Internet: Garante privacy, no ai cookie per profilazione senza consenso

image_gallery (1)In un banner le informazioni all’utente e la possibilità di scegliere quali cookie autorizzare

Stop all’installazione dei cookie per finalità di profilazione e marketing da parte dei gestori dei siti senza aver prima informato gli utenti e aver ottenuto il loro consenso. Chi naviga on line potrà quindi decidere in maniera libera e consapevole se far usare o no le informazioni raccolte sui siti visitati per ricevere pubblicità mirata.

Lo ha stabilito il Garante privacy con un Provvedimento generale [doc. web n. 3118884] pubblicato sulla Gazzetta ufficiale, adottato al termine di una consultazione pubblica,  nel quale ha individuato modalità semplificate per rendere agli utenti l’informativa on line sull’uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

Cosa sono i cookie?

I cookie sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook) dell’utente, dove vengono memorizzati, per poi essere ritrasmessi agli stessi siti alla visita successiva.

Sono usati per:

  • eseguire autenticazioni informatiche,
  • monitoraggio di sessioni e memorizzazione di informazioni sui siti  (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire).

Ma attraverso i cookie si può anche monitorare la navigazione, raccogliere dati su gusti, abitudini, scelte personali che consentono la ricostruzione di dettagliati profili dei  consumatori.

“Con questo provvedimento, maturato anche attraverso la consultazione dei vari stakeholder, diventa più facile il rispetto degli obblighi previsti dalla normativa europea” – commenta Antonello Soro, presidente del Garante privacy. “La procedura semplificata consentirà agevolmente ai navigatori di manifestare un consenso davvero libero e consapevole”.

alert-icon-redNuovi obblighi di informazione

Per proteggere la privacy degli utenti e consentire loro scelte più consapevoli, il Garante ha dunque stabilito che, d’ora in poi  quando si accede alla home page o ad un’altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui sia indicato chiaramente:

  1. che il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;
  2. che il sito consente anche l’invio di cookie di “terze parti”, ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;
  3. un link a una informativa più ampia, con le  indicazioni sull’uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente  o collegandosi ai vari siti nel caso dei cookie di “terze parti”;
  4. l’indicazione che proseguendo nella navigazione (ad es., accedendo ad un’altra area del sito o selezionando un’immagine o un link)  si presta il consenso all’uso dei cookie.

Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente.

L’utente mantiene, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l’informativa estesa, che deve essere linkabile da ogni pagina del sito.

Il modello del banner

A mero titolo di esempio, il Garante ha predisposto il seguente modello di banner disponibile anche sul  sito del Garante

image_gallery

 

 

Annunci

Speciale Aggiornamento Privacy 2014

alert-icon-redChi deve aggiornare il Modello Privacy?

Tutti i Titolari di trattamento devono, almeno una volta all’anno, aggiornare il Modello Privacy adottato.

 

Mapping artworkA chi si applica il Codice Privacy (DLgs 196/2003)?
 
Il Codice si applica a tutti i soggetti che effettuano trattamenti di dati personali individuati in base al Principio di stabilimento del soggetto o degli strumenti del trattamento.
Per la precisione, l’Art.  5 del Codice dispone che è soggetto alla disciplina del DLgs 196/2003:
  • chiunque è stabilito nel territorio dello Stato o in un luogo comunque soggetto alla sovranità dello Stato,
  • chiunque è stabilito nel territorio di un Paese non appartenente all’Unione europea e impiega, per il trattamento, strumenti situati nel territorio dello Stato anche diversi da quelli elettronici, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’Unione europea.

privacy-policy-800-shutterstock-114908371Come adempiere l’obbligo di aggiornamento?

