Speciale Aggiornamento Privacy 2014

alert-icon-redChi deve aggiornare il Modello Privacy?

Tutti i Titolari di trattamento devono, almeno una volta all’anno, aggiornare il Modello Privacy adottato.

 

Mapping artworkA chi si applica il Codice Privacy (DLgs 196/2003)?
 
Il Codice si applica a tutti i soggetti che effettuano trattamenti di dati personali individuati in base al Principio di stabilimento del soggetto o degli strumenti del trattamento.
Per la precisione, l’Art.  5 del Codice dispone che è soggetto alla disciplina del DLgs 196/2003:
  • chiunque è stabilito nel territorio dello Stato o in un luogo comunque soggetto alla sovranità dello Stato,
  • chiunque è stabilito nel territorio di un Paese non appartenente all’Unione europea e impiega, per il trattamento, strumenti situati nel territorio dello Stato anche diversi da quelli elettronici, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’Unione europea.

privacy-policy-800-shutterstock-114908371Come adempiere l’obbligo di aggiornamento?

Gli adempimenti finalizzati all’aggiornamento annuale del Sistema privacy aziendale sono previsti dal DLgs 196/2003 e dal suo Allegato B (Disciplinare Tecnico in materia di misure minime di sicurezza) e presidiati da sanzioni che vanno da un minimo di 10.000 € ad un massimo di 120.000 €.
Almeno annualmente, ogni Titolare deve:
  • Verificare le attività
 degli Amministratori di Sistema: l’operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un’attività di verifica da parte dei Titolari del trattamento o dei Responsabili, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali previste dalle norme vigenti;
  • Verificare la sussistenza delle condizioni per la conservazione dei profili di autorizzazione;
  • Aggiornare l’elenco di “chi fa cosa” (Incaricati e Responsabili trattamento);
  • Programmare gli interventi formativi;
  • Aggiornare le Informative complete: le notizie da indicare per legge devono essere aggiornate, specificando la data dell’ultimo aggiornamento.

 

imagesIl Nostro Documento: APA2014 (Aggiornamento Privacy Annuale)

Studio Mazzolari, dopo l’abolizione del DPS, ha messo a punto un nuovo Documento denominato APA, acronimo di Aggiornamento Privacy Annuale, al fine di garantire la compliance dei propri Clienti alla normativa di riferimento. 
L’APA, da conservare nel Fascicolo Privacy Aziendale, è così suddiviso:
  1. Elenco dai trattamenti effettuati
  2. Mansionario Privacy
  3. Incaricati e trattamenti effettuati
  4. Archivi e Database di riferimento
  5. Incaricati alla custodia degli Archivi ad accesso controllato
  6. Incaricati e archivi/database di accesso
  7. Responsabili del trattamento
  8. Verifica dell’attività degli Amministratori di Sistema
  9. Verifica dell’aggiornamento della Privacy policy online
  10. Programmazione degli Interventi formativi.

download_large

Scarica il nostro Modello APA2014

 

 

Il Garante privacy fissa le regole per partiti e movimenti politici

Elezioni-Europee-2014-634x396Partiti e movimenti politici più trasparenti sull’uso dei dati personali di iscritti, simpatizzanti, partecipanti alle “primarie”, semplici cittadini. Cittadini informati e messi in condizione di esercitare agevolmente i loro diritti.

Con un intervento a carattere generale il Garante per la privacy ha fissato un quadro organico di regole per la tutela della riservatezza in un ambito delicato e cruciale come quello dei partiti politici.

Queste, in sintesi, le regole alle quale le formazioni politiche dovranno attenersi nello svolgimento della loro normale attività e non solo in occasione degli appuntamenti elettorali.

 

Uso dei dati di aderenti e cittadini che hanno contatti regolari con i partiti

Partiti, movimenti, comitati per le “primarie” possono utilizzare senza consenso i dati di aderenti o di cittadini con cui intrattengono contatti regolari, purché gli scopi che intendono raggiungere siano individuati nello statuto o nell’atto costitutivo.

