Privacy e app: le Authority europee intervengono

impatto-ambientale-di-smartphone-e-tabletIl consenso libero ed informato degli utenti finali è essenziale per garantire il rispetto della legislazione europea sulla protezione dei dati.

Le Autorità europee per la protezione dei dati, riunite nel Gruppo Articolo 29, hanno adottato un parere che esamina i rischi fondamentali per la protezione dei dati derivanti dalle applicazioni per terminali mobili. Nel parere sono indicati gli obblighi specifici che, in base alla legislazione Ue sulla privacy, sviluppatori, ma anche distributori e produttori di sistemi operativi e apparecchi di telefonia mobile, sono tenuti a rispettare. Particolare attenzione viene posta nel parere alle applicazioni rivolte ai minori.

Chi possiede uno smartphone ha normalmente attive in media circa 40 applicazioni. Queste applicazioni sono in grado di raccogliere grandi quantità di dati personali: ad esempio, accedendo alle raccolte di foto oppure utilizzando dati di localizzazione

MobileApplicationsApps carousel-304I rischi per la privacy delle applicazioni per smartphone

Gli smartphone e i tablet contengono grandi quantità di dati molto personali che riguardano direttamente o indirettamente gli utenti: indirizzi, dati sulla localizzazione geografica, informazioni bancarie, foto, video. Smartphone e tablet sono, inoltre, in grado di registrare o catturare in tempo reale varie tipologie di informazioni attraverso molteplici sensori quali microfoni, bussole o altri dispositivi utilizzati per tracciare gli spostamenti dell’utente. Anche se l’obiettivo degli sviluppatori è rendere disponibili servizi nuovi e innovativi, le app possono comportare rischi significativi per la privacy e la reputazione degli utenti.

La legislazione sulla privacy Ue prevede che ogni persona ha il diritto di decidere sui propri dati personali. Le applicazioni, dunque,  per trattare i dati degli utenti devono:

  • prima fornire informative adeguate, in modo da
  • ottenere un consenso che sia veramente libero e informato.

Un altro rischio per la protezione dei dati deriva da misure di sicurezza insufficienti. Insufficienza che  può comportare trattamenti non autorizzati di dati personali a causa della tendenza a raccogliere quantità sempre più consistenti di informazioni e della elasticità e genericità degli scopi per i quali queste vengono raccolte, ad esempio a fini di  “ricerche di mercato”. Tutto ciò aumenta la possibilità di violazioni dei dati.

2-22-2011appstoresObblighi e raccomandazioni

Il parere individua precise raccomandazioni e obblighi per ciascuno degli attori coinvolti, evidenziando che la protezione di dati personali degli utenti e la relativa sicurezza sono il risultato di azioni coordinate di sviluppatori, produttori dei sistemi operativi e distributori (“app stores”)  che devono durare nel tempo, e non la semplice applicazione di regole una tantum. In particolare, sono richiamati gli obblighi sull’informativa e sul consenso riguardo:

  • all’archiviazione di informazioni sui terminali degli utenti,
  • per l’utilizzo da parte delle app di dati di localizzazione o delle rubriche dei contatti.

best practiseBest practices

Si raccomandano inoltre alcune “buone pratiche” che devono intervenire sin dalle fasi iniziali di sviluppo delle app, quali:

  • l’impiego di identificativi non persistenti, in modo da ridurre al minimo il rischio di tracciamenti degli utenti per tempi indefiniti,
  • la definizione di precisi tempi di conservazione dei dati raccolti,
  • l’impiego di icone “user friendly” per segnalare che specifici trattamenti di dati sono in corso (ad es. dati di geolocalizzazione).

In caso di app rivolte specificamente ai minori, si ribadisce la necessità del consenso dei genitori.

Si sottolinea, infine, la necessità di una più efficace assistenza all’utente mediante la designazione di “punti di contatto” presso gli “stores” che consentano agli utenti di risolvere in modo rapido problemi legati al trattamento di dati personali da parte delle app installate.