Gli adempimenti finalizzati all’aggiornamento annuale del Sistema privacy aziendale sono previsti dal DLgs 196/2003 e dal suo Allegato B (Disciplinare Tecnico in materia di misure minime di sicurezza) e presidiati da sanzioni che vanno da un minimo di 10.000 € ad un massimo di 120.000 €.
Almeno annualmente, ogni Titolare deve:
  • Verificare le attività
 degli Amministratori di Sistema: l’operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un’attività di verifica da parte dei Titolari del trattamento o dei Responsabili, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali previste dalle norme vigenti;
  • Verificare la sussistenza delle condizioni per la conservazione dei profili di autorizzazione;
  • Aggiornare l’elenco di “chi fa cosa” (Incaricati e Responsabili trattamento);
  • Programmare gli interventi formativi;
  • Aggiornare le Informative complete: le notizie da indicare per legge devono essere aggiornate, specificando la data dell’ultimo aggiornamento.

 

imagesIl Nostro Documento: APA2014 (Aggiornamento Privacy Annuale)

Studio Mazzolari, dopo l’abolizione del DPS, ha messo a punto un nuovo Documento denominato APA, acronimo di Aggiornamento Privacy Annuale, al fine di garantire la compliance dei propri Clienti alla normativa di riferimento. 
L’APA, da conservare nel Fascicolo Privacy Aziendale, è così suddiviso:
  1. Elenco dai trattamenti effettuati
  2. Mansionario Privacy
  3. Incaricati e trattamenti effettuati
  4. Archivi e Database di riferimento
  5. Incaricati alla custodia degli Archivi ad accesso controllato
  6. Incaricati e archivi/database di accesso
  7. Responsabili del trattamento
  8. Verifica dell’attività degli Amministratori di Sistema
  9. Verifica dell’aggiornamento della Privacy policy online
  10. Programmazione degli Interventi formativi.

download_large

Scarica il nostro Modello APA2014

 

 

Responsabilità degli Enti in sede penale anche per delitti in materia di privacy

Matteo Moi 10 settembre 2013

privacy_pls_4

Dal 17 agosto 2013 alcuni importanti delitti in materia di privacy si aggiungono ai reati presupposto che fanno scattare la responsabilità dell’ente, in sede penale, ai sensi del DLgs 231/2001.

Si tratta dei delitti di:

  • trattamento illecito dei dati (art. 167 del DLgs 196/2003)
  • falsità nelle dichiarazioni al Garante (art. 168 del DLgs 196/2003)
  • inosservanza di provvedimenti del Garante (art. 168 del DLgs 196/2003)

Lo prevede l’articolo 9 del Decreto Legge 93/2013 (il cosiddetto “decreto sul femminicidio”, che in realtà contiene anche altre norme rilevanti) che ha ampliato l’art. 24-bis del DLgs 231/2001 (Frode informatica e trattamento illecito dei dati).

231231, responsabilità e sanzioni

Il DLgs 231/2001 estende agli enti collettivi (persone giuridiche, società e associazioni) la responsabilità per alcuni reati commessi nell’interesse o a vantaggio degli stessi, da persone fisiche in posizione apicale o subordinata. Tale responsabilità, accertata in tribunale da un giudice penale, prevede sanzioni formalmente amministrative (pecuniarie o interdittive) ma particolarmente afflittive e di natura sostanzialmente penale.

In aggiunta alla responsabilità della persona fisica che realizza l’eventuale fatto illecito in materia di privacy è ora prevista anche la responsabilità dell’Ente; alle sanzioni per le persone fisiche già previste dal DLgs 196/2003 (da 3 mesi a 3 anni di reclusione) si aggiungono quindi le sanzioni per l’Ente previste dal DLgs 231/2001 :

  • sanzioni pecuniarie da 100 a 500 quote, quindi da un minimo di 25.800,00 € ad un massimo di 774.500,00  (una quota singola può variare da un minimo di 258 fino a un massimo di 1.549 euro), quantificate in modo proporzionale alle capacità economiche e patrimoniali dell’azienda, tenendo conto della gravità del fatto, del grado di responsabilità e dell’eventuale ravvedimento posto in essere
  • l´interdizione dall’esercizio dell´attività
  • la sospensione o la revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell´illecito
  • il divieto di pubblicizzare beni o servizi

 

pro_civInversione dell’onere della prova e principio dell’esimente

Se il reato privacy è stato commesso da persone in posizione apicale la responsabilità dell’ente è presunta (presunzione di colpevolezza), in tal caso l’onere della prova è a carico dell’ente che deve dimostrare la propria innocenza (“probatio diabolica”).

