Lavoro, “timbrare” con la app: ok, ma solo con adeguate garanzie

cartellino_timbro_fotogramma-krab-835x437ilsole24ore-webDue società appartenenti a un gruppo che si occupa di ricerca, selezione e somministrazione di lavoro a tempo determinato potranno chiedere ai propri dipendenti – impiegati presso altre ditte o che svolgono sistematicamente attività “fuori sede” – di installare una app sugli smartphone di loro proprietà,  ai fini della rilevazione di inizio e fine dell’attività lavorativa.

Chi non intende scaricare la app potrà continuare a entrare e uscire dal posto di lavoro impiegando i sistemi tradizionali in uso.

Lo ha stabilito il Garante privacy che ha accolto, in applicazione della disciplina sul cosiddetto “bilanciamento di interessi”, un’istanza di verifica preliminare presentata dalle due società e ha dettato una serie di misure a tutela dei lavoratori.

Con l’adozione della app, che prevede l’uso dei dati di geolocalizzazione, le società intendono snellire le procedure relative alla gestione amministrativa del personale, di volta in volta collocato presso altre ditte o semplificare e rendere più efficiente la rilevazione della presenza dei dipendenti che lavorano per lo più all’esterno della sede aziendale.

Il Garante ha tuttavia prescritto alle società di perfezionare il sistema nella prospettiva della “privacy by design”, applicando il principio di necessità e anche alla luce dei possibili errori nell’accuratezza dei sistemi di localizzazione.

In particolare, verificata la associazione tra le coordinate geografiche della sede di lavoro e la posizione del lavoratore, il sistema

  • potrà conservare ˗ se del caso ˗ il solo dato relativo alla sede di lavoro (oltre a data e orario della “timbratura” virtuale),
  • cancellando il dato relativo alla posizione del lavoratore.

Inoltre, sullo schermo del  telefonino dovrà essere sempre ben visibile un’icona che indichi che la funzione di localizzazione è attiva.

L’applicazione dovrà poi essere configurata in modo tale da impedire il trattamento, anche accidentale, di altri dati contenuti nel dispositivo di proprietà del lavoratore (ad esempio, dati relativi al traffico telefonico, agli sms, alla posta elettronica, alla navigazione in Internet o altre informazioni presenti sul dispositivo).

Prima dell’avvio del nuovo sistema di accertamento delle presenze, le società dovranno effettuare la notificazione al Garante, indicando i tipi di trattamenti e le operazioni che intendono compiere, e fornire ai dipendenti  un’informativa comprensiva di tutti gli elementi (tipologia dei dati, finalità e modalità del trattamento, tempi di conservazione, natura facoltativa del conferimento, soggetti che possono venire a conoscenza dei dati in qualità di responsabili o incaricati del trattamento).

Le società dovranno, infine, adottare tutte le misure di sicurezza previste dalla normativa per preservare l’integrità dei dati e l’accesso a persone non autorizzate.

Annunci

Accountability needs technology!

shutterstock_363192542-700x467

From the very beginning, data protection has been about the processing of personal data by means of technology. When the first data protection laws were adopted in the 1970s, computers were just starting to become standard tools in business and public administration. The Internet had just been invented and was only accessible to a few researchers and computer specialists. But still, the founders of data protection saw the big possibilities and the dangers of uncontrolled collection, analysis and evaluation of personal data with the help of the still emerging technologies and they managed to convince legislators to enact a set of controls and safeguards to protect fundamental rights.
Over the last 40 years, the technological tools for data processing have grown in capabilities and availability, the amounts of data processed have increased by astronomical orders of magnitude. Data protection authorities have long realized that technology can not only be the tool for processing but that it must also contribute to implementing the safeguards and the principles of data protection. The EDPS strategy 2015-2019 demands that “Data protection goes digital”.  

With the recent adoption of the new General Data Protection Regulation of the EU, a new chapter has been opened for data protection. One of the most important developments is that now the principle of accountability becomes a key concept in data protection.

Accountability means that those processing personal data:

  • have to take full responsibility for their actions and
  • must be able to demonstrate that they did all what is necessary in order to comply with their data protection obligations.

At the same time, the GDPR also introduces the principle of data protection by design and by default. This principle obliges the controller to take technical and organisational measures in order to implement data protection principles, such as data minimisation and purpose limitation, and the necessary safeguards. Choosing and using technology in this way will become a means to enable accountability and to demonstrate compliance and commitment to protecting fundamental rights.