 

Annunci

Privacy: operazione “Data Retention”

byod-mobile-vetrina_t6 marzo 2013: ispezioni della Guardia di Finanza in tutta Italia sul rispetto delle norme per la conservazione dei dati di traffico telefonico e telematico

Si chiama “Data Retention” l’operazione eseguita dai Finanzieri del Nucleo Speciale Privacy di Roma, nell’ambito delle attività di collaborazione con il Garante per la protezione dei dati personali, nei confronti di 11 società di telefonia e provider.

Gli accertamenti ispettivi, che si inquadrano nell’ambito dei controlli effettuati su delega dell’Autorità per la privacy, traggono origine da un’attività di analisi effettuata dal Nucleo, d’intesa con il Comando Unità Speciali della Guardia di Finanza, al fine di verificare che gli operatori telefonici ed i provider della rete internet rispettino le norme “privacy”.

 

data-retentionLa conservazione dei dati di traffico

Uno degli aspetti più delicati è senz’altro quello del trattamento dei dati di traffico telefonico e telematico, che consente agli operatori di disporre di una serie di importanti informazioni quali tra l’altro:

  • il numero chiamato
  • ora e data e durata del contatto
  • la localizzazione degli apparati degli utenti in caso dell’utilizzo di un telefono mobile.

Tali informazioni, in continuo aumento anche per il diffondersi di smartphone e tablet, devono essere conservate dai fornitori di servizi di comunicazione elettronica per fini investigativi e di giustizia, ad esclusiva disposizione degli organi inquirenti:

  • per ventiquattro mesi  (dati di traffico telefonico)
  • dodici mesi (dati di traffico telematico)

Il Garante ha stabilito con il Provvedimento del 17 gennaio 2008 stringenti misure e accorgimenti che devono essere rispettati dai fornitori per garantire la sicurezza dei dati, e la loro automatica cancellazione al termine del periodo di conservazione previsto dalla legge.

L’operazione in questione, pertanto, mirava a verificare il rispetto della normativa in materia di trattamento dei dati personali, nell’ottica di un bilanciamento tra le ragioni di giustizia e di sicurezza e l’interesse alla riservatezza della vita privata dei cittadini che, usufruendo di servizi di telefonia e di accesso ad internet ed alla posta elettronica, anche in mobilità, hanno rilasciato i propri dati alle aziende che forniscono i relativi servizi.

I controlli eseguiti hanno avuto in primo luogo lo scopo  di sensibilizzare gli operatori del settore circa il rispetto delle disposizioni di legge e delle prescrizioni impartite dal Garante.

 

Judge_HammerViolazioni della normativa privacy

In 9 casi sono state accertate e contestate violazioni amministrative al Codice Privacy relativamente a:

  • conservazione dei dati di traffico oltre i termini previsti
  • mancata adozione delle misure minime di sicurezza
  • mancata adozione di alcune delle ulteriori misure di protezione prescritte dal Provvedimento del Garante, quali:
    • l’uso di tecnologie di riconoscimento biometrico per selezionare l’accesso ai dati
    • la cifratura dei dati.

Due sono state le segnalazioni al Ministero dello sviluppo economico per l’eventuale contestazione della violazione relativa alla mancata conservazione dei dati di traffico o alla loro conservazione per un tempo inferiore a quello previsto.

E’ stata, infine, predisposta una segnalazione all’Autorità Giudiziaria per l’ipotesi di reato di violazione delle misure minime di sicurezza.

Al di là dei profili sanzionatori, il Garante dovrà ora valutare, caso per caso, la congruità delle misure adottate nonché la liceità dei trattamenti con riferimento, in particolare, al profilo, emerso in taluni casi, del trasferimento all’estero dei dati.

In ultima analisi, il messaggio che si è inteso veicolare mediante l’attività ispettiva in questione è stato quello che gli operatori del settore devono garantire la massima riservatezza dei dati di traffico generati dagli utenti dei propri servizi.

 

Ai sindacati niente dati nominativi sul lavoro straordinario

Overtime BusinessmanLe pubbliche amministrazioni, in assenza di disposizioni normative o di specifiche clausole contenute in contratti collettivi, non possono comunicare le ore di straordinario svolte da un dipendente indicando anche il nome e il cognome dello stesso. Le comunicazioni vanno fatte in forma anonima o aggregata.

