Olga Sesso Sarti Dipartimento Comunicazioni e Reti Telematiche 1

Transcript

1 IL TRATTAMENTO DEI DATI PERSONALI NELL AMBITO DEI SERVIZI PER LA MOBILITA E IL TRASPORTO ATTRAVERSO IL MOBILE TICKETING: LO SCHEMA DEL PROVVEDIMENTO GENERALE DEL GARANTE E L AVVIO DELLA CONSULTAZIONE PUBBLICA Olga Sesso Sarti Dipartimento Comunicazioni e Reti Telematiche 1

2 I dati pubblicati devono essere: Cronologia Direttiva 2007/64/CE relativa ai servizi di pagamento nel mercato interno del 13 novembre 2007 Payment Service Directive (PSD) Decreto legislativo n. 11 del 27 gennaio 2010 recante attuazione della Payment Service Directive D.L. n. 201 del6dicembre2011 «Decreto SalvaItalia» conv. L. n. 214/2011 art. 12 D.L. N. 179 del 18 ottobre 2012 «Decreto Sviluppo bis» conv. L. n. 221/2012 artt. 8e15 L.n.147 del 27 dicembre 2013 (Legge di stabilità 2014) art.1comma 98 DPCM 10 febbraio 2014 Provvedimento generale del Garante n. 258 del 22 maggio 2014 in materia di trattamento dei dati personali nell ambito dei servizi di mobile remote payment Provvedimento generale del Garante n. 546 del 20 novembre 2014 Attività conoscitiva del Garante nell ambito dei servizi di mobile ticketing per la mobilità e il trasporto Avviso pubblico di avvio della consultazione su «Schema di provvedimento generale in materia di trattamento di dati personali nell'ambito dei servizi di mobile ticketing» del 10 settembre 2015

3 Principali fonti normative D.lgs. 30/06/2003, n. 196 Direttiva 2007/64/CE Payment Service Directive D.lgs. 27/01/2010, n. 11 Provvedimento della Banca d Italia 5/07/2011 (Attuazione del Titolo II del D.lgs. n. 11/2010 Diritti e obblighi delle parti) Decreto «SalvaItalia» Decreto «Sviluppobis» Legge di stabilità 2014 DPCM 10/02/2014

4 I dati pubblicati devono essere: Definizioni mobile remote payment operazioni di pagamento di un bene o servizio tra esercente e cliente attivate da quest ultimo a distanza attraverso il telefono cellulare mobile proximity payment operazioni di pagamento eseguite dal cliente avvicinando un dispositivo mobile dotato di tecnologia NFC ad un apposito lettore POS presso il punto vendita dell esercente

5 Payment Service Directive - MERCATO INTEGRATO DEI SERVIZI DI PAGAMENTO - ATTUALE AMBITO DI APPLICAZIONE POSITIVE SCOPE servizi di pagamento gestiti dall operatore di telecomunicazione digitale o informatico come intermediario autorizzato di pagamento tra l utilizzatore di servizi di pagamento che usa un dispositivo di telecomunicazione digitale o informatico ed il fornitore di beni e servizi NEGATIVE SCOPE operazioni di pagamento eseguite tramite il suddetto dispositivo per l acquisto di beni e servizi consegnati o utilizzati sullo stesso, in cui l operatore di telecomunicazione digitale o informatico non agisce esclusivamente come mero intermediario di pagamento tra l utilizzatore e il fornitore ma svolge ulteriori funzioni (accesso, ricerca, distribuzione del contenuto digitale) 5

6 Il progetto di risoluzione legislativa del Parlamento Europeo Recentemente, il 29 settembre 2015, il Parlamento Europeo è intervenuto sulla proposta della Commissione Europea del 24 luglio 2013 di abrogazione e sostituzione della Service payment Directive, con una serie di emendamenti volti a migliorare la protezione dei consumatori, rafforzare la sicurezza dei pagamenti elettronici e promuovere l innovazione. In questo quadro è stato ribadito che la prestazione di servizi di pagamento può comportare il trattamento di dati personali ed implica la piena applicazione della Direttiva 95/46/CE. Pertanto, in presenza di trattamenti di dati personali è opportuno sia specificato: lo scopo preciso; le basi giuridiche pertinenti; la conformità con i requisisti di sicurezza di cui alla Direttiva 95/46/CE; il rispetto dei principi di necessità, proporzionalità e limitazione delle finalità; la proporzionalità del periodo di conservazione; la privacy by desing e la protezione dei dati di default 6