How can we ensure that appropriate technologies will be available?

The GDPR establishes the “state of the art” as one of the criteria for the appropriate technological measures. This means that the most privacy-friendly solutions available contribute to setting the threshold for what can be accepted as appropriate solution.

If a good solution for a common data protection issue has been found and implemented in practice, there is no good excuse anymore for applying a less data protection compliant solution. This evolution of the state of the art can drive a dynamic process of continuous improvement of privacy-friendly technologies: the more and better data protection by design is implemented, the more it will become the baseline for all controllers to achieve in their implementations.

There are many technology developers who want to contribute to raising this bar.

Research in PETs (privacy enhancing technologies) has been a subject of growing interest in academia and industry for several years now, and a number of publications and conferences have been established and attract a growing number of contributors.

This week, the Annual Privacy Forum organised by ENISA has been a showcase for the state of the art in privacy enhancing technologies, and also an opportunity for discussing the factors that can accelerate or impede their further deployment and adoption in real life data processing. The developers presented tools to give more control to users about their data being processed, better information and transparency about the processing, improving the security of personal data and models to make PETs more accessible to developers. I participated in a panel on this project. One of the questions discussed was who could be the best keeper of a repository of information about the maturity of PETSs. There are many legal questions to be solved, possibly the future EDPB may be best placed to look at this issue.

The following day is reserved for a workshop of the Internet Privacy Engineering Network IPEN which the EDPS and colleagues from other data protection authorities, industry, academia and civil society created two years ago. IPEN was a welcome response to the need felt by many developers and designers of Internet technologies and services to find a response by the widespread surveillance revealed by Edward Snowden in 2013. Also some of those who are designing the technologies of the Internet, in the IETF and other organisations decided to join the exchange about more privacy friendly tools, building blocks and protocols.

With the GDPR, the environment has changed considerably.

When Data Protection Authorities will assess data processing operations in the future, they will look at the implementation of the solution, including all technical and organisational measures, in addition to legal and administrative tools, and transparency of personal data processing.

At the IPEN workshop, the discussion between stakeholders will focus on the question, how the new GDPR obligations which apply directly only to controllers can contribute to improving the state of the art in privacy engineering in such a way that also manufacturers and suppliers of tools, products and services will step by step upgrade the privacy feature of their offerings.

This is clearly an ambitious objective, but one that needs to be pursued in order to deliver better data protection and privacy to EU citizens, and that can have a global impact if we are successful.

Data Protection, cosa cambia con il Regolamento Europeo

how-comply-gdprFonte: PuntoInformatico

Di Avv. V. Frediani

La direttiva del 1995 non è più sufficiente a garantire diritti e stabilire doveri, in un presente in cui i dati personali sono sempre più preziosi ed ambiti

Via alle nuove regole sulla protezione dei dati: con il voto  del Parlamento Europeo dello scorso giovedì si inaugura una nuova era per la privacy, tagliando un ambizioso traguardo dopo quattro anni di lavoro tra gli Stati membri e tracciando un importante punto di partenza per un nuovo concetto di governance dei dati, dove la trasparenza e la tutela delle informazioni rappresentano i perni centrali.
Una manovra economica, oltre che una svolta legislativa, tesa a porre fine all’obsoleto mosaico di norme nazionali, incapaci di creare un comune fronte d’azione e un quadro di riferimento omogeneo.

Del resto era chiaro come il trattamento dei dati fosse diventato un tema troppo caldo per essere gestito dall’attuale Direttiva privacy, datata 1995, quando Internet era solo agli esordi. Le continue pressioni dei colossi industriali per ottenere informazioni sui consumatori e le esigenze di sicurezza di raccogliere quanti più dati possibili su eventuali sospetti di reati transnazionali o di terrorismo, scandite da accesi dibattiti e feroci battaglie politiche tra industria e Autorità Garanti, hanno reso più che mai necessario nel tempo un regolamento generale a misura di Società “digitale”, dove tutto viaggia su smartphone, social media e trasferimenti di dati da un capo del mondo all’altro.

Ma cosa comprende nello specifico il pacchetto di protezione dati?

  • Diritto all’oblio,
  • condizioni per un “consenso chiaro” per il trattamento dei dati privati dell’interessato,
  • diritto di trasmettere i propri dati a un altro titolare del trattamento oltre che
  • trasparenza in materia di data breach ovvero il diritto di essere informati di eventuali violazioni dei propri dati personali.