Lo ha stabilito il Garante privacy che ha imposto al Dipartimento dell’amministrazione penitenziaria del Ministero della giustizia di interrompere la trasmissione alle organizzazioni sindacali dei dati relativi alle ore di straordinario effettuate da un commissario di polizia penitenziaria.

L’interessato, non iscritto ad alcun sindacato, aveva lamentato la comunicazione in forma nominativa, alle organizzazioni sindacali del comparto sicurezza, del prospetto concernente le prestazioni di lavoro straordinario da lui effettuate e le relative competenze. Ritenendo violate le norme sulla privacy, aveva chiesto che il Dipartimento cessasse tale trattamento illecito dei dati.

Non avendo ottenuto riscontro, si era è rivolto dunque all’Autorità chiedendo che i suoi dati personali non venissero né trasmessi alle OO.SS., né affissi e quindi diffusi in locali comuni.

privacy-dati-dipendenti-300x300L’intervento del Garante

L’istruttoria condotta dal Garante ha messo in luce come nel caso in questione non esistono né disposizioni normative né disposizioni contenute in accordi sindacali di settore che legittimino la trasmissione in forma nominativa di informazioni relative alle ore di straordinario svolto dai dipendenti dell’Amministrazione penitenziaria: l’Accordo Nazionale quadro per il personale del Corpo di polizia penitenziaria, risalente al 2004,  prevede infatti solo la comunicazione in forma anonima dei prospetti delle prestazioni di lavoro straordinario.

Nella sua decisione l’Autorità ha richiamato inoltre quanto previsto dalle Linee guida del Garante del 14 giugno 2007, sul trattamento dei dati personali nel rapporto di lavoro pubblico, le quali stabiliscono che l’amministrazione pubblica può fornire alle organizzazioni sindacali dati numerici e aggregati e non anche quelli riferibili ad uno o più lavoratori individuabili.

Nell’accogliere dunque il ricorso dell’interessato e ritendendo pertanto illecito il trattamento effettuato dall’amministrazione penitenziaria, l’Autorità ha disposto il blocco dell’ulteriore comunicazione dei dati del dipendente addebitando le spese del ricorso al Ministero.

Sì alla televigilanza, ma senza violare i diritti dei lavoratori

disrupters-video-network-optixBloccato impianto video di un’ importante catena commerciale. Il servizio di televigilanza, con scopo di anti-taccheggio e anti-rapina, non deve consentire forme di controllo a distanza dei lavoratori. Gli esercenti devono segnalare adeguatamente la presenza di telecamere e affidare la gestione del servizio a guardie giurate.

Queste le indicazioni del Garante che, in seguito all’attività ispettiva condotta dalla Questura di Genova, ha bloccato il trattamento dei dati effettuato tramite il sistema di videosorveglianza installato in un esercizio di un’importante catena commerciale.

Dalle verifiche effettuate è emerso che la società aveva violato in più punti l’accordo che era stato sottoscritto con i sindacati per l’installazione delle telecamere sul luogo di lavoro.

Una videocamera, ad esempio, invece che essere utilizzata per finalità di sicurezza, inquadrava il sistema di rilevazione degli accessi dei dipendenti, consentendo quindi – in contrasto con quanto sottoscritto dall’azienda e con lo stesso Statuto dei lavoratori – il controllo a distanza dei lavoratori.

Le immagini registrate risultavano poi accessibili con modalità diverse da quelle concordate. Non erano in regola neppure i cartelli con l’informativa semplificata utilizzati per segnalare la presenza dell’impianto di videosorveglianza: non solo non contenevano tutte le informazioni necessarie, ma erano in numero esiguo e, a volte, collocati in posizione non chiaramente visibile (ad es. alle spalle di un espositore).

