Telemarketing: no all’uso dei numeri di telefono “pescati” in rete

telemarketingNo al telemarketing con i numeri di telefono “pescati” in internet e contattati senza il consenso informato dei destinatari. Il principio è stato ribadito dal Garante privacy che ha vietato a una società l’uso delle utenze telefoniche reperite on line a fini promozionali [doc. web n. 5986406].

Dagli accertamenti, svolti, dall’Autorità in collaborazione con il Nucleo speciale privacy della Guardia di finanza, è emerso che la società, attiva nell’offerta di servizi in Internet (costruzione e gestione di siti web, posizionamento nei motori di ricerca, vendita di spazi pubblicitari e attività di social media marketing), per acquisire nuovi clienti e promuovere i propri prodotti contattava telefonicamente le utenze reperite in rete, in genere numeri di telefono di liberi professionisti e imprese individuali presenti nell’area “contatti” dei siti.

Un trattamento non in linea con la disciplina di protezione dei dati personali perché effettuato senza aver prima acquisito il consenso informato dei destinatari e  in violazione del principio di finalità.

La circostanza, infatti, che i numeri di telefono presenti in Internet siano liberamente conoscibili da chiunque, non significa che possano essere legittimamente usati per finalità (come il marketing) diverse da quelle per cui sono stati pubblicati on line.

Il Garante inoltre, ha vietato alla società l’uso dei dati per finalità promozionali, in particolare  tramite l’invio automatizzato di e-mail, di quanti richiedevano i preventivi sui servizi resi grazie a un form disponibile sul sito.

Nel modello, che ora la società dovrà modificare, il potenziale cliente poteva selezionare solo un’unica casella sia per finalità contrattuali sia per il trattamento di dati per fini  pubblicitari, ricerche di mercato e sondaggi via mail.

Pur prendendo atto della dichiarazione della società di non aver svolto attività promozionali, il Garante ha ritenuto illecita la raccolta effettuata mediante il form.

Tra i  clienti che non hanno potuto manifestare il libero e specifico consenso per l’invio di comunicazioni automatizzate promozionali, oltre a imprese individuali e liberi professionisti, vi erano anche numerose persone giuridiche, che in base all’art. 130 del Codice, continuano ad essere tutelate riguardo alle comunicazioni promozionali automatizzate (e-mail, telefonate, sms).

L’Autorità si è riservata di valutare l’applicazione delle sanzioni amministrative previste dal Codice per le violazioni rilevate

Lavoro: vietati i controlli indiscriminati su e-mail e smartphone aziendali

cellulareinmanoIl datore di lavoro non può accedere in maniera indiscriminata alla posta elettronica o ai dati personali contenuti negli smartphone in dotazione al personale.È un comportamento illecito.

Lo ha ribadito il Garante della privacy vietando a una multinazionale l’ulteriore utilizzo dei dati personali trattati in violazione di legge [doc. web n. 5958296]. La società potrà solo conservarli per la tutela dei diritti in sede giudiziaria.

Nel disporre il divieto l’Autorità ha affermato che il datore di lavoro

  • pur avendo la facoltà di verificare l’esatto adempimento della prestazione professionale ed il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti,
  • deve in ogni caso salvaguardarne la libertà e la dignità, attenendosi ai limiti previsti dalla normativa.

La disciplina di settore in materia di controlli a distanza, inoltre, non consente di effettuare  attività idonee a realizzare, anche indirettamente, il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.

I lavoratori, poi, devono essere sempre informati in modo chiaro e dettagliato sulle modalità di utilizzo degli strumenti aziendali ed eventuali verifiche.

La vicenda nasce dal reclamo di un dipendente che si era rivolto al Garante lamentando un illegittimo  trattamento effettuato da una multinazionale, che avrebbe acquisito informazioni anche private contenute nella e-mail e nel telefono aziendale, sia durante il rapporto professionale sia dopo il suo licenziamento.

Dai riscontri effettuati dall’Autorità sono effettivamente emerse numerose irregolarità. La società, ad esempio, non aveva adeguatamente informato i lavoratori sulle modalità e finalità di utilizzo degli strumenti elettronici in dotazione, né su quelle relative al trattamento dei dati.

Aveva poi configurato il sistema di posta elettronica in modo da conservare copia di tutta la corrispondenza per ben dieci anni, un tempo non proporzionato allo scopo della raccolta.

Esisteva anche una procedura che consentiva alla società di accedere al contenuto dei messaggi che, in linea con la policy aziendale, potevano avere anche carattere privato.