Un tema di particolare interesse, quest’ultimo, che dovrà costituire argomento di adeguata analisi da parte delle aziende, le quali dovranno essere in grado di monitorare gli eventi relativi alla violazione dei dati e notificare all’Autorità competente, entro 72 ore decorrenti dalla conoscibilità dell’evento, i dettagli del medesimo. Con il possibile obbligo a notificare anche agli interessati eventuali violazioni subite.

Si tratta di un aspetto sintomatico del principio di trasparenza nel trattamento dei dati che questo Regolamento evidenzia in vari punti. Molti diritti, quindi, per gli interessati, che per le aziende si traducono in obblighi ed evidentemente in costi. Ma non solo.

Con riferimento alle figure del titolare e responsabile, viene specificato che “tenuto conto della natura, del campo di applicazione, del contesto e delle finalità del trattamento nonché dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il controller/processor del trattamento mette in atto misure tecniche ed organizzative adeguate per garantire ed essere in grado di dimostrare, che il trattamento dei dati è conforme al regolamento. Tali misure sono riesaminate ed aggiornate qualora necessario. Esse includono politiche adeguate in materia di protezione dei dati”. Quindi ampia discrezionalità circa la tipologia, ma, al tempo stesso, con l’onere di dimostrare il processo logico che ha portato ad adottarle, con tanto di politiche annesse.

Saranno obbligatori i cosiddetti privacy impact assessment (PIA) ovverosia una procedura interna che sintetizza in un documento i rischi sussistenti e le modalità per contenerli, sia dal punto di vista tecnico che di acquisizione dei dati in caso di conservazione o cancellazione. Sarà importante non solo la creazione del primo PIA, ma anche le successive modifiche che il trattamento potrà subire e che coinvolgeranno anche l’aspetto documentale.

Sul fronte della sicurezza occorre citare diversi concetti ricorrenti nel testo del Regolamento:

  • la puntualizzazione di cosa si intenda per pseudonimizzazione,
  • nonché cosa si intenda per minimizzazione (tecniche da applicarsi ai dati) piuttosto che
  • il rimarcato concetto di data retention, ancora non abbastanza conosciuto dalle aziende italiane, ovvero l’obbligo di dotarsi di un piano di conservazione temporale dei dati con la possibilità di pianificare la cancellazione per trattamenti o database.

Sul fronte dei rapporti cliente-fornitore cambiano vari aspetti.

Innanzitutto si evidenzia nel Regolamento la necessità che in caso di sviluppo prodotto o servizi, siano ben chiare le responsabilità relative alla gestione dei dati piuttosto che alle soluzioni di privacy by design e by default.
Come ci indica il legislatore europeo, tenendo conto “della tecnologia disponibile, dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche della probabilità e della gravità del rischio per i diritti e le libertà delle persone fisiche costituite dal trattamento, i Controllers del trattamento, sin dal momento della progettazione degli strumenti che trattano dati personali, nonché durante il trattamento stesso, mettono in atto misure organizzative e tecniche appropriate, come la pseudonimizzazione dei dati, che mirano ad attuare i principi di protezione dei dati, come la minimizzazione, in modo che il trattamento soddisfi i requisiti del regolamento e tuteli i diritti degli interessati”.

Secondariamente il ruolo del Fornitore dovrà essere proattivo in caso di implementazioni che impattino lato privacy piuttosto che partecipativo in caso di PIA. Il tutto ovviamente dovrà essere gestito attraverso una contrattualistica preventiva, a livello almeno di data processing agreement.

Ricordiamo infine il concetto di accountability richiamato dal legislatore rispetto all’attuazione del Regolamento nelle aziende: sarà onere del controller dimostrare di aver correttamente rispettato quanto sancito dal Regolamento anche attraverso un vero e proprio modello organizzativo integrato rispetto ai vari processi aziendali affinché la privacy divenga materia propedeutica alle attività.

L’allineamento delle imprese rispetto al nuovo assetto che, ricordiamo, entrerà in vigore dopo la pubblicazione sulla Gazzetta Ufficiale dell’UE e prevede due anni per l’adeguamento prima che le disposizioni siano applicabili in tutti gli Stati Membri, comporterà necessariamente una metamorfosi nel modus operandi, o perlomeno nella mentalità degli addetti ai lavori rispetto alla governance delle informazioni.