Dai riscontri della Questura è emerso, inoltre, che l’impianto di videosorveglianza era stato affidato in gestione a un consorzio di ditte esterne che utilizzava per il servizio personale non qualificato. Chi effettuava il controllo delle immagini:

  • era privo della licenza prefettizia di “guardia particolare giurata”, necessaria per poter svolgere funzioni anti-rapina e anti-taccheggio, e
  • non era stato designato incaricato del trattamento dei dati personali.

 

Hand_Do_NotL’intervento del Garante

Il Garante della privacy:

  • ha imposto all’esercente di provvedere a sanare tutte le violazioni riscontrate e
  • ha bloccato il trattamento dei dati effettuato attraverso il sistema di videosorveglianza.

Ha anche trasmesso copia degli atti e del provvedimento all’autorità giudiziaria al fine di valutare gli eventuali illeciti penali commessi.

Smart o Professional? I nuovi Servizi di Studio Mazzolari

Studio MazzolariSemplificazione nell’elevata Tutela

Sviluppare soluzioni personalizzate e flessibili per soddisfare ogni tipo di esigenza, fornire assistenza professionale di assoluta qualità ed affidabilità: questa la nostra Mission.

Dopo il nuovo recente inasprimento delle sanzioni privacy, Studio Mazzolari propone i nuovi Servizi SmartConsulting® e ProfessionalConsulting® per l’adeguamento di Aziende, Studi Professionali ed Enti Pubblici alle misure di sicurezza minime e necessarie previste dal DLgs 196/2003 (Codice privacy), dai più recenti Provvedimenti del Garante oltre che dalle Normative di settore.

Smart o Professional? Le nostre Soluzioni personalizzate

LightWeight Icon

SmartConsulting®

Consigliata per Piccole Imprese, la soluzione SmartConsulting® consente l’adeguamento alla normativa privacy in tempi brevi e a costi contenuti. Vai all’Offerta

product_performance_report_icon_1

ProfessionalConsulting®

Principalmente rivolta a PMI ed Enti Pubblici, la soluzione ProfessionalConsulting® garantisce la presenza di un nostro Professionista sia nella fase iniziale di checkup e raccolta informazioni, sia nella messa a regime del Modello Privacy da noi predisposto. Vai all’Offerta

 

Inoltre: desideri finanziare il Nostro Intervento?

iStock_000002266764Small

Le attività realizzate da Studio Mazzolari sono finanziabili attraverso l’accesso a Fondi legati alla Legge n 236/93 o ai Fondi Paritetici interprofessionali (Fpi), in relazione al fabbisogno formativo proprio del Cliente.

Per saperne di più: la nostra Formazione finanziata

 

 

L’attività ispettiva del Garante privacy: telemarketing e profilazione a rischio

GaranteVarato anche il piano ispettivo per il primo semestre 2013

395 ispezioni, circa 3 milioni e 800 mila euro le somme riscosse a seguito di sanzioni. Un bilancio significativo quello riguardante l’attività ispettiva svolta dal Garante privacy nel 2012.

Gli accertamenti, effettuati anche mediante il contributo delle Unità Speciali della Guardia di finanza – Nucleo speciale privacy, hanno riguardato:

  • il telemarketing,
  • l’uso dei sistemi di localizzazione (gps)  nell’ambito del rapporto di lavoro,
  • i nuovi strumenti di pagamento gestiti dalle compagnie telefoniche (mobile payment), 
  • il credito al consumo e le “centrali rischi”,
  • le banche dati del fisco,
  • l’attività di profilazione dei clienti da parte delle aziende.

 

cloud-privacy_tLe sanzioni

Per quanto riguarda le sanzioni amministrative, sono stati avviati 578 procedimenti (con un incremento del 61% rispetto al 2011) che hanno riguardato, in larga parte:

  • la omessa informativa,
  • il trattamento illecito dei dati,
  • il mancato rispetto delle norme in materia di telemarketing,
  • la conservazione eccessiva dei dati di traffico telefonico e telematico,
  • la mancata adozione di misure di sicurezza,
  • l’omessa o mancata notificazione al Garante,
  • l’inosservanza dei provvedimenti dell’Autorità.