Il meccanismo adottato nella norma è quindi un’ «inversione dell’onere della prova» rispetto al nostro ordinamento che, normalmente, considera ciascuno innocente fin tanto che non sia provata la sua colpevolezza.

Nell’ottica del decreto 231, invece, per essere ritenuta incolpevole ed evitare la responsabilità amministrativa, l’azienda/ente titolare del trattamento di dati dovrà dimostrare al giudice di avere messo in campo tutte le misure di prevenzione idonee a evitare la commissione dei tre delitti privacy indicati nel DL 93.

Se il reato è stato invece commesso da persone in posizione subordinata rimane la presunzione di innocenza dell’ente, in tal caso l’onere della prova è a carico del pubblico ministero

In entrambi i casi l’Ente non è responsabile (principio dell’esimente) se

  • l’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi.
  • il compito di vigilare sul funzionamento e l’osservanza dei modelli di curare il loro aggiornamento e’ stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo (Organismo di Vigilanza, OdV)
  •  le persone hanno commesso il reato eludendo fraudolentemente i modelli di organizzazione e di gestione;
  •  non vi e’ stata omessa o insufficiente vigilanza da parte dell’OdV

 

complianceCosa fare per adeguarsi

Chi aveva già adottato un modello organizzativo, dovrà:

  • Riesaminare la mappatura delle attività sensibili. Identificare le attività nel cui ambito possono essere commessi i tre delitti privacy e le potenziali modalità di commissione dei reati, attraverso un’accurata analisi di processi e procedure;
  • Analizzare e valutare i rischi, in termini di impatto e probabilità, valutando anche l’idoneità delle procedure/protocolli già in essere per la compliance privacy.

 Nel caso in cui i livelli di rischio siano sensibili, dovrà anche

  • Introdurre eventuali nuove misure idonee a prevenire i delitti privacy (modifiche al codice etico, nuove procedure, parti speciali del modello 231, organigramma della privacy, formazione, audit, etc)
  • Introdurre specifici obblighi informativi verso l’organismo di vigilanza
  • prevedere un sistema disciplinare sanzionatorio per chi non rispetta le regole privacy
  • introdurre per l’organismo di vigilanza (Odv) l’attività di vigilanza sul funzionamento e sull’osservanza anche delle parti speciali/procedure/protocolli relativi al trattamento dei dati

common-practices-300x298Obbligatorietà o facoltatività del Modello?

L’adozione di un modello organizzativo inclusivo dell’ambito privacy è tecnicamente facoltativo anche se, come detto, l’idoneità del modello esistente esime l’azienda da responsabilità 231.

Nella prassi, tale conformità spesso costituisce un presupposto per partecipare a gare pubbliche o selezioni private, vista la crescente sensibilità dei committenti al rispetto di atteggiamenti aziendali anticrimine, da parte dell’intera filiera di cui essi sono parte.

La dotazione di un sistema di buona organizzazione data protection assurge a requisito che il mondo industriale invoca oramai a livello internazionale, anche per il rispetto di un generale principio di sana concorrenza.

L’ente, infatti, attraverso la ricognizione delle attività a rischio e della individuazione delle responsabilità interne, è in grado di monitorare e meglio utilizzare le risorse umane e strategiche, apprezzandone le inevitabili economie di scala che ne incrementano la competitività.