La svolta legislativa non deve di fatto rappresentare solo una disposizione alla quale conformarsi, ma deve essere colta come un’opportunità, una occasione di ripensamento dei processi interni nell’ottica di una razionalizzazione dei flussi informativi dell’azienda: interni, rispetto ai dipendenti, ed esterni rispetto ai fornitori.

Una presa di coscienza fondamentale, soprattutto a fronte degli aspetti sanzionatori previsti in caso di violazione delle disposizioni:

  • fino a 20 milioni di euro o, per le imprese,
  • fino al 4 per cento del fatturato mondiale totale annuo.

Privacy by Design: l’approccio corretto alla protezione dei dati personali

Il tema della privacy riguarda il diritto degli individui alla protezione dei propri dati personali. L’evoluzione tecnologica ha inciso ovviamente anche sulla privacy poiché è necessario prevenire i rischi e comunque garantire la protezione dei dati personali.

I dati relativi alla rete internet e al numero di utenti ad essa connessi sono sufficientemente eloquenti e attestano come siano mutate in modo radicale nel corso degli anni sia le attività lavorative sia le abitudini di vita delle persone.

Questo complesso scenario ha determinato la necessità di una evoluzione anche per la privacy. Infatti, già a metà degli anni ’90, il contesto internazionale ha evidenziato il cambiamento apportato alla privacy proponendo le c.d. PET (acronimo di Privacy Enhancing Technologies), ossia tutte quelle tecnologie in ambito ICT che sono utili ad accrescere la protezione dei dati personali.

Del resto, un riferimento a questo importante concetto delle PET è contenuto nell’art. 3 del codice della privacy, rubricato “Principio di necessità nel trattamento dei dati”, che recita

“I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità”. Successivamente alle PET si è giunti alla Privacy by Design.

Question-Mark-Man

Ma che cos’è la Privacy by Design (PbD) e cosa rappresenta?

La Privacy by Design è un ulteriore tassello nella evoluzione dei principi relativi alla protezione dei dati personali e rappresenta il futuro della privacy. Si tratta di un innovativo approccio concettuale che va utilizzato in ogni occasione e contesto in cui sia necessario garantire la protezione dei dati personali; è il sistema attuale per affrontare la privacy mediante il quale si devono sdoganare criteri ed approcci meno recenti.

In sostanza la Privacy by Design rappresenta il futuro della privacy.

Nel 2010 la 32ma Conferenza mondiale dei Garanti privacy ha adottato la risoluzione sulla Privacy by Design (PbD) rendendo in tal modo ufficiale questo nuovo concetto che era comunque già noto ed utilizzato negli Stati Uniti e in Canada. Con la PbD si è inteso istituzionalizzare il cambiamento e l’evoluzione della privacy che, pertanto, richiede un nuovo approccio per garantire una migliore protezione dei dati personali.

Successivamente, il concetto di Privacy by Design – sebbene con una qualificazione diversa (privacy by design and by default) – è stato introdotto nella proposta di riforma europea della normativa in materia di dati personali che attualmente attende l’approvazione definitiva. Infatti, il 25 gennaio 2012 la Commissione europea ha proposto il nuovo quadro giuridico europeo in materia di protezione dei dati e la proposta di Regolamento introduce (articolo 23) l’espressione “data protection by design and by default”. Secondo il testo di questo articolo è chiaro che la Commissione europea esamini i termini “by design” e “by default” come concetti diversi, anche se utilizzati congiuntamente come unica espressione.

Nel contesto internazionale, però, è presente unicamente la descrizione ben strutturata della Privacy by Design, frutto della elaborazione della Dott.ssa Ann Cavoukian (che, quale Information and Privacy Commissioner of Ontario, Canada, fu tra i promotori della risoluzione adottata nel 2010).

Secondo questa impostazione, l’utente è considerato il centro del sistema privacy(per definizione, quindi, è “user centric”). Qualsiasi progetto (sia strutturale sia concettuale) va realizzato considerando dalla progettazione (appunto by design) la riservatezza e la protezione dei dati personali.

La PbD comprende una trilogia di applicazioni:

  1. sistemi IT
  2. pratiche commerciali corrette
  3. progettazione strutturale e infrastrutture di rete

e vengono individuati 7 principi definiti fondazionali che esprimono pienamente l’intero senso di questa prospettiva:

  1. Proattivo non reattivo – prevenire non correggere
  2. Privacy come impostazione di default
  3. Privacy incorporata nella progettazione
  4. Massima funzionalità − Valore positivo, non valore zero
  5. Sicurezza fino alla fine − Piena protezione del ciclo vitale
  6. Visibilità e trasparenza − Mantenere la trasparenza
  7. Rispetto per la privacy dell’utente − Centralità dell’utente.

