L estate è arrivata, quali adempimenti per le strutture ricettive?

Transcript

1 L estate è arrivata, quali adempimenti per le strutture ricettive? E tempo di vacanze e moltissimi italiani sono alla ricerca degli alberghi dove trascorrerle. Alcune strutture svolgono attività solo nei periodi estivi, altre sono aperte tutto l anno, ma quando prenotiamo in un albergo conferiamo delle informazioni personali. I nostri dati sono al sicuro? Quali sono gli adempimenti che devono osservare i gestori delle strutture ricettive (Alberghi, Agriturismi, campeggi)? Quasi tutte queste strutture utilizzano ormai la rete per promuovere le proprie proposte o consentire agli utenti di visionare on line le strutture, prenotare o semplicemente richiedere informazioni. Siti web I siti web aziendali devono prima di tutto indicare denominazione sociale - indirizzo completo sede legale - codice fiscale e partita IVA - importo capitale sociale con indicazione della parte versata - registro imprese ove la società è iscritta e numero REA La mancanza di queste informazioni (prevsite dal C.C.) comporta l applicazione di una sanzione da 206,00 a 2.065,00 euro. Informativa e privacy policy: L utente che accede ad un sito web rilascia dei dati personali, tale è considerato l IP, anche nel caso in cui non si registri al sito stesso o non invii comunicazioni tramite l apposito form. Deve essere quindi previamente informato del trattamento dei suoi ricevendo tutte le notizie previste dall art. 13 del D. Lgs. 196/2003 : Art. 13. Informativa 1. L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere; d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; e) i diritti di cui all'articolo 7; f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di

2 comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile Dovrà inoltre ricevere chiare informazioni in merito ai soggetti Terzi che per ragioni di gestione e/o manutenzione si occupano del sito, nonché della collocazione fisica del server relativo. A seguito delle recenti disposizioni, l utente che che accede ad un sito web dovrà essere informato dell uso eventuale di cookies che non siano tecnici e acconsentire all uso di questi. L omessa o inidonea informativa ( carente anche di uno solo degli elementi indicati dall art. 13 del Codice) è punita con la sanzione prevista dall art. 161 del Codice privacy: Art Omessa o inidonea informativa all'interessato 1. La violazione delle disposizioni di cui all'articolo 13 è punita con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro. Il consenso Il consenso è un adempimento previsto dall art. 23 del Codice per la protezione dei dati personali, di fatto consiste nell espressione della voltontà dell interessato ( soggetto cui si riferiscono i dati) al trattamento delle sue informazioni personali. La regola generale è che il trattamento dei dati personali tra soggetti privati è sempre condizionata dall espressione del consenso dell interessato. Esistono delle eccezioni a questa regola che sono indicate dall art. 24 del Codice (ad esempio se il trattamento è necessario per adempiere ad un contratto cui è parte l interessato o nel caso in cui il trattamento è necessario per adempiere ad un obbligo di legge). Quando necessario il consenso deve essere reso ed avere le seguenti caratteristiche: espresso, specifico e libero e documentato per iscritto. Nel caso che il consenso si riferisca a dati sensibili deve essere espresso per iscritto. Espresso significa che non si può sottintendere, specifico vuol dire che deve riferirsi a ciascuna finalità per cui è richiesto, libero sta a significare che non può precludere una prestazione. Il caso più frequente è quello del consenso richiesto per finalità di invio di comunicazioni promoziali. Premettendo che il titolare può, in alcuni casi ben individuati, utilizzare le semplificazioni previste dall art. 130 comma 4 del Codice per la protezione dei dati, la richiesta del consenso per l invio di comunicazioni promozionali all interessato ( eventi, offerte speciali, auguri in occasione delle finalità) deve essere sempre richiesto per la specifica finalità e l eventuale negazione del consenso a ricevere comunicazioni promozionali da parte dell interessato non può precludere alla prestazione principale (alloggio o prenotazione di servizi). Il titolare dovrà documentare per iscritto di aver ricevuto il consenso. La documentazione può avvenire ad esempio, prendendo nota dell ora e del giorno in cui tale consenso è stato verbalmente reso (nel caso di comuncazioni telefoniche) o tramite una flag se l interessato ha reso il suo consenso tramite sito web. Il consenso deve essere invece reso in forma scritta (sottoscrizione) nel caso il trattamento si riferisca a dati sensibili dell interessato ( ad esempio eventuali allergie alimentari o necessità particolari dovute allo stato di salute).