E’ inoltre emerso che la società continuava a mantenere attive le caselle e-mail fino a sei mesi dopo la cessazione del contratto

  • senza però dare agli ex dipendenti la possibilità di consultarle o, comunque,
  • senza informare i mittenti che le lettere non sarebbero state visionate dai legittimi destinatari ma da altri soggetti.

Nel corso dell’istruttoria è stato accertato inoltre, che  il titolare poteva accedere da remoto – non solo per attività di manutenzione – alle informazioni contenute negli smartphone in dotazione ai dipendenti (anche privatissime e non attinenti allo svolgimento dell’attività lavorativa), di copiarle o cancellarle, di comunicarle a terzi violando i principi di liceità, necessità, pertinenza e non eccedenza del trattamento.

Il Garante ha disposto l’apertura di un autonomo procedimento per verificare l’applicazione di eventuali sanzioni amministrative.

Sorvegliare a distanza colf e badanti: è possibile? Inail fa chiarezza

 

chi-licenzia-colf-o-badanti-non-paga-la-tassa-sull-aspi-472x270E’ possibile autorizzare l’installazione di un impianto di videosorveglianza collocato in un’abitazione privata all’interno della quale è presente un lavoratore domestico?

Così, con Nota 8 febbraio 2017 prot. n. 1004, l’ Ispettorato Nazionale del Lavoro di seguito risponde.

Al riguardo occorre premettere che si definisce “lavoro domestico” l’attività lavorativa prestata esclusivamente per le necessità della vita familiare del datore di lavoro (art. 1, legge 339/1958), che ha per oggetto la prestazione di servizi di carattere domestico diretti al funzionamento della vita familiare.

Il collaboratore domestico svolge l’attività lavorativa nella casa abitata esclusivamente dal datore di lavoro e dalla sua famiglia, in quanto il rapporto di lavoro domestico non si svolge all’interno di un’impresa organizzata e strutturata, ma nell’ambito di un nucleo ristretto ed omogeneo, di natura per lo più familiare e risponde alle esigenze tipiche e comuni di ogni famiglia.

Nella sentenza 11-23 dicembre 1987 n. 585, la Corte Costituzionale ha affermato che “non v’è dubbio che il rapporto di lavoro domestico per la sua particolare natura si differenzia, sia in relazione all’oggetto, sia in relazione ai soggetti coinvolti, da ogni altro rapporto di lavoro: esso, infatti, non è prestato a favore di un’impresa avente, nella prevalenza dei casi, un sistema di lavoro organizzato in forma plurima e differenziata, con possibilità di ricambio o di sostituzione di soggetti, sibbene di un nucleo familiare ristretto ed omogeneo, destinato, quindi, a svolgersi nell’ambito della vita privata quotidiana di una limitata convivenza.

In ragione di tali caratteristiche, proprie al rapporto, la Corte ha già evidenziato, in via di principio, la legittimità di una disciplina speciale anche derogatoria ad alcuni aspetti di quella generale (sentenza n. 27 del 1974)”.

Il rapporto di lavoro domestico, in considerazione della peculiarità dello stesso, sin dall’origine ha goduto di una regolamentazione specifica, che, per l’appunto, tiene conto delle speciali caratteristiche che contraddistinguono la prestazione lavorativa resa dal lavoratore, l’ambiente lavorativo e, fattore non irrilevante, la particolare natura del soggetto datoriale.

Alla luce di siffatte considerazioni, è del tutto evidente che anche le fasi di estinzione del contratto di lavoro domestico sono disciplinate da un corollario normativo che, si può dire quasi fisiologicamente, si allontana dalle regole generali che assistono, ordinariamente, il momento di interruzione del legame negoziale fra le parti interessate.

All’interno quindi del perimetro normativo delineato, il rapporto di lavoro domestico è sottratto alla tutela dello Statuto dei lavoratori (legge n. 300/1970) poiché in questo caso, il datore di lavoro è un soggetto privato non organizzato in forma di impresa.

Di conseguenza è esclusa l’applicabilità dei limiti e dei divieti di cui all’art. 4 della legge n. 300/1970, che insieme agli artt. 2, 3 e 6 costituisce un corpus normativo tipico di una dimensione “produttivistica” dell’attività di impresa, differenziandosi, invece, a titolo esemplificativo, dalla natura estensiva dell’applicabilità dell’art. 8 dello Statuto, che pone il divieto di indagini su profili del lavoratore non attinenti alle sue attitudini professionali e che trova piena cittadinanza anche nell’ambito del lavoro domestico.