20110606142415Codice privacy e Garante

Come segnala la Corte di Cassazione, con la recente Relazione III/01/2013 del 22/8/2013, la previsione dei delitti in tema di privacy risulta di grande impatto, soprattutto per la configurazione della responsabilità da reato per l’illecito trattamento dei dati.

Si tratta di violazioni potenzialmente in grado di interessare l’intera platea delle società commerciali e delle associazioni private soggette alle disposizioni del DLgs 231/2001.

Nei prossimi Post approfondiremo nel dettaglio i nuovi delitti privacy che dal 17 agosto sono entrati nel DLgs 231 aggiungendosi così ai reati presupposto che fanno scattare la responsabilità dell’ente, ovvero:

  • Trattamento illecito dei dati
  • Falsità nelle dichiarazioni al Garante
  • Inosservanza di provvedimenti del Garante

No allo spam, sì a offerte commerciali “amiche” dei consumatori

spam (1)Le Linee guida del Garante privacy contro le offerte commerciali indesiderate

Offerte commerciali a utenti di social network o di servizi di messaggistica come Skype e WhatsApp solo con il loro consenso; no a e-mail e sms indesiderati; maggiori controlli da parte di chi commissiona le campagne promozionali; misure semplificate per le promozioni delle imprese che rispettano le regole.

Il Garante vara le nuove “Linee guida in materia di attività promozionale e contrasto allo spam” [doc. web n. 2542348] per combattere il marketing selvaggio e favorire pratiche commerciali “amiche” di utenti e consumatori.

Il provvedimento generale (in via di pubblicazione sulla Gazzetta ufficiale) definisce un primo quadro unitario di misure e accorgimenti utili sia alle imprese che vogliono avviare campagne per pubblicizzare prodotti e servizi, sia a quanti desiderano difendersi dall’invadenza di chi utilizza senza il loro consenso recapiti e informazioni personali per tempestarli di pubblicità. Una particolare attenzione è stata posta dall’Autorità sulle nuove frontiere dello spamming – come quello diffuso sui social network (il cosiddetto social spam) o tramite alcune pratiche di “marketing virale” o “marketing mirato” – che possono comportare modalità sempre più insidiose e invasive della sfera personale degli interessati.

Queste in sintesi le principali regole contenute nelle Linee guida.

opt-in1Offerte commerciali e spam

  • Invio di offerte commerciali solo con il consenso preventivo. Per poter inviare comunicazioni promozionali e materiale pubblicitario tramite sistemi automatizzati (telefonate preregistrate, e-mail, fax, sms, mms) è necessario aver prima acquisito il consenso dei destinatari (cosiddetto opt-in). Tale consenso deve essere specifico, libero, informato e documentato per iscritto.
  • Maggiori controlli su chi realizza campagne di marketing. Chi commissiona campagne promozionali deve esercitare adeguati controlli per evitare che agenti, subagenti o altri soggetti a cui ha demandato i contatti con i potenziali clienti effettuino spam.
  • Consenso per l’uso dei dati presenti su Internet e social network. E’ necessario lo specifico consenso del destinatario per inviare messaggi promozionali agli utenti di Facebook, Twitter e altri social network (ad esempio pubblicandoli sulla loro bacheca virtuale) o di altri servizi di messaggistica e Voip sempre più diffusi come Skype, WhatsApp, Viber, Messenger, etc. Il fatto che i dati siano accessibili in Rete non significa che possano essere liberamente usati per inviare comunicazioni promozionali automatizzate o per altre attività di marketing “virale” o “mirato”.
  • “Passaparola” senza consenso. Non è necessario il consenso per inviare e-mail o sms con offerte promozionali ad amici a titolo personale (il cosiddetto “passaparola”).

