Gubbio, 31 Marzo 2015 Aggiornamento in materia di PRIVACY
Breve introduzione
Argomen0 del seminario 1A5vità 2014 3 2Novità A=enzione 2015 a Ampio spazio a domande e risposte
1 A5vità 2014 A5vità ispe5va del Garante e sanzioni
A5vità ispe5va 2014 Perché iniziare con questo argomento Sanzioni per 5 Milioni di euro, +20% rispeko al 2013. 385 ispezioni hanno prodoko 577 sanzioni amministrabve contestate e in via di definizione, nonché 39 segnalazioni all autorità giudiziaria Sanzioni applicate a PPAA e società private per violazioni della privacy relabve, per lo più, a: - mancata adozione delle misure di sicurezza; - omessa o carente informabva; - uso illecito di dab personali.
A5vità ispe5va 2014 Alcuni numeri Le 385 ispezioni (svolte anche con il contributo delle Unità speciali della Guardia di finanza Nucleo speciale privacy) sono stab compiub in diversi ambib, fra cui si possono qui citare: EnB della PA e società pubbliche, ambib medici pubblici e privab, società farmaceubche, telecomunicazioni, banche, grandi alberghi, società di mobile payment,, operatori telefonici e call center, aziende commerciali,
A5vità ispe5va 2014 Alcuni numeri Sanzioni amministrabve contestate sono state riferite a casi di omessa o inidonea informabva, trakamento illecito di dab, mancata comunicazione al Garante e agli utenb di violazioni di dab personali (cd. data breach). Segnalazioni all autorità giudiziaria soprakuko per adozione delle misure minime, violazioni connesse al controllo a distanza dei lavoratori, accesso abusivo a sistemi informabci o telemabci, false dichiarazioni e nobficazioni, inosservanza dei provvedimenb
trakamenb di dab personali effekuab da sogge] pubblici; trakamenb di dab personali in relazione alle a]vità di markebng telefonico effekuate mediante call center operanb all estero; trakamenb di dab personali effekuab da operatori TLC per la gesbone dei servizi sms... A5vità ispe5va 2014 A5vità primo semestre 2015 Nel primo semestre del 2015 il Garante privacy proseguirà, da un lato, nello svolgimento dei controlli già avviab; dall altro, procederà ad accertamenb in riferimento a profili di interesse generale per categorie di interessab, tra l altro, in ambito:
A5vità ispe5va 2014 A5vità primo semestre 2015 Inoltre, verificherà l adozione delle misure minime di sicurezza da parte di sogge], pubblici e privab, che effekuano trakamenb di dab sensibili ed effekuerà controlli sulla liceità e correkezza dei trakamenb di dab personali ParBcolare riferimento al rispeko dell obbligo di informabva, alla perbnenza e non eccedenza nel trakamento, alla libertà e validità del consenso, nei casi in cui questo è necessario, nonché alla durata della conservazione dei dab nei confronb di sogge], pubblici o privab
A5vità ispe5va 2014 A5vità primo semestre 2015 Inoltre, svolgerà altre verifiche concernenb, in parbcolare, l adempimento dell obbligo di nobficazione nei confronb di sogge], pubblici e privab, individuab mediante raffronto con il registro generale dei trakamenb. Ai controlli programmab si affiancheranno quelli che si renderanno necessari a seguito di segnalazioni e reclami presentab al Garante.
E necessario pertanto focalizzarci sui conce5 fondamentali della Privacy D.lgs. 196/03 e s.m.i. Se dopo 10 anni ancora accade questo, significa che non abbiamo ancora ben compreso la portata di questa normabva
Domande?
2 Novità 2015 Nuovi obblighi, adempimen0, regolamen0, figure professionali in arrivo
Nuovi obblighi informa0va si0 internet Il Garante ha emanato un Provvedimento in data 08/05/2014 con cui ha regolamentato in modo rigoroso l'installazione e l ublizzo dei così de] cookies per finalità di profilazione e marke0ng da parte dei gestori dei sib web. Si specifica fin d ora che le aziende avranno 12 mesi di tempo dalla data di pubblicazione del Provvedimento sulla GazzeKa Ufficiale e quindi fino al 02 giugno 2015 per adeguarsi a quanto previsto dal Provvedimento stesso.