L’incremento è dovuto, in particolare, all’attività di contrasto delle violazioni nel settore del telemarketing.

56 sono state le segnalazioni all’autorità giudiziaria (con un incremento del 51% rispetto al 2011), in particolare per violazioni connesse:

  • al controllo a distanza dei lavoratori,
  • all’accesso abusivo a banche dati,
  • alle misure di sicurezza,
  • alla falsità nelle dichiarazioni al Garante.

Per quanto riguarda le misure di sicurezza sono state impartite 18 prescrizioni nei confronti di diversi soggetti, pubblici e privati.

Le somme riscosse dall’erario a seguito di sanzioni sono state 3.769.217 di euro, con un aumento rispetto all’anno precedente del 22%.

 

2815884-16x9-340x191Il piano ispettivo del primo semestre 2013

Il piano ispettivo varato per il primo semestre 2013 punta su settori di particolare rilevanza:

  • le banche dati pubbliche in particolare di enti previdenziali e dell’amministrazione finanziaria,
  • l’attività di telemarketing da parte dei call center operanti all’estero,
  • il trattamento dei dati per il fascicolo sanitario elettronico,
  • i nuovi strumenti di pagamento gestiti dalle compagnie telefoniche (mobile payment),
  • le “centrali rischi”.

 

privacy_alertGli accertamenti delle GdF e i principali Adempimenti privacy

200 gli accertamenti ispettivi programmati che verranno effettuati anche in collaborazione con il Nucleo speciale privacy della Guardia di finanza.

A questi accertamenti si affiancheranno quelli che si renderanno necessari in ordine a segnalazioni e reclami presentati e le altre verifiche per accertare il rispetto dei principali adempimenti previsti dalla normativa quali:

  • le informative da fornire ai cittadini sull’uso dei loro dati personali,
  • la corretta acquisizione del consenso da richiedere nei casi previsti dalla legge,
  • l’adozione delle misure di sicurezza,
  • il rispetto dell’obbligo di notificazione al Garante.

 

Controlli sui pc aziendali si, ma nel rispetto di precise regole

computer-worker (1)Una società non può controllare il contenuto del pc di un dipendente senza averlo prima informato di questa possibilità e senza il pieno rispetto della libertà e della dignità del lavoratore.

Questa la decisione del Garante sul ricorso presentato da un dipendente che era stato licenziato senza preavviso dalla propria azienda. L’uomo si era rivolto sia alla magistratura ordinaria, per contestare la stessa fondatezza dell’accusa e il relativo licenziamento, sia al Garante per opporsi alle modalità con cui la società avrebbe acquisito e trattato i suoi dati.

Dai riscontri dell’Autorità è emerso che una serie di documenti, sulla base dei quali il datore di lavoro aveva fondato la sua decisione, erano contenuti in una cartella personale del pc portatile assegnato al lavoratore. La società vi aveva avuto accesso quando il dipendente aveva riportato il computer in sede per la periodica operazione di salvataggio dei dati (back up) aziendali. Contrariamente a quando affermato dall’impresa, non risulta però che l’uomo fosse stato informato:

  • sui limiti di utilizzo del bene aziendale,
  • né sulla possibilità che potessero essere avviate così penetranti operazioni di analisi e verifica sulle informazioni contenute nel pc stesso.

 

An immigrant walks past graffiti in an AthensLe condizioni di liceità del controllo datoriale

Il Garante ha ribadito che il datore di lavoro può effettuare controlli mirati al fine di verificare l’effettivo e corretto adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro.

Tale attività, però, può essere svolta solo nel rispetto della libertà e della dignità dei lavoratori e della normativa sulla protezione dei dati personali che prevede, tra l’altro che alla persona interessata debba essere sempre fornita un’idonea informativa sul possibile trattamento dei suoi dati connesso all’attività di verifica e controllo.

Il Garante ha quindi vietato alla società ogni ulteriore utilizzo dei dati personali così acquisiti. Sarà invece l’autorità giudiziaria a valutare l’utilizzabilità nel procedimento civile già in corso della documentazione acquisita agli atti.