le novità della normativa privacy per i liberi professionisti

Transcript

1 le novità della normativa privacy per i liberi professionisti Avv. Giuseppe Tedeschi Associazione Legali Italiani Ordine dei Consulenti del Lavoro di Perugia 26 novembre 2010

2 D. Lgs. 196/03 - natura dei dati e dei soggetti DATI PERSONALI Comuni Sensibili Giudiziari SOGGETTI Titolare del trattamento Responsabile del trattamento Incaricato del trattamento

3 Informativa Cosa: dati personali Quando: conferimento incarico Chi: all'interessato e al terzo fonte Forma: libera Contenuto: finalità, modalità, obbligatorietà, conseguenze, soggetti e diffusione, titolare, responsabile, diritti dell interessato Se raccolti presso terzi: informativa alla registrazione o comunicazione

4 Diritti dell'interessato Richiedere al titolare del trattamento la cancellazione, aggiornamento, rettificazione, trasformazione, il blocco se trattati illecitamente Opporsi al trattamento per motivi legittimi Il titolare: risponde entro 15 giorni (30 giorni con motivazione) TUTELA: segnalazione al Garante, Tribunale

5 Dati raccolti presso terzi ECCEZIONI ALL'OBBLIGO INFORMATIVA Obbligo di legge Indagini difensive Far valere diritto in giudizio Impiego mezzi sproporzionato

6 consenso PER I DATI COMUNI Previa informativa Documentabile per iscritto PER I DATI SENSIBILI Forma scritta AUTORIZZAZIONI GENERALI AUTORITA' Provv. n. 02/2009 per i rapporti di lavoro Provv. n. 04/2009 per i liberi professionisti Scadenza: 30 giugno 2011

7 Consenso dati comuni Trattamento senza consenso: Obbligo di legge Adempimento obbligo contrattuale Dati da pubblici registri Svolgimento attività economiche A salvaguardia vita e incolumità Indagini difensive, diritto in giudizio

8 Consenso dati sensibili Trattamento senza consenso: salvaguardia vita o incolumità del terzo Svolgimento indagini difensive diritto in giudizio (bilanciamento) Adempimento di legge per rapporti di lavoro e sicurezza sul lavoro

9 notifica Il Consulente non ha, di norma, obblighi di notifica all'autorità Garante; Le p.m.i., di norma, non hanno obblighi di notifica: In linea di principio i trattamenti ordinari svolti presso piccole realtà produttive non vanno notificati: si pensi ai trattamenti di dati relativi ai dipendenti, ai fornitori o alla clientela. In particolare, non devono essere notificati i dati relativi agli inadempimenti dei propri clienti tenuti da ciascuna impresa (Guida pratica Autorità Garante per le piccole e medie imprese).

10 Notifica - obbligo Dati genetici, biometrici Dati geograficamente identificativi Stato di salute per procreazione assistita Profili, analisi sui consumi Selezione personale Gestione banche-dati su rischio insolvibilità

11 Il Consulente del Lavoro INFORMATIVA E CONSENSO... Dati relativi a fornitori di beni e servizi SI' Dati relativi a propri dipendenti SI' Dati relativi ai propri clienti SI' Dati relativi a terzi nel rapporto Consulente / Cliente NO!

12 Il cliente datore di lavoro INFORMATIVA E CONSENSO SONO DATI SENSIBILI Orientamento sindacale Stato di salute Dati biometrici ATTENZIONE A: Identificazione del dipendente Comunicazioni e consenso (bacheche - intranet)

13 Misure di sicurezza Documento Programmatico Sicurezza: aggiornamento ogni 31 marzo; Per chi tratta dati comuni, o stati di malattia senza indicazione diagnostiche = AUTOCERTIFICAZIONE (!) Art. 31 conoscenze acquisite in base al progresso tecnico... art c.c. Misure minime (art. 33) e idonee (art. 31)

14 Internet e posta elettronica Di norma, vietato il controllo Rilevatori anomalie, controlli indiretti Web: black list, siti correlati disciplinare interno, indirizzi condivisi, indirizzi personali, indirizzi privati Preferibile controllo su dati aggregati (Autorità, linee guida per posta elettronica e internet, 10 marzo 2007)

15 Internet e posta elettronica...ritenuto che l'installazione di un software con funzionalità appositamente configurate per il tracciamento (sistematico e continuativo) degli accessi ad Internet da parte dell'interessato con la conseguente memorizzazione di tutte le pagine web visualizzate dal reclamante risulta essere avvenuta in violazione dell'art. 4, comma 1 della legge 20 maggio 1970, n (Provv. Autorità 02 aprile 2009)

16 videosorveglianza Provvedimento Autorità del 08 aprile 2010 Informativa: area video-sorvegliata, anche se attivazione saltuaria Conservazione: 24 ore Vietato il controllo a distanza Accordi in sede sindacale vd. L. 300/1970 art. 4

17 antiriciclaggio D.M. Finanze n. 141/2006: obbligo di fornire informativa (ex) Ufficio Italiano Cambi, provvedimento del 24 febbraio 2006: obbligo di informare sul trattamento in materia di antiriciclaggio PERO' VEDI D. Lgs. 196/2003 art. 8 comma 2 lett. a)

18 condominio Situazioni morosità Partecipazione alle assemblee (Autorità, 08 luglio 2010, 10 settembre 2010)

19 Stato di salute dei dipendenti DATI MEDICI, DATI BIOMETRICI È da ritenersi illecito..., il trattamento dei dati che rilevano lo stato di salute del dipendente, nella misura in cui questi vengono diffusi apponendo in busta paga la locuzione lavoratore svantaggiato. La stessa va, dunque, sostituita con altra dicitura, avvalendosi - ad esempio - di codici criptati, tale da non consentire a terzi di estrapolarne immediatamente l'informazione (Provv. Autorità del 18 giugno 2009) VIETATA DIFFUSIONE DATI SULLA SALUTE MEDICO DEL LAVORO

20 toilette Trattamento dati sproporzionato se l'azienda richiede richiesta scritta del dipendente per recarsi alla toilette (Autorità, 07 aprile 2010) Tutela della dignità del lavoratore, principio di pertinenza e non eccedenza nel trattamento dei dati

21 Sanzioni amministrative Informativa: Cessazione trattamento: Misure minime: Garante: Riduzione a 2/5 per casi di minore gravità

22 Illeciti penali Elemento del dolo e/o del profitto proprio o altrui Consenso: reclusione 6 18 mesi Comunicazione o diffusione: 6 24 mesi Falso avanti al Garante: 6 mesi 3 anni Misure minime: arresto fino a 2 anni, ma con termine per adeguamento Inosservanza provv. Garante: 3 mesi 2 anni

23 Illeciti penali Il "nocumento" richiesto dall'art. 167 d.lgs. n. 196 del 2003 per la configurabilità del reato di trattamento di dati sensibili senza il consenso dell'interessato costituisce una condizione obiettiva di punibilità che non può ritenersi implicita per il solo fatto che detto trattamento abbia avuto luogo, occorrendo invece la dimostrazione che dal fatto sia derivato un "vulnus" significativo alla persona offesa (Cass. Pen. n /2009; Cass. Pen. n /2004).

24 Grazie per l'attenzione! Associazione Legali Italiani Avv. Giuseppe Tedeschi