Serve invece il consenso scritto per comunicare i dati all’esterno (ad. es., ad altri partiti appartenenti alla stessa coalizione) o per diffonderli. La stessa regola vale per i comitati di promotori o sostenitori che devono avere il consenso degli aderenti per comunicare i dati a terzi.

 

Uso dei dati di simpatizzanti e partecipanti a singole iniziative

I dati personali raccolti in occasione di petizioni, proposte di legge, richieste di referendum possono essere utilizzati ed eventualmente comunicati e diffusi solo con il consenso scritto dei cittadini e a condizione che abbiano ricevuto una informativa dettagliata. Stessa regola vale per la comunicazione a terzi e la diffusione dei dati di coloro che erogano finanziamenti e contributi, salvo i casi previsti dalla legge (ad es. obbligo per i partiti di tramettere alla Presidenza della Camera dei deputati l’elenco dei propri sovventori).

 

Informativa chiara e puntuale: predisposto anche un modello dal Garante

L’informativa deve essere resa al momento dell’adesione al partito o al movimento politico o prima della raccolta dei dati  in occasione  di singole iniziative (petizioni, proposte di legge, referendum). Nell’informativa devono essere indicate le finalità della raccolta dei dati, l’ambito di circolazione all’interno del partito o del movimento e l’eventuale possibilità di comunicazione all’esterno. Per agevolare il compito il Garante ha predisposto e messo a disposizione il seguente modello di informativa agile e di immediata comprensione.

INFORMATIVA

(art. 13 del Codice in materia di protezione dei dati personali)

“I dati da Lei conferiti (per es. all’atto dell’iscrizione al partito, della sottoscrizione di una petizione) saranno utilizzati, anche con strumenti informatici, da (indicare il titolare e l’/gli eventuale/i co-titolare/i del trattamento) a fini di (indicare le specifiche finalità) e non saranno comunicati a terzi o resi a loro conoscibili (in alternativa, indicare sinteticamente i soggetti o le categorie di soggetti destinatari dei dati, nell‘eventuale veste di responsabili o di autonomi titolari), né diffusi (in alternativa, specificare l’ambito della diffusione).

Il conferimento dei Suoi dati è (specificare se obbligatorio o facoltativo) ed un Suo eventuale rifiuto potrebbe (specificare le conseguenze, es. compromettere l’espletamento di determinate attività).

Le ricordiamo che potrà esercitare i diritti di cui all’art. 7 del Codice (es. accedere in ogni momento ai Suoi dati, chiederne l’origine, l’aggiornamento, la rettificazione, la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge) rivolgendosi a (indicare le coordinate del titolare o del responsabile, ove designato, per il riscontro all’interessato in caso di esercizio dei diritti di cui all’art. 7).

L’elenco aggiornato dei responsabili del trattamento, è disponibile presso (indicare il sito web o le modalità per prenderne conoscenza)”.

 

Garanzie per i cittadini e misure di sicurezza

L’iscritto, l’aderente, il semplice cittadino, chi sovvenziona il partito o il movimento ha diritto di accedere ai propri dati personali, ad aggiornarli o rettificarli; può conoscere i soggetti cui possono essere comunicati, e opporsi, in ogni momento, alla ricezione di materiale elettorale.

 

Regole per la propaganda elettorale

Confermate in massima parte le regole già stabilite per precedenti consultazioni elettorali:

  • utilizzabili liberamente le liste elettorali;
  • serve il consenso per sms, e-mail, mms, telefonate preregistrate e fax;
  • non possono essere mai utilizzati gli archivi dello stato civile, l’anagrafe dei residenti, le liste elettorali già utilizzate nei seggi o in cui vi siano dati annotati dagli scrutatori.

Nel caso in cui si avvalgano di  società che forniscono liste di nominativi o servizi di propaganda elettorale, i partiti hanno l’obbligo di verificare il corretto trattamento dei dati.