Si tratta, indubbiamente, di un approccio metodologico ben strutturato che garantisce una neutra e solida funzionalità operativa indipendente da specifiche soluzioni tecnologiche. Del resto, ciò è del tutto conforme con i valori fondamentali dell’individuo.

L’obiettivo principale è quello di elaborare due concetti: la protezione dei dati e degli utenti.

In realtà, si presta attenzione in primo luogo alla privacy e, dopo si cerca di rispettare il diritto. L’approccio alla protezione dei dati personali e alla privacy, infatti, non può essere basata su una valutazione di conformità normativa perché è necessario che un qualsiasi processo proceda dall’utente, mettendo lui/lei al centro.

L’utente diventa il punto di partenza per sviluppare il progetto in base alla legge sulla privacy e quindi con un approccio user-centric.

Ogni volta che un progetto inizia deve prendere in considerazione, prima di tutto, il ruolo dell’utente, progettando tutto attorno alla persona fisica. Secondo questo metodo è molto semplice evitare i rischi privacy e di sicurezza.

La PbD esclude, pertanto, che si possa effettuare una valutazione di conformità alla normativa successivamente alla redazione del progetto o comunque posteriormente in occasione di un evento, in quanto la privacy va considerata già nella fase di progettazione.

La valutazione di “PbD compliance” costituisce un valore aggiunto di rilievo perché attesta che tutti i processi sono stati seguiti considerando adeguatamente la protezione dei dati personali.

La proposta europea di Regolamento contiene il riferimento alla “data protection by design and by default” ma – sebbene indichi chiaramente il senso di un cambio di prospettiva rispetto al passato – l’approccio utilizzato nel testo normativo sembra più attento alle tecnologie applicate alla privacy piuttosto che alla metodologia da utilizzare e all’essenza del concetto di “by design”.

In realtà, non si può prescindere dal preminente ruolo dell’utente i cui dati personali devono essere trattati in maniera adeguata anche al fine di prevenire o ridurre al minimo i rischi privacy.
Le applicazioni pratiche della Privacy by Design sono molteplici e non soggette a limiti (dalla progettazione strutturale di edifici o di ambienti, alla realizzazione di un progetto tecnologico o organizzativo, ad ogni soluzione progettuale in ambito IT). L’approccio alla PbD non richiede un’applicazione solo su nuovi progetti, poiché anche quelli esistenti possono beneficiare di questo sistema senza pregiudizio per quanto già realizzato.

Ad oggi, nonostante la risoluzione sulla Privacy by Design sia stata adottata nel 2010 anche con la partecipazione del Garante italiano, non risultano provvedimenti dell’Autorità che richiamino i principi contenuti nella citata risoluzione e sarebbe auspicabile che in essi si possano leggere considerazioni e determinazioni in ordine ad applicazioni concrete dei principi della Privacy by Design rispetto ai casi specifici.

Lo scrivente da tempo sostiene la opportunità e la necessità di sviluppare e strutturare norme uniformi per uno standard privacy internazionale che garantisca, nel rispetto delle normative degli Stati, un framework comune di riferimento con cui agevolare i trattamenti di dati personali e garantirne la protezione nel rispetto della privacy.

Il datore di lavoro non può spiare le mail dei dipendenti

mail-dicembreI lavoratori devono essere informati. Il datore di lavoro non può spiare le mail
Intervento di Antonello Soro, Presidente del Garante per la protezione dei dati personali
(“L’Huffington Post”, 13 gennaio 2016)

Ma davvero, da oggi, i lavoratori europei potranno essere spiati dai loro datori di lavoro? La sentenza del 12 dicembre della Corte europea dei diritti umani sancisce la fine della privacy in ambito lavorativo?

È bene chiarirlo: assolutamente no.

La sentenza di ieri decide il ricorso di un ingegnere romeno licenziato per inadempimento contrattuale, provato anche dall’utilizzo per fini personali, in orario di lavoro, della mail aziendale. Con la pronuncia, la Corte si è limitata a ritenere non irragionevole il bilanciamento tra privacy dei dipendenti ed esigenze datoriali, affermato dalla giurisdizione romena.