I cookies di natura tecnica sono ublizzabili liberamente. Per i cookies di profilazione e markebng, essendo la loro azione potenzialmente molto invasiva della sfera personale del singolo individuo, il Provvedimento dispone che i visitatori dei sib web possano sempre decidere se far usare o meno le informazioni che li riguardano. Novità 2015 Nuovi obblighi informa0va si0 internet Possono essere ublizzab: 1) per finalità di natura tecnica, come ad esempio per eseguire autenbcazioni informabche; 2) per finalità di profilazione e marke0ng, ossia per monitorare la navigazione;
Nuovi obblighi informa0va si0 internet Il Garante ha dunque stabilito che quando si avrà accesso alla home page o ad un'altra pagina di un sito web che effe]vamente ublizza cookies di profilazione, dovrà comparire immediatamente un informa0va breve, ben visibile; Oltre all informabva breve, dovrà essere presente anche un informa0va ar0colata ed estesa che sarà raggiungibile da un link inserito all interno dell informabva breve stessa, ma anche akraverso un link presente su ogni pagina del sito e collocato, ad esempio, nel così deko piè di pagina.
Il mancato rispeko di quanto previsto dal Provvedimento in esame, potrà comportare severe sanzioni previste dal D. Lgs. 196/2003, quali: mancato rilascio dell informabva (da 6.000 a 36.000 euro); mancata raccolta del consenso (da 10.000 a 120.000 euro); omessa o incompleta nobfica al Garante (da 20.000 a 120.000 euro) Novità 2015 Nuovi obblighi informa0va si0 internet E obbligatorio tenere traccia del consenso dell'utente; al gestore del sito sarà consenbto ublizzare un cookie tecnico, in modo tale da non riproporre l'informabva breve alla seconda visita dell'utente; si impone l obbligo di effekuare la no0fica telema0ca preliminare al Garante
Videosorveglianza Sull argomento il Garante per la protezione dei dab personali in data 08/04/2010 ha emanato un apposito Provvedimento a carakere generale, il quale non sempre risulta di facile interpretazione. Di seguito, in estrema sintesi e ricercando la massima schemabcità, si riepilogano quindi quelli che sono i principali adempimenb previsb dal legislatore e che gravano in capo alle aziende private
Videosorveglianza La videosorveglianza in azienda può e deve essere ublizzata per prevenire, a Btolo esemplificabvo e non esausbvo, furb, danneggiamenb, a] vandalici, intrusioni, incendi e casisbche similari. Viceversa, anche il Garante per la protezione dei dab personali, in accordo con quanto previsto dall art. 4 dello Statuto dei lavoratori (Legge 300/1970), conferma l assoluto divieto di ublizzo della videosorveglianza per qualsivoglia forma di controllo a distanza dei lavoratori.
Si ricorda infa] che in base a tale legge, prima di procedere all installazione degli apparab di videosorveglianza, risulta necessario raggiungere un idoneo accordo con le rappresentanze sindacali interne oppure, in mancanza di accordo od in assenza delle rappresentanze sindacali, okenere la dovuta autorizzazione dalla Direzione Provinciale del Lavoro competente. Novità 2015 Videosorveglianza Il Provvedimento richiama e conferma anche gli obblighi in capo al datore di lavoro derivanb dal medesimo Statuto dei lavoratori.
Videosorveglianza Il Provvedimento conferma che le immagini devono essere conservate per poche ore e comunque al massimo per 24 ore successive alla rilevazione, fa] salvi i periodi fesbvi e di chiusura dell azienda o per aderire ad una specifica richiesta invesbgabva dell autorità giudiziaria. Solo nel caso in cui l azienda svolga a]vità parbcolarmente rischiose (es. banche), si può ritenere ammesso un tempo di conservazione maggiore, comunque non superiore alla se5mana.
Videosorveglianza E necessario che il sistema di videosorveglianza sia impostato, ove tecnicamente possibile, in modo tale da cancellare automa0camente le immagini entro i termini temporali appena evidenziab. Nel caso in cui l azienda ritenga necessario un allungamento dei tempi di conservazione delle immagini, sarà necessario avanzare un apposita richiesta al Garante affinché possa procedere ad una verifica preliminare.
