Imprese e professionisti. In arrivo il nuovo Regolamento (UE) 2016/679 Privacy

Il GDPR, General Data Protection Regulation,  che sostituisce in parte il Codice della Privacy D. Lgs. 196/2003, prevede che le imprese e i professionisti siano in regola entro il 25 maggio 2018 con le disposizioni che introducono importanti novità per tutti i titolari del trattamento, persone giuridiche o fisiche, che per motivi connessi alle rispettive attività con o senza fini di lucro devono trattare i dati personali identificativi e i dati sensibili,  es. in ambito sanitario, e i dati giudiziari.
Il nuovo regolamento, direttamente applicabile negli Stati europei, precisa che sono destinate a rimanere in vigore tutte le norme nazionali non espressamente in contraddizione con il GDPR, tuttavia ancora si attende da parte del Governo, già delegato dal Parlamento, un provvedimento che in tempi brevi allinei il nostro Codice della Privacy alle disposizioni europee che entreranno in vigore tra circa tre mesi.

Le principali novità del Regolamento UE 2016/679 in sintesi:

- il principio di accountability per cui è responsabilità dei titolari dei dati di clienti, dipendenti, fornitori, ecc. conformarsi alle nuove prescrizioni e dimostrare in caso di controlli di aver adottato modelli e informative aggiornate, politiche e misure di sicurezza adeguate per proteggere i dati;
 the “Data Protection Impact Assessment” obbligo di valutazione dell’impatto privacy in caso di rischi elevati nel trattamento dei dati, ad es. profilazione, dati biometrici, dati riferiti a minori, ecc.;
- il titolare del trattamento deve pretendere dai fornitori l’uso di software conformi quanto al trattamento dei dati personali alle prescrizioni del nuovo Regolamento UE;
- i titolari del trattamento dovranno essere in grado di riconoscere e permettere concretamente l'esercizio agli interessati di: "the right to be forgotten", il diritto all’oblio per le persone i cui dati dovranno essere cancellati automaticamente e "the right to data portability" il diritto alla portabilità dei dati;
- l’obbligo di comunicare alla clientela e alla DPA nazionale le violazioni alla sicurezza, data breaches,che comportano la divulgazione non autorizzata, l’accesso ai dati personali trattati, la perdita, ecc.
- il concetto di “privacy by design” con eventuale “data masking” e “privacy by default”;
- nomina di un Data Protection Officer per chi deve svolgere il trattamento dei dati su larga scala.

Il nuovo Regolamento introduce un sistema di sanzioni per i soggetti che trattano i dati personali applicate attraverso il sistema della Legge 689/81 a seguito dei controlli del Garante privacy  che in forma graduale potranno arrivare a 20 milioni di euro oppure al 4% del fatturato totale annuo dell’esercizio precedente ed è prevista anche la possibilità di limitare o addirittura vietare un trattamento dei dati creando seri problemi alla prosecuzione dell’attività.
Le sanzioni comminate alle società titolari del trattamento dei dati responsabili di violazioni ai danni dei cittadini interessati potranno avere evidenti implicazioni nei rapporti tra i soci e gli amministratori quanto all’azione di responsabilità oltre che per l’immagine societaria.

L'aspetto più dirompente delle nuove norme sulla privacy riguarda le aziende, che potranno rispondere anche ai sensi del D.Lgs. 231/2001 “responsabilità degli enti” se non adottano misure per prevenire i reati da illecito trattamento dei dati personali aggiornando per tempo i modelli organizzativi rilevanti ai fini della verifica giudiziaria come elementi di fatto scriminanti.

In vista della prossima scadenza lo Studio Legale De Valeri – De Grazia, operativo nel settore privacy da oltre vent’anni, ha ideato “G.D.P.R. Legal Check-up Advice” un servizio professionale mirato che prevede, con la collaborazione del titolare del trattamento, un primo esame delle problematiche “privacy” per poi ricevere un’ analisi preventiva per l’adeguamento al nuovo Regolamento UE attraverso un software messo a punto dall’avv. De Grazia che analizza la compliance aziendale in relazione alle prescrizioni del GDPR, il D.Lgs n.231/2001 e la normativa ICT Law italiana valutandola con una connessione incrociata con le normative ISO 27001:2016 e ISO 29151:2017.

Ricordo che la recente introduzione della normativa sul c.d. “whistleblowing”,  la legge 179/2017, i nuovi reati di xenofobia e razzismo, “procurato ingresso illecito di stranieri e favoreggiamento dell’immigrazione clandestina”, “favoreggiamento della permanenza illecita di stranieri nel territorio dello Stato” richiedono l’aggiornamento dei modelli organizzativi.

Info diritto societario e privacy
studiolegaledevaleri@hotmail.com

PRIVACY. La voce è un dato personale.