In un’ottica di semplificazione e contemperamento degli interessi, l’Autorità ha esonerato in via definitiva partiti, movimenti, comitati e singoli candidati, che fanno propaganda elettorale utilizzando fonti pubbliche (ad es. le liste elettorali), dall’obbligo di rendere l’informativa dal sessantesimo giorno precedente la data delle consultazioni politiche, amministrative, referendarie o delle “primarie” al sessantesimo giorno successivo. Nel materiale inviato dovrà essere comunque indicato un recapito per l’esercizio dei diritti riconosciuti dal Codice privacy.

 

Firma biometrica in mobilità a prova di privacy

Il Garante autorizza due nuovi sistemi per la firma dei clienti sui tablet dei promotori finanziari

t01IM01Due banche potranno dotare i loro promotori finanziari di tablet in grado di analizzare i dati biometrici della firma apposta dai clienti che desiderano sottoscrivere contratti finanziari a distanza. Tutte le società coinvolte nell’abilitazione e nella gestione dei due sistemi dovranno:

  • adottare particolari misure a tutela dei dati raccolti e  
  • garantire ai clienti la possibilità di sottoscrivere i contratti anche attraverso modalità tradizionali.

Gli istituti di credito hanno sottolineato che l’utilizzo della firma biometrica consentirebbe di ridurre il rischio di frodi, in particolare quelle legate al furto di identità, di contenzioso rispetto all’eventuale disconoscimento della firma, nonché di snellire e velocizzare le operazioni effettuate per il tramite dei promotori finanziari.

downloadPrimo sistema

Il primo sistema (Servizio di firma digitale remota con autenticazione biometrica. Verifica preliminare richiesta da Telecom Italia Trust Technologies s.r.l. e Banca Generali S.p.A. – 23 gennaio 2014), autorizzato dal Garante privacy a seguito di verifica preliminare, prevede che il promotore finanziario faccia firmare il cliente sul tablet a fini di riconoscimento. L’analisi delle caratteristiche “dinamiche” della firma  apposta sul tablet (pressione, accelerazione e inclinazione) viene confrontata con i parametri già acquisiti da una società di certificazione: in caso di corrispondenza il cliente viene così autenticato e può sottoscrivere con un’apposita firma digitale il contratto proposto dall’operatore finanziario.

fineco-bank-1136475Secondo sistema

Nel secondo sistema (Sistema per la sottoscrizione in forma elettronica di atti, contratti e altri documenti relativi a prodotti e servizi offerti da una banca – Verifica preliminare richiesta da Fineco Bank S.p.A. – 12 settembre 2013), invece, la firma (cosiddetta “grafometrica”) apposta sul tablet non serve per autenticarsi ma per sottoscrivere direttamente il documento attraverso modalità eventualmente riconducibili a una firma elettronica avanzata.

Il contratto viene poi inviato e conservato in modalità cifrata da società incaricate della gestione documentale. In caso di contenzioso, e solo su specifica richiesta dell’autorità giudiziaria, questo sistema consente di utilizzare i dati biometrici raccolti per poter riprodurre in chiaro la firma di fronte a un perito grafologo che possa certificarne l’autenticità.

Prescrizioni del Garante

Il Garante, nell’autorizzare i due progetti, ha però richiesto l’adozione di particolari cautele a difesa dei dati  biometrici degli utenti, anche in considerazione del fatto che parte del trattamento avverrà attraverso strumenti, tablet, che possono essere utilizzati “in mobilità”, al di fuori delle sedi degli istituti bancari.

Le banche e le società fornitrici del servizio dovranno quindi proteggere anche i tablet utilizzati dai promotori finanziari, impedendo ad esempio:

  • che possano essere installati software non autorizzati o
  • che vengano infettati da virus informatici.

Il contenuto dei tablet dovrà poter essere completamente cancellato da remoto (“remote wiping”) nel caso in cui questi strumenti vengano manomessi, smarriti o rubati.

L’Autorità ha poi sottolineato che:

  • i dati biometrici dei clienti potranno essere utilizzati esclusivamente per le finalità connesse alla sottoscrizione dei contratti  
  • dovrà essere comunque prevista la possibilità di sottoscrivere i contratti con firma “tradizionale” su moduli cartacei.