In estrema sintesi: devono essere impostab diversi livelli di visibilità a seconda delle mansioni svolte; ogni soggeko che accede ad immagini deve essere dotato di apposite credenziali di auten0cazione; la trasmissione delle immagini tramite una rete pubblica deve avvenire previa applicazione di tecniche cri=ografiche alle immagini medesime che ne garanbscano la riservatezza. Novità 2015 Videosorveglianza Le immagini devono essere proteke con idonee e preven0ve misure di sicurezza miranb a ridurre al minimo i rischi di accesso non autorizzato o trakamento non conforme alla normabva.
Videosorveglianza Il Provvedimento impone che siano designa0 per iscri=o tu] i sogge] che sono autorizzab a: - accedere ai locali dove sono situate le postazioni di controllo; - ublizzare gli impianb di videosorveglianza; - visionare le immagini. I sogge] dovranno essere in numero limitato e fra loro dovrà sempre esserci almeno un dipendente aziendale il quale, in rappresentanza dei colleghi, possa visionare le immagini in caso di necessità. E inoltre necessario individuare diversi livelli di autorizzazione disbnguendo fra coloro che possono visionare o gesbre le immagini.
Videosorveglianza I sogge] che si trovano a transitare in un area aziendale video- sorvegliata (corbli, parcheggi, stabilimenb, recepbon, ecc.), devono esserne sempre consapevoli e quindi perfekamente informab di tale circostanza. E importante sokolineare che l obbligo di informare permane anche in riferimento alle aree esterne (es. cor0li) e non solo per quelle interne (es. recepbon). Il Provvedimento prevede che si possa assolvere al presente obbligo di legge con l esposizione di apposi0 cartelli
Videosorveglianza Si evidenzia, per completezza, che il Provvedimento individua regole specifiche per i seguenb sekori: ospedali e luoghi di cura, isbtub scolasbci, trasporto pubblico, web cam per scopi turisbci, sogge] pubblici. Alcune casis0che par0colari e documentazione 0pica di un adempimento di videosorveglianza.
Nuovo Regolamento Europeo e Data Protec0on Officer «Il nuovo regolamento europeo sui dab personali deve considerare il cambiamento tecnologico, i social network, il diriko all oblio su Internet e il mondo del Big Data». Così il Garante europeo della protezione dei dab personali BuKarelli, sul futuro dei dab personali in commissione Libertà civili e affari interni (Libe) del Parlamento europeo. Il nuovo regolamento, che sosbtuirà la dire]va del 1995, sarà applicato direkamente a chiunque offra beni e servizi all interno dell Unione e «quesb gestori dei dab personali - conclude il Garante - dovranno essere più responsabili, rispekare le regole, sviluppare nuove policy per rispondere alle richieste degli utenb»
Nuovo Regolamento Europeo e Data Protec0on Officer I profili professionali individuab dal regolamento e il modello "piramidale" di gesbone dei dab personali: Data Controller, Joint Controller, Data Processor, Data ProtecBon Officer Le a]vità del D.P.O. in affinità con i sistemi di qualità e modelli 231/2001 Gli strumenb prevenbvi per la realizzazione del M.O.P. (Modello OrganizzaBvo Privacy art. 22): Privacy impact assessment, Privacy by design, Privacy by Default NoBfica di eventuali data breaches, diriko all'oblio, diriko alla portabilità dei dab, nuovo piano sanzionatorio
Privacy e Cloud Compu0ng Lo standard ISO 27018 In akesa di una normabva nazionale e internazionale aggiornata e uniforme, ad eccezione dello standard ISO 27018, è necessario che le imprese e la pubblica amministrazione presbno parbcolare akenzione ai rischi connessi all adozione dei servizi di cloud compubng, in relazione agli aspe] di protezione dei dab personali. La tecnologia cloud procede molto più velocemente dell a]vità del legislatore in tema di privacy, sia in ambito civile che penale, che tenga conto di tuke le novità introdoke dal cloud compubng, e sia in grado di offrire adeguate tutele nei riguardi delle fa]specie giuridiche connesse all adozione di servizi distribuib di elaborazione e di conservazione dab.