Può capitare di ricevere telefonate con le quali si viene sollecitati ad acquistare servizi o beni ovvero a concludere contratti con il proprio assenso vocale.
Ma il consumatore che risponde e conclude in questo modo un contratto è tutelato da eventuali abusi ?
Un recente provvedimento del Garante per la protezione dei dati personali ha sancito che anche la voce è un dato personale e come tale rientra nella tutela accordata dalla vigente normativa in materia.
Il provvedimento è dell'8 luglio 2009 e trae orgine dal ricorso di un consumatore che contestava l'attivazione di un servizio da parte di un operatore telefonico mediante il cosiddetto "verbal ordering" cioè la chiamata telefonica durante la quale si aderisce ad una proposta commerciale.
Il consumatore negava di aver concluso il contratto e pertanto aveva richiesto una copia della registrazione del colloquio con il quale sarebbe stato fornito l'assenso verbale all'acquisto del servizio proposto dall'operatore telefonico.
L'operatore si era limitato a mettere a disposizione la trascrizione scritta del contenuto del colloquio ma non la registrazione.

Il Garante ha stabilito viceversa che la registrazione di un colloquio telefonico che comporta l'attivazione di un nuovo servizio commerciale deve essere fornita all'interessato dietro sua richiesta.
Con il provvedimento del Garante è stato precisato che anche suoni e immagini rientrano nei dati personali oggetto di tutela.
L'art. 4 comma 1 lett.B del Codice della privacy, D. Lgs. 196/2003, costituisce "dato personale" una "qualunque informazione" relativa a persona fisica, giuridica, ente o associazione che siano identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione e "dal punto di vista del formato dell'informazione o del supporto usato, il concetto di dato personale comprende le informazioni disponibili in qualsiasi forma, alfabetica, numerica,grafica, fotografica o acustica", dunque anche i suoni costituiscono dati personali rispetto ai quali gli interessati possono far valere i diritti di cui all'art. 7 del Codice.

Il consumatore ha diritto di accesso ai dati personali contenuti nel "verbal ordering" ovvero al dato vocale mediante la relativa registrazione, l'Autorità ha quindi ordinato all'operatore telefonico di consegnare al ricorrente il supporto magnetico contenente il colloquio telefonico.

E' a disposizione dei lettori la mail studiolegaledevaleri@gmail.com per ogni richiesta di chiarimenti sul diritto alla privacy e la tutela dei dati personali.

PRIVACY - Computer da eliminare e dati personali

Con il tempo e il progredire della tecnologia tutti noi abbiamo sostituito i vecchi personal computer e notebook con altri dalle prestazioni migliori. E' sorta la necessità di sbarazzarci dei precedenti computer ma anche di vecchi floppy, CD-ROM, DVD e pendrive.

Per quanto riguarda il riciclo dei p.c. sono in vigore le disposizioni RAEE sull'usato, direttive europee 2002/96/CE e 2003/108/CE e D.Lgs. 151/2005, che riguardano produttori, importatori e rivenditori con proprio marchio di Apparecchiature Elettriche ed Elettroniche (AEE) divenuti responsabili della gestione dei prodotti che distribuiscono e vendono al termine dell'uso. Sui nuovi apparecchi deve essere apposto il simbolo del cassonetto barrato che avverte il consumatore di non gettarli via al termine dell'uso ma riconsegnarli al rivenditore che ha l'obbligo di ritirarli.

Occorre però fare attenzione alla eliminazione dei dati personali contenuti nell'hardware e nei supporti che usiamo abitualmente, ad es. luogo e data di nascita, numero di conto corrente bancario, dati sanitari, ecc. di nostra pertinenza o di terzi come clienti o fornitori, secondo quanto stabilito dal D.Lgs. 196/2003, le cui sanzioni amministrative e penali di recente sono state inasprite dal D.L. 207/2008 il cd. decreto milleproroghe.

In termini tecnici mi riferisco al cosiddetto e-waste e la cancellazione sicura interessa tutti coloro che si servono di p.c. e non solo professionisti e società ma anche cittadini comuni che potrebbero rischiare di far conoscere i propri dati sensibili a malintenzionati come ad esempio coloro che cercano di carpire i dati personali con le ormai famose mail che chiedono di favorire il trasferimento di somme favolose provenienti da stati africani promettendo ingenti compensi.

Il Garante per la protezione dei dati personali è intervenuto a riguardo con un provvedimento del 13 ottobre 2008 e una scheda informativa pubblicata sul sito istituzionale il 12 dicembre scorso.

In sintesi ha stabilito che tutti devono provvedere alla cancellazione dei dati personali contenuti nei pc e altri supporti che li conservano prima di disfarsene e sul sito http://www.garanteprivacy.it/ è stato pubblicato un vademecum per la cancellazione sicura dei dati.

Secondo il Garante à necessaria la distruzione fisica per i CD-ROM e i DVD-R, viene suggerito l'uso di "wiping program - programmi di pulizia" o "file shredder - distruttori di scheda", che permettono di scrivere ripetutamente nelle aree vuote dell'hard disk sequenze casuali di cifre binarie per impedire il recupero di informazioni mediante strumenti elettronici di recupero dati. Vi è poi la formattazione "a basso livello" e la demagnetizzazione che permette la cancellazione rapida delle informazioni.

Per i professionisti e le società è buona consuetudine salvare i files su memorie di massa portatili, DVD e CD-ROM, che occupano poco spazio, conservandoli in luogo sicuro almeno per un decennio dall'archiviazione delle pratiche.

Non è improbabile infatti dover riesumare vecchie pratiche per necessità sopraggiunte dopo svariati anni o doverle riesaminare per trarne utilità per nuovi incarichi o procedure da curare.