omuletiSemplificazioni per le aziende in regola

  • E-mail promozionali ai propri clienti. Ok all’invio di messaggi promozionali, tramite e-mail, ai propri clienti su beni o servizi analoghi a quelli già acquistati (cosiddetto soft spam).
  • Promozioni per “fan” di marchi o aziende. Una impresa o società può inviare offerte commerciali ai propri “follower” sui social network quando dalla loro iscrizione alla pagina aziendale si evinca chiaramente l’interesse o il consenso a ricevere messaggi pubblicitari concernenti il marchio, il prodotto o il servizio offerto.
  • Consenso unico valido per diverse attività.
    • Basta un unico consenso per tutte le attività di marketing (come l’invio di materiale pubblicitario o lo svolgimento di ricerche di mercato);
    • il consenso prestato per l’invio di comunicazioni commerciali tramite modalità automatizzate (come e-mail o sms) copre anche quelle effettuate tramite posta cartacea o con telefonate tramite operatore.
    • Le aziende che intendono raccogliere i dati personali degli utenti per comunicarli o cederli ad altri soggetti a fini promozionali, possono acquisire un unico consenso valido per tutti i soggetti terzi indicati nell’apposita informativa fornita all’interessato.

Tutele e sanzioni contro lo spam

  • Tutele per i singoli utenti. Le persone che ricevono spam possono presentare segnalazioni, reclami o ricorsi al Garante e comunque esercitare tutti i diritti previsti dal Codice privacy, inclusa la richiesta di sanzioni contro chi invia messaggi indesiderati (nei casi più gravi possono arrivare fino a circa 500.000 euro).
  • Tutele per le società. Le “persone giuridiche”, pur non potendo più chiedere l’intervento formale del Garante per la privacy, possono comunque comunicare eventuali violazioni. Hanno invece la possibilità di rivolgersi all’Autorità giudiziaria per azioni civili o penali contro gli spammer.

Contestualmente alle Linee guida, allo scopo di semplificare ulteriormente gli adempimenti in materia di marketing diretto, il Garante ha adottato anche un apposito provvedimento generale [doc. web n. 2543820] sul consenso al trattamento dei dati personali, sempre in via di pubblicazione sulla Gazzetta ufficiale.

 

Wi-fi libero, sanità elettronica, imprenditori: il Garante privacy bacchetta il Governo

++ PRIVACY: SORO, IN ARRIVO NORME SU INTERCETTAZIONI ++Informazioni personali tracciate per chi accede a Internet via wi-fi, troppi dati sanitari a Ministeri e Regioni, perdita di tutele per gli imprenditori: in una segnalazione a Governo e Parlamento i possibili rischi per la privacy dei cittadini

In una segnalazione inviata a Governo e Parlamento, il Garante per la protezione dei dati personali ha richiamato l’attenzione sui rischi per la privacy dei cittadini che potrebbero derivare da alcune norme contenute nel recentissimo “Decreto del Fare” e nel Disegno di legge sulle semplificazioni.

Due gli articoli del primo decreto che hanno suscitano forti perplessità da parte dell’Autorità: quello sul cosiddetto “wi-fi libero” e quello sul Fascicolo sanitario elettronico.

 

free-wi-fiWi-fi libero

L’articolo 10 del decreto legge n.69 del 21 giugno scorso prevede, come già avviene adesso, che quanti offrono accessi a Internet tramite wi-fi (es. bar, ristoranti, alberghi) non debbano più identificare i clienti che utilizzano il terminale.

Ma stabilisce al contempo l’obbligo di tracciare alcune informazioni relative all’accesso alla rete (come il cosiddetto “indirizzo fisico” del terminale, MAC Address) che, a differenza di quanto sostenuto nella norma, sono – ai sensi della Direttiva europea sulla riservatezza e del Codice privacy – dati personali, in quanto molto spesso riconducibili all’utente che si è collegato a Internet.