Privacy e Cloud Compu0ng Lo standard ISO 27018 La pubblica amministrazione o l azienda, Btolare del trakamento dei dab personali, che trasferisce del tuko o in parte il trakamento sulle nuvole, deve procedere a designare il fornitore dei servizi cloud responsabile del trakamento. Questo significa che il cliente dovrà sempre prestare molta akenzione a come saranno ublizzab e conservab i dab personali caricab sulla nuvola : in caso di violazioni commesse dal fornitore, anche il Btolare sarà chiamato a rispondere dell eventuale illecito.
Privacy e Cloud Compu0ng Lo standard ISO 27018 Il cliente di ridoke dimensioni, come una piccola impresa o un ente locale, potrebbe tukavia incontrare difficoltà nel contrakare adeguate condizioni per la gesbone dei dab spostab sulla nuvola. Anche in questo caso, non sarà però sufficiente, per giusbficare una eventuale violazione. TuKavia il Codice della privacy prevede, tra l altro, che il Btolare esercib un potere di controllo nei confronb del responsabile del trakamento (in questo caso il cloud provider), verificando la correka esecuzione delle istruzioni imparbte in relazione ai dab personali trakab.
Privacy e Cloud Compu0ng Lo standard ISO 27018 Il Codice della privacy definisce peraltro regole precise per il trasferimento dei dab personali fuori dall Unione europea e vieta, in linea di principio, il trasferimento anche temporaneo di dab personali verso uno Stato extraeuropeo, qualora l ordinamento del Paese di desbnazione non assicuri un adeguato livello di tutela. Questa evenienza può verificarsi frequentemente nel caso in cui si decida di usufruire di servizi di public cloud invece che di modalità private o ibride. Per le sue valutazioni il Btolare del trakamento (in genere chi acquista servizi cloud) dovrà quindi tenere in debito conto anche il luogo dove vengono conservab i dab e quali sono i trakamenb previsb all estero.
Privacy e Cloud Compu0ng Lo standard ISO 27018 Il trasferimento di dab verso gli StaB UniB, ad esempio, può essere facilitato nel caso in cui il provider aderisca a programmi come il cosiddeko Safe Harbor, accordo bilaterale Ue- Usa che definisce regole sicure e condivise per il trasferimento dei dab personali effekuato verso aziende presenb sul territorio americano. Le limitazioni per il trasferimento dab all estero incidono anche sugli spostamenb infragruppo di una mulbnazionale. In questo caso, la presenza di forb norme vincolanb d impresa (binding corporate rules) a tutela dei dab personali può consenbre l eventuale trasferimento dei dab nel rispeko della privacy degli interessab.
Privacy e Cloud Compu0ng Lo standard ISO 27018 Il Btolare del trakamento deve assicurarsi che siano adokate misure tecniche e organizzabve volte a minimizzare i rischi di distruzione o perdita anche accidentale dei dab, di accesso non autorizzato, di trakamento non consenbto o non conforme alle finalità, di modifica dei dab non autorizzab o non conformi Per garanbre che i dab siano al sicuro, non sono importanb solo le modalità con cui sono conservab, ma anche quelle con cui sono trasmessi (ad esempio ublizzando tecniche di cifratura).
Privacy e Cloud Compu0ng Lo standard ISO 27018 I sogge] pubblici e le imprese che decidono di avvalersi di servizi cloud per gesbre i dab personali dei loro utenb o clienb non devono dimenbcare che il Codice della privacy akribuisce agli interessab (le persone a cui si riferiscono i dab) precisi diri]. Ad esempio, l interessato ha diriko di conoscere quali siano i dab che lo riguardano in possesso dell amministrazione pubblica o dell impresa, per quale mobvo siano stab raccolb e come siano elaborab.
Quali sono le misure di sicurezza adokate dal fornitore per proteggere i dab? Privacy e Cloud Compu0ng Lo standard ISO 27018 Il fornitore di servizi cloud spesso dispone di sistemi di protezione contro virus, akacchi hacker o altri pericoli informabci più efficaci rispeko a quelli che potrebbe permekersi il singolo utente.