E questo perché:

  1. l’azienda aveva informato i dipendenti delle condizioni d’uso della mail aziendale, che non ne consentivano l’utilizzo per fini personali. Ragione, questa, che avrebbe quindi ridotto l’aspettativa di riservatezza riposta dai lavoratori rispetto alle loro comunicazioni via e-mail;
  2. il monitoraggio delle mail è stato limitato nel tempo e nell’oggetto, nonché strettamente proporzionato allo scopo di provare l’inadempimento contrattuale del lavoratore (desunto da altri elementi), la cui scarsa produttività aveva determinato e legittimato il licenziamento;
  3. l’accesso alle e-mail del lavoratore da parte datoriale è stato legittimo proprio perché fondato sul presupposto della natura professionale del contenuto delle comunicazioni (come da contratto avrebbe dovuto essere);
  4. l’identità degli interlocutori del lavoratore non è stata rivelata in sede giurisdizionale;
  5. l‘azienda non ha avuto accesso ad altri documenti archiviati sul computer del lavoratore; il contenuto delle comunicazioni non è stato oggetto di sindacato da parte datoriale nel giudizio, ma soltanto il carattere personale delle mail inviate nell’orario di lavoro, con conseguente riduzione della produttività del dipendente;
  6. il dipendente non ha motivato la ragione dell’utilizzo della mail aziendale per fini personali.

La Corte ha dunque riaffermato, nel caso concreto, che i controlli datoriali sull’attività lavorativa sono ammissibili soltanto nella misura in cui siano strettamente proporzionati e non eccedenti lo scopo di verifica dell’adempimento contrattuale.

Essi devono essere inoltre:

  • limitati nel tempo e nell’oggetto;
  • mirati (dunque non massivi);
  • fondati su presupposti (quali in particolare l’inefficienza dell’attività lavorativa del dipendente) tali da legittimarne l’esecuzione.

Infine, devono essere già previsti dalla policy aziendale, di cui il dipendente deve essere adeguatamente edotto.

Questa valutazione è in linea con la Raccomandazione sulla protezione dei dati in ambito lavorativo, approvata il 1° aprile scorso dallo stesso Consiglio d’Europa, che in particolare auspica:

  • la minimizzazione dei controlli difensivi o comunque rivolti agli strumenti elettronici;
  • l’assoluta residualità dei monitoraggi, con appositi sistemi informativi, sull’attività e il comportamento dei lavoratori in quanto tale.

Ed è in linea con la giurisprudenza italiana e con gli stessi principi affermati dal Garante, in particolare con le Linee guida del 2007.

Con questo provvedimento si è prescritto al datore di lavoro di informare i lavoratori:

  • delle condizioni di utilizzo della mail aziendale (e anche della stessa rete, in orario di lavoro o comunque con gli strumenti messi a disposizione dal datore),
  • dei controlli che il datore di lavoro si riserva di effettuare per fini legittimi, nonché
  • delle eventuali conseguenze disciplinari suscettibili di derivare dalla violazione di tali regole.

Principi che restano validi anche dopo la riforma dei controlli datoriali operata dal Jobs Act e anche rispetto agli strumenti di lavoro che, pur sottratti alla procedura concertativa, restano comunque soggetti alla disciplina del Codice privacy.

E, in particolare, ai principi ribaditi proprio dalla Corte europea dei diritti umani con la sentenza di ieri, di:

  • necessità,
  • finalità,
  • legittimità e correttezza,
  • proporzionalità e non eccedenza del trattamento,  
  • previa informativa del lavoratore,
  • divieto di profilazione.

Come abbiamo avuto modo di affermare in sede di audizione, dinanzi alle Commissioni parlamentari, sullo schema di decreto legislativo attuativo del Jobs Act in questa materia, sarà proprio il rispetto dei principi del Codice privacy il principale argine a un utilizzo pervasivo dei controlli sul lavoro.

E questo, anche in assenza delle modifiche che le Commissioni parlamentari, in conformità alle indicazioni da noi rese in audizione, avevano suggerito al Governo di apportare al testo del decreto per rafforzare le garanzie dei lavoratori, pur nel rispetto delle legittime esigenze datoriali.