Peraltro, l’adempimento richiesto, sottolinea il Garante, non solo grava su una platea considerevole di imprese, ma reintroduce obblighi di monitoraggio e registrazione dei dati che, stabiliti a suo tempo dal decreto Pisanu per categorie di gestori diverse da quanti offrono accesso ad Internet con modalità wireless, sono stati successivamente soppressi anche in ragione delle difficoltà e degli oneri legati alla loro applicazione. Il Garante auspica lo stralcio della norma e l’approfondimento di questi aspetti nell’ambito di un provvedimento che non abbia carattere d’urgenza.

 

1342164699Fascicolo sanitario elettronico (Fse)

L’art.17 dello stesso decreto, poi, modificando precedenti disposizioni in materia di Fascicolo sanitario elettronico (Fse), prevede che, a fini di ricerca epidemiologica e di programmazione e controllo della spesa sanitaria, le Regioni e le Province autonome, il Ministero del Lavoro e il Ministero della Salute possano accedere alle informazioni sanitarie presenti nel Fse di tutti gli assistiti, compresi i documenti clinici prima espressamente esclusi. In questo modo tali amministrazioni si troverebbero ad utilizzare una enorme mole di dati sensibili (ricoveri, accessi ambulatoriali, referti, risultati di analisi cliniche, farmaci prescritti) che, per quanto non immediatamente riconducibili agli interessati, non sono indispensabili per il raggiungimento di finalità diverse da quella della cura.

L’Autorità chiede che la norma venga modificata affinché i soggetti pubblici interessati possano accedere alle sole informazioni effettivamente necessarie per lo svolgimento di tali finalità.

 

shutterstock_93304129-830x1024Perdita di tutele per gli imprenditori

Il Garante ha infine espresso la sua contrarietà alla possibile riproposizione di disposizioni che risulterebbero inserite nel disegno di legge sulle semplificazioni di recente approvato dal Consiglio dei ministri, volte ad escludere gli imprenditori dall’applicazione del Codice privacy.

Tali norme privano di fatto le persone fisiche – sia pure quando agiscano nell’esercizio della propria attività imprenditoriale – del diritto alla protezione dei dati, con conseguenze paradossali e non certo semplificatorie.

E anzi perfino pregiudizievoli per la stessa attività d’impresa, stante la difficoltà di distinguere, nella vita concreta, il dato della persona fisica da quello riferito alla sua qualità di imprenditore. In questo modo, gli imprenditori si  troverebbero ad avere meno diritti (ad esempio non potrebbero più rivolgersi al Garante per tutelarsi in caso di informazioni non corrette presenti nelle banche dati), ma gli stessi oneri ai quali erano prima soggetti.

La disposizione, peraltro, ricorda il Garante, si porrebbe in netto contrasto con la Direttiva europea con la conseguenza di costringere l’Autorità a sollevare la questione in sede comunitaria.

 

 

Si a telecamere “intelligenti” per impianti in zone isolate

video_surveillance_and_physical_security_212463Il Garante per la privacy ha accolto le richieste avanzate da un gruppo industriale di installare un sistema di videosorveglianza “intelligente”, dotato di riconoscimento dei movimenti, per proteggere cinque complessi fotovoltaici posizionati in zona isolate.

Le domande di verifica preliminare presentate traggono origine dalle peculiari esigenze organizzative e di sicurezza dei siti produttivi che si trovano in ampie aree lontano da centri abitati e solitamente non richiedono la presenza di personale sul posto.

Le società che gestiscono gli impianti hanno quindi chiesto di poter abbinare al normale sistema di videosorveglianza, dotato di telecamere fisse e “speed-dome” (brandeggiabili e dotate di zoom), una funzione di “motion control” in grado di rilevare automaticamente eventuali movimenti all’interno dell’area ripresa e di allertare immediatamente il personale di controllo. Le nuove funzionalità consentirebbero alle imprese di:

  • garantire la sicurezza delle infrastrutture da intrusioni e danneggiamenti,
  • monitorare costantemente il corretto funzionamento degli impianti in modo da richiedere l’intervento di addetti sul posto solo in caso di eventi anomali.