Chi è il reale fornitore del servizio che si sta acquisendo? Si traka di una singola società o di un consorzio di imprese? Privacy e Cloud Compu0ng Lo standard ISO 27018 Il servizio prescelto potrebbe essere il risultato finale di una catena di trasformazione di servizi acquisib presso altri service provider. L utente, a fronte di filiere di responsabilità complesse, potrebbe non essere messo in grado di sapere chi, tra i vari gestori dei servizi intermedi, può accedere a determinab dab.
Privacy e Cloud Compu0ng Lo standard ISO 27018 In caso di problemi al collegamento Internet, è comunque possibile conbnuare a usufruire dei servizi senza l accesso al cloud? In quanto tempo può essere riprisbnato il sistema? Esistono piani di emergenza per i servizi essenziali? Il servizio virtuale, in assenza di adeguate garanzie in merito alla qualità della conne]vità di rete, potrebbe occasionalmente risultare degradato in presenza di akacchi informabci, di elevab picchi di traffico o addirikura ndisponibile laddove si verifichino evenb anomali o guasb che impediscano l accessibilità temporanea ai dab.
È possibile che i dab sul cloud possano essere persi o distru]? Privacy e Cloud Compu0ng Lo standard ISO 27018 Calamità naturali o akacchi informabci potrebbero compromekere il funzionamento di alcuni data center. È parbcolarmente importante individuare possibili procedure di recupero dei dab e quanbficare l impako economico e organizzabvo dell eventuale perdita o cancellazione di dab presenb solo sul cloud.
Esistono garanzie di riservatezza per i nostri dab nel caso in cui un concorrente condivida gli stessi servizi cloud? Privacy e Cloud Compu0ng Lo standard ISO 27018 I fornitori custodiscono dab di singoli e di organizzazioni che potrebbero avere interessi ed esigenze differenb o persino obie]vi contrastanb e in concorrenza. È quindi opportuno valutare le garanzie offerte a tutela della confidenzialità delle informazioni trasferite sul cloud.
Privacy e Cloud Compu0ng Lo standard ISO 27018 In quale Stato sono conservab i dab caricab sulla nuvola? È possibile scegliere di usufruire di server collocab solo in territorio nazionale o in Paesi dell Unione europea? L idenbficazione del luogo in cui i dab sono conservab o elaborab ha riflessi immediab sia sulla normabva applicabile in caso di contenzioso tra il cliente e il fornitore, sia in relazione alle disposizioni nazionali che disciplinano il trakamento, l archiviazione e la sicurezza dei dab.
La tecnologia ublizzata dal fornitore di cloud è di Bpo proprietario? I dab possono essere esportab facilmente? Privacy e Cloud Compu0ng Lo standard ISO 27018 L adozione da parte del fornitore del servizio di tecnologie proprie può, in taluni casi, rendere complessa per l utente la migrazione di dab e documenb da un sistema cloud ad un altro o lo scambio di informazioni con sogge] che ublizzino servizi cloud di fornitori differenb, ponendo quindi a rischio la portabilità o l interoperabilità dei dab.
Nel caso in cui si accerb una violazione o la perdita dei dab, il fornitore garanbsce un pronto risarcimento del danno? Privacy e Cloud Compu0ng Lo standard ISO 27018 Le akuali incertezze normabve possono rendere difficile e oneroso riuscire a okenere un adeguato risarcimento per i danni subib in seguito a violazioni, a perdita di dab, a interruzione anche temporanea del servizio cloud.
Alcune informazioni sullo standard ISO 27018 Privacy e Cloud Compu0ng Lo standard ISO 27018
Domande?
3 A=enzione a Errori 0pici nell applicazione dei principi norma0vi
Alcune casisbche e cribcità A=enzione a Jobs Act Social networks DPS Art. 15 Art. 13 Art. 7 Misure minime ed idonee Come opera in sede ispe]va il Garante e la Guardia di Finanza
Domande?
? Concludendo, c'è altro? Quali elemen0 potrebbero cambiare a breve
Grazie ResBamo a disposizione per ulteriori domande o semplici curiosità.