7 Il Mobile ticketing Processo grazie al quale i consumatori possono ordinare e pagare biglietti senza vincoli di tempo o luogo. Diverse tipologie di acquisto: Credito telefonico (prepagato e postpagato) Altri strumenti di pagamento: in particolare la carta di credito Modalità: invio sms con messaggio di testo predefinito ad un numero «in decade 4» utilizzo apposita applicazione per smartphone acquisto on line tramite registrazione apposito sito web ricorso al QR code ricorso alla NFC (Near field communication) 7

8 Lo schema del Provvedimento del Garante Il ricorso al credito telefonico Ambito Soggettivo Fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico (operatori TLC) Soggetti che forniscono i servizi per la mobilità ed il trasporto Hub tecnologici (aggregatori) Utente/cliente titolare di una USIM prepagata /postpagata Ambito oggettivo Biglietti di trasporto pubblico urbano ed extraurbano Servizi di parcheggio Servizi di bikeshering Servizi di accesso ad aree a traffico limitato Rispetto dei limiti di spesa previsti dalla normativa 8

9 Il ricorso alla carta di credito Ambito Soggettivo Fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico (operatori TLC) Soggetti che forniscono i servizi per la mobilità ed il trasporto Circuiti di intermediazione Istituti bancari Ambito oggettivo Biglietti abbonamenti per il trasporto pubblico urbano ed extraurbano Servizi di parcheggio Servizi di bikeshering Servizi di accesso ad aree a traffico limitato Partner tecnologici certificati (WASP wireless application service provider) Utente titolare di una USIM e di una carta di credito 9

10 I dati pubblicati devono essere: Principali misure e accorgimenti prescrittivi INFORMATIVA art. 13 del Codice richiamo finalità profilazione, marketing e comunicazione a terzi approccio layered (Opinion n.10/2014 del Gruppo ex art.29) informativa breve su cartellonistica (mezzi di trasporto, pensiline, biglietterie) e su schermo smartphone informativa più estesa su sito internet del titolare CONSENSO diversificato per finalità (artt. 23 e 130 del Codice) flag su apposita casella specifica sezione della pagina web del titolare altra idonea modalità telematica CONSERVAZIONE scopo (art. 11 comma 1, lett. e) del Codice) 6 MESI dati di traffico (art. 123 del Codice) utilizzo dati per attività correlate: richiamo normative di settore cancellazione alla scadenza

11 I dati pubblicati devono essere: Principali misure e accorgimenti prescrittivi Trattamento dei dati nomina incaricati ex art. 30 del Codice degli addetti al trattamento autenticazione semplice strong authentication per addetti customer care operatori telefonici tracciamento accessi e operazioni (files di log con data, ora ed incaricato) Data base aggregatore partizioni separate per ciascuna azienda di trasporto esclusione interrogazioni incrociate su acquisti in città differenti con associazione al numero di telefonia mobile (rischi di geolocalizzazione) Codificazione contenuti esclusione flussi su dati ultronei (informazione su indisponibilità insufficienza di credito telefonico) esclusione comunicazione su informazioni di natura bancaria Nomina responsabili ex art. 29 del Codice aggregatore gestore circuito di intermediazione partner tecnologico

12 La consultazione pubblica sullo schema di provvedimento è stata avviata con delibera del 10 settembre 2015 I contributi di tutti di soggetti coinvolti dovranno pervenire entro 120 giorni dalla data di pubblicazione dell avviso sulla Gazzetta Ufficiale (Gazzetta Ufficiale n. 227 del 30 settembre 2015) l indirizzo di destinazione è quello della sede dell Autorità di Piazza Monte Citorio n. 121 (00186 Roma) ovvero l indirizzo di posta elettronica: consultazionemt@gpdp.it 12