 

original_S3I_Integrated_Video_surveillance_Security_System_Solution_3_HLe misure privacy da adottare

L’Autorità ha riconosciuto le specifiche necessità del gruppo e ha autorizzato l’attivazione delle nuove tecnologie con l’obbligo, però, di adottare adeguate tutele per la privacy:

  • le telecamere dovranno essere opportunamente segnalate e potranno inquadrare solo le aree interne dell’impianto e l’area immediatamente attigua la recinzione;
  • L’accesso via internet alle immagini conservate nei computer degli impianti potrà avvenire solo tramite connessioni protette (con rete VPN) e trasmissioni criptate;
  • i dati potranno essere consultati solo da personale appositamente incaricato e dotato di utenze di accesso individuale.

 

eyeGaranzie per il Lavoratori

Il Garante ha infine sottolineato che, siccome le telecamere potrebbero riprendere l’attività del personale inviato a operare sul posto, le aziende coinvolte dovranno comunque operare nel rispetto dello Statuto dei lavoratori. Prima di avviare l’attività di videosorveglianza, le società dovranno quindi attendere l’apposito nulla osta già richiesto alle competenti Direzioni provinciali del lavoro. In ogni caso, le riprese potranno essere utilizzate solo per finalità connesse alla tutela del patrimonio aziendale e non per il controllo a distanza dei lavoratori o per altri scopi non previsti.

 

La nuova guida del Garante privacy per aiutare le imprese

downloadProposte 10 pratiche aziendali per migliorare il business e valorizzare il corretto utilizzo dei dati

La corretta adozione di semplici misure a protezione dei dati personali può contribuire a rendere più efficiente l’organizzazione dell’impresa e a ridurre sensibilmente i potenziali rischi a cui la stessa si espone sul mercato, ma può rappresentare anche un vantaggio competitivo.

Per questi motivi, l’Autorità ha predisposto una breve guida – “La privacy dalla parte dell’impresa – Dieci pratiche aziendali per migliorare il proprio business”.

L’obiettivo è quello di aiutare le imprese a valorizzare il proprio patrimonio dati, trasformando la privacy da costo a risorsa, senza per questo ridurre le tutele dei diritti fondamentali della persona.

Il Garante per la privacy ha individuato dieci “best practice” che possono migliorare:

  • non solo l’immagine dell’impresa, come soggetto attento al principio di “responsabilità sociale”,
  • ma anche la propria capacità di business, aumentando la fiducia di utenti e consumatori nella serietà e affidabilità dell’attore economico.

Il vademecum richiama regole fondamentali e consigli pratici – che vanno dalla selezione del personale all’uso delle nuove tecnologie, dalla trasparenza alle misure di sicurezza – per utilizzare e proteggere al meglio i dati personali trattati. L’imprenditore potrà trovare anche riferimenti alle principali modalità semplificate che l’Autorità ha, nel tempo, indicato alle aziende per ottenere una conformità sostanziale alla protezione dei dati, evitando attività inutili e meramente formali.

La guida
La guida è suddivisa in dieci brevi capitoli:

  1. “Il valore dei dati”
  2. “A ciascuno le sue responsabilità”
  3. “Trasparenza e correttezza nel business”
  4. “Curriculum & Co.”
  5. “Trattamenti “a rischio”
  6. “Tecnologie per l’impresa”
  7. “Difesa del patrimonio dati”
  8. “Controllo del “controllore informatico”
  9. “L’ “export” dei dati”
  10. “Verso una “customer care dei dati”

Ogni capitolo affronta una differente pratica aziendale e alcuni dei benefici diretti e indiretti generati dalle misure adottate per tutelare i dati personali.

La nuova guida sarà distribuita al Forum Pa, in programma dal 28 al 30 maggio 2013 al Palazzo dei Congressi di Roma, presso lo stand del Garante.