L’esclusione del lavoro domestico dall’applicabilità dell’art. 4 della legge n. 300/1970 non sottrae al rispetto dell’ordinaria disciplina sul trattamento dei dati personali, essendo confermata la tutela del diritto del lavoratore alla riservatezza, garantita dal d.lgs. n.196/2003, che dispone la necessarietà del consenso preventivo e del connesso obbligo informativo degli interessati.

Nell’ambito domestico, il datore di lavoro, anche nel caso di trattamento di dati riservati per finalità esclusivamente personali, incontra i vincoli posti dalla normativa sul trattamento dei dati personali a tutela della riservatezza e in particolare quanto previsto dall’art. 115 del d.lgs. n.196/2003.

No all’algoritmo della reputazione, viola la dignità della persona

quantificare-quadNo del Garante privacy alla banca dati on line della reputazione [doc. web n.5796783]. Il progetto per la misurazione del “rating reputazionale”, elaborato da una organizzazione articolata in un’associazione e da una società preposta alla  gestione dell’iniziativa,  viola le norme del Codice sulla protezione dei dati personali e incide negativamente sulla dignità delle persone.

L’infrastruttura, costituita da una piattaforma web e un archivio informatico, dovrebbe raccogliere ed elaborare una mole rilevante di dati personali contenuti in documenti “caricati” volontariamente sulla piattaforma dagli stessi utenti o “pescati” dal web. Attraverso un algoritmo, il sistema assegnerebbe poi ai soggetti censiti degli indicatori alfanumerici in grado, secondo la società, di misurare in modo oggettivo l’affidabilità delle persone  in campo economico e professionale.

Nel disporre il divieto di qualunque operazione di trattamento presente e futura, il Garante ha ritenuto che il sistema comporti rilevanti problematiche per la privacy a causa:

  • della delicatezza delle informazioni che si vorrebbero utilizzare,
  • del pervasivo impatto sugli interessati e
  • delle modalità di trattamento che la società intende mettere in atto.

Pur essendo infatti legittima, in linea di principio, l’erogazione di servizi che possano contribuire a rendere maggiormente efficienti, trasparenti e sicuri i rapporti socioeconomici, il sistema in esame – realizzato  peraltro in assenza di una idonea base normativa – presuppone una raccolta massiva, anche on line, di informazioni suscettibili di incidere significativamente sulla rappresentazione economica e sociale di un’ampia platea di individui (clienti, candidati, imprenditori, liberi professionisti, cittadini).

Il “rating reputazionale” elaborato potrebbe ripercuotersi sulla vita delle persone censite, influenzando le scelte altrui e  condizionando l’ammissione degli interessati a prestazioni, servizi o benefici.

Per quanto riguarda, poi, l’asserita oggettività delle valutazioni, la società non è stata in grado di dimostrare l’efficacia dell’algoritmo che regolerebbe la determinazione dei “rating”  al quale dovrebbe essere rimessa, senza possibilità di contestazione, la valutazione  dei soggetti censiti. L’Autorità nutre, in generale, molte perplessità sull’opportunità di rimettere ad un sistema automatizzato ogni decisione su aspetti così delicati e complessi come quelli connessi alla reputazione.

Senza contare, infatti, la difficoltà di misurare situazioni e variabili non facilmente classificabili, la valutazione potrebbe basarsi su documenti e certificati incompleti o viziati, con il rischio di creare profili inesatti e non rispondenti alla identità sociale delle persone censite.

Dubbi sono stati espressi dal Garante anche sulle misure di sicurezza del sistema –  basate, prevalentemente, su sistemi di autenticazione “debole” (user id e password) e su meccanismi di cifratura dei soli dati giudiziari secondo l’Autorità davvero inadeguate, specie se rapportate all’elevato numero di soggetti che potrebbero essere coinvolti e all’ingente quantitativo di informazioni, anche molto delicate, che verrebbero registrate all’interno della piattaforma.

Ulteriori criticità, infine, sono state ravvisate nei tempi di conservazione dei dati e nell’informativa da rendere agli interessati.

Privacy: nuovo Regolamento Ue, prime Linee guida dei Garanti europei


cxnpv1-veaaeadsIl Gruppo dei Garanti Ue (WP 29) ha approvato lo scorso 13 dicembre tre documenti con indicazioni e raccomandazioni su importanti novità del Regolamento 2016/679 sulla protezione dei dati, in vista della sua applicazione da parte degli Stati membri a partire dal maggio 2018.