3 Il trattamento di dati personali in assenza del consenso dell interessato( quando richiesto), configura il trattamento illecito di dati che viene sanzionato nei termini previsti dall art. 167 del Codice: Art Trattamento illecito di dati 1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sè o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'articolo 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi. 2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sè o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni. La videosorveglianza L uso di sistemi di videosorveglianza è estremamente diffuso nelle strutture ricettive. imprenditori installano tali sistemi senza essere consapevoli degli obblighi che sono tenuti ad osservare e per questo si espongono a sanzioni che non sono solo di carattere amministrativo. Ripiloghiamo brevemente gli adempimenti da osservare, come indicato dal provvidimento in materia di videosorveglianza 8 Aprile 2010 del Garante per la protezione dei dati Personali. Verifica preliminare DPL territorialmente competente Nel caso che il sistema sia intallato in aree dove anche solo occasionalmente transitino dei dipendenti. Le telecamente non possono essere installate prima della verifica da parte della DPL. Accordo con le RSU Sostituisce la verifica preliminare nel caso siano presenti RSU in azienda. Precede l installazione delle telecamere. Certificato di conformità dell installatore Ai sensi del punto 25 del Disciplinare B allegato al Codice Privacy, l installatore del sistema deve rilaciare un attestato di conformità dell impianto a quanto previsto dalla vigente normativa per la protezione dei dati personali. Tempi di conservazione delle registrazioni Le registrazioni possono essere mantenute per massimo24 ore, fatte salve particolari esigenze quali chiusure per festività, ferie. Tale periodo non può essere in ogni caso superiore a sette giorni. Per conservare le immagini per un periodo maggiore è necessario procedere ad una richiesta di verifica preliminare al Garante. Il mancato rispetto dei tempi di conservazione delle immagini raccolte comporta l applicazione della sanzione stabilita dall art. 162, comma 2-ter del Codice ( pagamento di una somma da trentamila euro a centottantamila euro. )

4 Informativa ex art. 13 Il Codice privacy, pur raccomandando un informativa esaustiva da mettere in ogni caso a disposizione, autorizza l uso di una informativa breve in forma grafica. Tale informativa deve essere apposta prima dell ingresso dell area sottoposta a videosorveglianza e deve essere compilata in ogni sua parte. Il cartello deve in ogni caso indicare le finalità della videosorveglianza ed il titolare che la effettua. Devono poi essere osservate le le prescrizioni relative a nomina amministratore di sistema, incaricati e quanto altro previsto dal Codice essendo le immagini dati personali a tutti gli effetti. Misure di sicurezza Le misure di sicurezza previste dal codice privacy sono di due tipi : Idonee e preventive (art. 31 del D.Lgs.196/2003) Minime e quindi obbligatorie (artt e 35 del D.Lgs.196/2003) Le prime, se non osservate, espongono il titolare al risarcimento del danno, anche non patrimoniale ai sensi dell art. 15 del Codice: Art. 15. Danni cagionati per effetto del trattamento 1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. Le misure minime, se omesse comportano l applicazione dell art. 169 del Codice per la protezione dei dati : Art Misure di sicurezza 1. Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con l'arresto sino a due anni. (1)

5 2. All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo della sanzione stabilita per la violazione amministrativa. L'adempimento e il pagamento estinguono il reato. L'organo che impartisce la prescrizione e il pubblico ministero provvedono nei modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, e successive modificazioni, in quanto applicabili. Tra gli adempimenti obbligatori ricordiamo la nomina degli incaricati del trattamento prevista dall art. 30 del D.Lgs.196/2003 e dei responsabili del trattamento (ex art. 29 D. Lgs.196/2003). Nomina che devono essere fatte in forma scritta e che in caso di omissione espongono il titolare alla sanzione prevista dall art. 162 comma 2-bis del codice per la protezione dei dati : In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 o delle disposizioni indicate nell'articolo 167 è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da diecimila euro a centoventimila euro. Nei casi di cui all'articolo 33 è escluso il pagamento in misura ridotta. Riproduzione riservata