Il Jobs Act

Dunque, anche dopo il Jobs Act, i controlli datoriali devono comunque essere improntati a gradualità nell’ampiezza e nella tipologia con assoluta residualità dei controlli più invasivi, legittimati solo a fronte della rilevazione di specifiche anomalie e comunque all’esito dell’esperimento di misure preventive meno limitative dei diritti dei lavoratori.

E così, ad esempio, ove il datore di lavoro riscontrasse la presenza di virus sui pc aziendali, dovrebbe dotarli di sistemi di filtraggio/blocco dei siti a rischio e non procedere al monitoraggio dei siti visitati.

Prevenire

Del resto, come il Garante ha affermato in più occasioni, il datore di lavoro è tenuto all’individuazione preventiva della lista dei siti considerati correlati alla prestazione lavorativa, nonché dell’adozione di filtri per il blocco dell’accesso a determinati siti o del download di alcuni file.

E non sono comunque consentite al datore di lavoro la lettura e registrazione sistematica delle e-mail e delle pagine web visualizzate dal lavoratore, la lettura e registrazione dei caratteri inseriti tramite tastiere e dispositivi analoghi, nonché l’analisi occulta di computer portatili affidati in uso.

Privacy By Design

In questa prospettiva, assai utile può essere l’adozione di una soluzione di privacy-by-design, ovvero la progettazione degli stessi strumenti mediante i quali effettuare i controlli in modo da minimizzare, fino ad escludere, il rischio di controlli invasivi o comunque di incisive limitazioni della riservatezza di chi a quei controlli possa essere sottoposto.

Ed è significativo che tali soluzioni siano valorizzate dal nuovo Regolamento Ue sulla protezione dati, che delinea il nuovo quadro giuridico europeo in una materia, come questa, su cui si giocano le sfide più importanti per le nostre democrazie.

Stop al marketing invasivo, offerte a prova di privacy

mail contactMarketing 2.0: dal Far west a strategie commerciali «privacy compatibili»

  • Fonte:  Italia Oggi, 11 maggio 2015 – IusLetter
  • di Antonio Ciccia

Anche in questo caso ce lo chiede l’Europa. L’attività di trattamento dei dati personali del cliente, in un quadro di concorrenza regolata, deve rispettare i paletti della normativa sulla protezione dei dati personali, messi in fila dal garante con un vademecum ad hoc sul «marketing a prova di privacy» elaborato a fine aprile.

Sono paletti che attanagliano le imprese nel mercato globale e nella crisi economica o sono strumenti per selezionare la qualità dell’imprenditore?

L’ottica aziendale deve comunque fare i conti con la disciplina legale, che si basa su due capisaldi: la trasparenza e il consenso. Al cliente non bisogna nascondere che uso si fa delle informazioni che lo riguardano e il cliente deve dare il suo benestare alla circolazione dei suoi dati. Le due prescrizioni sono del tutto in linea (e anche ripetitive) dello schema della tutela del mercato attraverso la tutela del consumatore. Se tutte le imprese devono rispettare il consumatore, allora tutte concorrono sullo stesso piano. E non c’è un doping da cattiva data protection.

L’azienda, però, deve essere consapevole che il cliente, se lo vuole e se ha il tempo di farlo, può chiedere aiuto come utente esasperato dalle telefonate indesiderate e deve acconsentire ad essere monitorato nelle sue abitudini online.
Insomma, la politica di sviluppo aziendale deve fare i conti con la concreta possibilità che una promozione commerciale si trasformi in un boomerang per l’immagine di un’impresa.
A illustrare nel dettaglio tutti questi aspetti è il citato vademecum a cui, in tema di marketing e privacy, si sono aggiunte, nei giorni scorsi, le linee guida sulla profilazione online e il provvedimento sui cookies: una triade di interventi che il responsabile commerciale di una azienda deve conoscere a menadito.

Aziende in regola con la privacy

L’azienda deve partire dalla necessità di informare specificamente il cliente, i quale deve dare un consenso specifico e distinto per le varie finalità: uno per il marketing, uno per la profilazione o per la comunicazione dei dati ad altri soggetti.
Peraltro non serve il consenso per soddisfare la richiesta di un cliente, come le verifiche funzionali all’erogazione di servizi, ma non va bene un modulo per l’ordine di un prodotto con la casella per il consenso già contrassegnata.
Il vademecum ricorda anche alcuni tentativi di semplificazione operativa: ad esempio il consenso prestato per la ricezione di comunicazioni commerciali tramite modalità automatizzate (fax, sms, e-mail, mms, telefonate preregistrate) si estende anche alla posta cartacea e alle chiamate tramite operatore.
Quindi un consenso prestato per le operazioni di marketing più invasive vale anche per quelle di impatto inferiore.
È questa la ragione per cui non vale il contrario: se ho chiesto il consenso per il marketing cartaceo non posso, poi, fare chiamate telefoniche automatizzate.

