapeutiche;

d) agente biologico del gruppo 4: un agente biologico che può provocare malattie gravi in soggetti umani e costituisce un serio rischio per i lavoratori e può presentare un elevato rischio di propagazione nella comunità; non sono disponibili, di norma, efficaci misure profilattiche o terapeutiche.

Attività di ispezione sulla Privacy: la programmazione del Garante per il primo semestre 2020 e le sanzioni del 2019

Il Garante ha definito i settori che saranno oggetto di verifica nei primi sei mesi del 2020 e, in particolare riguarderanno:

- i trattamenti di dati svolti nell’ambito della sanità e, più precisamente, gli enti pubblici che si occupano della “medicina di iniziativa” e le multinazionali del settore farmaceutico e sanitario.

- i trattamenti di dati effettuati dagli intermediari dell’ambito della fatturazione elettronica;

- le società che gestiscono banche dati reputazionali e dalle società di food delivery;

- il rispetto delle norme nel rilascio di certificati tramite l’Anagrafe nazionale della popolazione residente,

- il trattamento dei dati per attività di marketing, e-banking, gestione delle carte di fedeltà;

- l’uso di software per la gestione delle segnalazioni di condotte illecite (il cosiddetto “whistleblowing”);

- la gestione in caso di violazioni della sicurezza dei dati (data breach).

Saranno inoltre effettuati controlli sulle misure di sicurezza da parte di pubbliche amministrazioni e di imprese che trattano categorie di dati particolari, sulla corretta somministrazione di informativa e acquisizione del consenso, oltre che sui tempi di conservazione dei dati.

Si rileva inoltre che nel corso del 2019 sono state applicate sanzioni per 15.910.390 euro oltre ad iscrizioni a ruolo per un importo complessivo di 12.243.267 euro, riguardanti trasgressori che non si sono avvalsi della facoltà di definizione agevolata prevista dal decreto legislativo n.101 del 2018.

Adempimenti e controlli privacy sempre più vicini

Si avvicina il termine ultimo per l'applicazione "morbida" del D.Lgs.101/2018 con il quale è stata definita più in dettaglio l'applicazione del già efficace Regolamento Europeo n.2016/679 (meglio conosciuto come GDPR).

In sostanza, sia il Regolamento Europeo che il Decreto Legislativo italiano sono già perfettamente applicati tuttavia, la norma italiana ha previsto un periodo di 8 mesi dalla sua entrata in vigore, durante i quali il Garante per la Privacy terrà conto della novità normativa nello svolgimento delle proprie attività di controllo e di applicazione delle sanzioni.

Il periodo sopra citato terminerà a maggio 2019, ma preme ricordare che non si tratta di sospensione dell'applicabilità della normativa o delle sanzioni.

Pertanto, in caso di contestazioni da parte di soggetti interessati in periodo precedente la scadenza, le autorità chiamate a giudicare applicherebbero le sopra citate norme (pur con eventuale occhio di riguardo dato dalla recente normazione) senza concedere esoneri da responsabilità.

GDPR e consulenti del lavoro: Responsabili o Titolari?

Attraverso la newsletter del 7 febbraio 2019, il Garante per la Privacy ha chiarito la corretta interpretazione del ruolo dei consulenti del lavoro in merito alla protezione dei dati personali e, nello specifico, con riferimento al GDPR.

In sostanza, il consulente del lavoro che tratti i dati dei propri dipendenti è Titolare del trattamento.

Nei confronti dei propri clienti (e dei loro dipendenti) assume invece il ruolo di Responsabile del trattamento in quanto, di fatto, tratta dati per conto del Titolare - cliente.

Con questo chiarimento pare risolto il dubbio che da mesi produce il rimando di competenze e responsabilità tra il Consulente del lavoro ed i propri clienti.