Le linee guida, alla cui elaborazione il Garante italiano ha attivamente partecipato, riguardano:

  • il “responsabile per la protezione dei dati” (Data Protection Officer  – DPO),
  • il diritto alla portabilità dei dati,
  • l’“autorità capofila” che fungerà da “sportello unico” per i trattamenti transnazionali.

Data Protection Officer  – DPO)

Le Linee guida sul DPO specificano i requisiti soggettivi e oggettivi di questa figura, la cui designazione sarà obbligatoria per tutti i soggetti pubblici e per alcuni soggetti privati sulla base di criteri che il Gruppo ha chiarito nel documento. Nel documento vengono illustrate (anche attraverso esempi concreti) le competenze professionali e le garanzie di indipendenza e inamovibilità di cui il DPO deve godere nello svolgimento delle proprie attività di indirizzo e controllo all’interno dell’organizzazione del titolare.

Diritto alla portabilità

Per quanto riguarda il diritto alla portabilità, il Gruppo evidenzia il suo valore di strumento per l’effettiva  libertà di scelta dell’utente, che potrà decidere di trasferire altrove i dati personali forniti direttamente al titolare del trattamento (piattaforma di social network, fornitore di posta elettronica etc.) oppure generati dall’utente stesso navigando o muovendosi sui siti o le piattaforme messe a sua disposizione. Il documento esamina anche gli aspetti tecnici legati soprattutto ai requisiti di interoperabilità fra i sistemi informatici e alla necessità di sviluppare applicazioni che facilitino l’esercizio del diritto.

Sportello unico

Infine, i Garanti Ue hanno chiarito i criteri per la individuazione della “Autorità capofila” che deve fungere da “sportello unico” per i trattamenti transnazionali (se il titolare o il responsabile tratta dati personali in più stabilimenti nell’Ue o offre prodotti o servizi in più Paesi Ue anche a partire da un solo stabilimento).  Si tratta di un elemento importante del nuovo quadro normativo, e le Linee guida vogliono aiutare i titolari o responsabili del trattamento a individuare correttamente l’Autorità competente in questi casi così da evitare controversie e garantire un’attuazione efficace del Regolamento.

Su ciascuno di questi documenti, disponibili per ora solo in lingua inglese, il Garante predisporrà delle apposite schede di approfondimento volte a far meglio comprendere e utilizzare i nuovi strumenti introdotti dal Regolamento.

Privacy, Data Protection Officer incompatibile con il Manager IT

È una delle novità introdotte dal nuovo Regolamento Ue: si rischiano pesanti multe per i doppi ruoli e i conflitti d’interessi. E una società bavarese è già inciampata sulle nuove norme. 

eu-dpoUna delle novità introdotte dal nuovo Regolamento UE 2016/679, è quella relativa al Data Protection Officer (DPO). Anche se prima la direttiva 95/46/CE non obbligava imprese ed enti a designare questa figura, in realtà essa esisteva già da diversi anni in numerosi Stati membri dell’UE, tra i quali la Germania, dove tuttora il Federal Data Protection Act la impone ad esempio alle aziende che hanno almeno 10 persone che sono coinvolte nel trattamento automatizzato di dati personali.

E proprio in Germania, di recente il Garante per la privacy bavarese ha multato una società che aveva designato il proprio IT manager come data protection officer, e questo nonostante la normativa prevedesse la possibilità di nominare sia un dipendente che un professionista esterno.

Perché allora la società è stata sanzionata?

Il motivo per cui è scattata la sanzione non interessa solo le aziende tedesche ma tutte quelle dell’intera UE che ricadono nell’obbligo di dotarsi del cosiddetto privacy officer: se è vero che la contestazione sollevata dall’Autorità bavarese si basa sul Federal Data Protection Act, d’altra parte essa poggia sul principio dettato dall’articolo 38 del nuovo Regolamento Europeo, che dal 25 maggio 2018 sarà direttamente applicabile in tutti gli Stati membri, e che riguardo la posizione del data protection officer richiede che il titolare del trattamento “si assicura che tali compiti e funzioni non diano adito a un conflitto d’interessi”.