Soft spam e ricerca di nuovi clienti

Il marketing ha un percorso preferenziale con i propri clienti.
Si parla di soft spam: non serve il consenso per inviare offerte promozionali, via posta tradizionale o e-mail, relative a prodotti o servizi analoghi a quelli forniti in precedenza.
Certo il marketing non serve solo a mantenere i clienti acquisiti, ma a cercarne di nuovi.
Una strada è quella di contattare le persone non iscritte nel registro pubblico delle opposizioni per chiedere il consenso a ricevere comunicazioni promozionali anche via e-mail o con altri mezzi automatizzati.
Si sfrutta il canale telefonico (basato sul principio per cui chi non dissente accetta di ricevere la chiamata), per acquisire il consenso a forme di marketing di marketing più raffinato.
Che le esigenze aziendali coincidano con la tutela del consumatore interessato è l’obiettivo del responsabile privacy aziendale, come per il responsabile per la sicurezza (quanto alla tutela dell’incolumità dei dipendenti) o della sicurezza del prodotto (per la incolumità del cliente).

Il presidente del garante privacy, Antonello Soro, ha dichiarato:

«Il rispetto del consumatore e il corretto uso dei suoi dati personali, a partire da quelli necessari per contattarlo fino alle informazioni più private, come gusti e preferenze, differenziano le imprese che vedono i propri clienti come semplice «preda», da quelle che scelgono di operare in modo trasparente, ponendo al centro della loro attività, oltre che la qualità dei prodotti e servizi offerti, anche e soprattutto la fiducia dei propri acquirenti».

Mobile payment: scattano gli obblighi imposti dal Garante privacy

images1° aprile 2015

Da oggi più tutele per i consumatori e regole certe per le società del settore 

Tempo scaduto per le società che operano nel settore del mobile payment per adeguarsi alle prescrizioni dettate dal Garante privacy.

Come anticipato nel SMPost Pagamenti con smartphone e tablet: più tutele per gli utenti, da oggi, mercoledì 1° aprile 2015, le compagnie telefoniche che forniscono il servizio di pagamento tramite cellulare, le società che forniscono l’interfaccia tecnologica, le aziende che offrono contenuti digitali e servizi, nonché tutti gli altri soggetti coinvolti nella transazione (come quelli che consentono, anche tramite app, l’accesso al mercato digitale) dovranno essere in regola con il Provvedimento generale varato dal Garante privacy nel maggio 2014.

Grazie alle nuove regole, chi usufruisce dei servizi di pagamento da remoto, utilizzando smartphone, tablet, pc, potrà acquistare in sicurezza prodotti e servizi digitali, abbonarsi a quotidiani on line, comprare e-book, video e giochi.

Da oggi, quindi:

  • gli utenti che acquistano beni digitali dovranno essere informati sulle modalità di trattamento effettuato sui loro dati sin dalla sottoscrizione o adesione al servizio di pagamento da remoto;
  • i loro dati (dal numero telefonico ai dati anagrafici, dalle informazioni sul servizio o prodotto digitale richiesto all’indirizzo IP di collegamento) potranno essere conservati al massimo per 6 mesi e non potranno essere usati per altre finalità, come l’invio di pubblicità o analisi delle abitudini senza uno specifico consenso;
  • l‘indirizzo IP degli utenti dovrà essere cancellato dal venditore una volta terminata la procedura di acquisto.

Precise misure di sicurezza dovranno essere adottate per:

  • garantire la riservatezza delle persone e
  • impedire l’integrazione delle diverse tipologie di dati a disposizione dell’operatore telefonico (dal consumo telefonico ai dati sul consumo di beni digitali) a fini di profilazione “incrociata” dell’utenza a meno che non venga espresso uno specifico consenso informato dell’utente.

I venditori a garanzia della riservatezza delle transazioni dei clienti, potranno trasmettere all’operatore telefonico solo le categorie merceologiche di riferimento senza indicazioni sullo specifico contenuto del prodotto o servizio acquistato, a meno che non sia necessario per la fornitura di servizi in abbonamento.