Nonostante sia consentito al dpo di svolgere anche altre mansioni, queste non devono però risultare incompatibili con la stessa posizione di data protection officer, che in casi come quello preso in esame dal Garante tedesco avrebbe dovuto in pratica controllare se stesso, verificando se le proprie attività di IT manager erano conformi alla normativa in materia di protezione di dati personali, e una forma di auto-monitoraggio contrasta con l’assenza di conflitti d’interessi e l’indipendenza richiesti al soggetto che svolge questo ruolo

Poiché i compiti del data protection officer comportano obblighi di controllo che generalmente sono prerogativa delle autorità, l’indipendenza di questo è un aspetto fondamentale, e come il conflitto d’interessi è stato rilevato in relazione alla sua funzione parallela di IT manager, ciò non esclude che lo stesso problema possa presentarsi anche in casi in cui l’intenzione del management sia quella di individuare il dpo tra dipendenti che sono già a capo di altri reparti significativamente implicati nel trattamento dei dati personali, come possono esserlo le risorse umane e l’amministrazione del personale, l’ufficio legale, o anche la direzione marketing.

A tal proposito, le Linee Guida WP 243 adottate il 13 dicembre dal Working Party articolo 29,  hanno sottolineato che, seppure sia permesso al data protection officer di svolgere allo stesso tempo altre funzioni, l’organizzazione deve garantire che “tali compiti e doveri non diano luogo ad un conflitto di interessi”, e ciò comporta che di caso in caso debba essere preventivamente accertato che la persona scelta per essere nominata DPO non ricopra funzioni in cui essa concorra a determinare le finalità e le modalità del trattamento dei dati personali.

Per tale ragione, le linee guida dettate dal Working Party 29 evidenziano che, a seconda delle attività, delle dimensioni e della struttura dell’organizzazione, per i titolari del trattamento che si apprestano a designare il data protection officer, può essere buona pratica identificare le posizioni incompatibili con la funzione di dpo, stabilire delle regole interne per evitare situazioni di conflitto d’interesse, sensibilizzare il tema fornendo una spiegazione generale su questo requisito, dichiarare specificamente che il proprio dpo non ha alcun conflitto per quanto riguarda questa funzione, e precisare che per ricoprire tale ruolo è indispensabile evitare qualsiasi forma di conflitto d’interessi.

Non è ancora noto a quanto ammonti la sanzione comminata alla società tedesca che aveva nominato il proprio IT manager come data protection officer, tuttavia quella del conflitto d’interessi con il nuovo Regolamento Europeo è una questione di primaria importanza che aziende pubbliche e private devono valutare attentamente per evitare violazioni che in questi casi potrebbero comportare multe fino a 10 milioni di euro o al 2% del fatturato globale annuo.

Energia e gas, servizi on line: no al consenso “obbligato” per il marketing

imagesI clienti che desiderano usufruire dei servizi on line offerti da un’impresa, come quelli di fatturazione, non devono essere obbligati a rilasciare il consenso a ricevere comunicazioni promozionali.

Questa la decisione assunta dal Garante della privacy per tutelare da promozioni indesiderate gli utenti dello sportello on line di un fornitore di servizi energetici [doc. web n. 5687770].

Dagli accertamenti dell’Autorità, avviati in seguito ad alcune segnalazioni ricevute, è emerso che la società aveva offerto alla propria clientela la possibilità di gestire la scheda anagrafica, i consumi e le fatture direttamente sul sito web. Per usufruire di tali servizi, però, i clienti dovevano completare una procedura di registrazione dove erano costretti a barrare un’unica casella per concedere un consenso onnicomprensivo al trattamento dei loro dati personali sia per le finalità legate alla gestione del contratto, sia per la ricezione di messaggi di posta elettronica contenenti pubblicità o altro materiale promozionale. Una modalità che, in concreto, violava il principio, più volte rimarcato dal Garante, in base al quale il consenso, per essere ritenuto valido, non deve essere condizionato, ma libero, specifico e informato.

Nel corso dell’istruttoria, inoltre, il Garante ha rilevato che il ramo aziendale di fornitura del gas era stato acquisito da un’altra società, che non aveva provveduto, come previsto dalla normativa, a inviare ai nuovi clienti l’informativa relativa al trattamento dei dati personali.

L’Autorità ha quindi:

  • vietato al primo operatore energetico, che aveva predisposto lo sportello per i servizi on line, di utilizzare per finalità di marketing i dati personali di cui era ancora in possesso in assenza di un valido consenso e
  • prescritto alla società acquirente del ramo gas di provvedere quanto prima a informare i clienti sulle modalità di trattamento dei loro dati. 

Il Garante si è riservato di verificare, con autonomi procedimenti, la sussistenza dei presupposti per contestare le sanzioni amministrative per le violazioni commesse.