OSSERVATORIO VECOMP
 

Il Garante blocca l’app “Mitiga Italia”
L’app è stata utilizzata il 19 maggio in occasione della finale di Coppa Italia per gestire le autorizzazioni di ingresso degli spettatori. La sospensione del Garante serve per evitare che il trattamento dei dati sanitari possa essere applicato ad altri eventi, a partire da Italia-Turchia in programma a Roma il 19 giugno.

Con l’app “Mitiga Italia” è stato possibile verificare l’avvenuta vaccinazione, la guarigione o lo stato di negatività dal Covid-19 degli spettatori della partita del 19 maggio. Il Garante ne ha però disposto il blocco provvisorio sottolineando come non esiste - al momento - una valida base giuridica per il trattamento di dati personali sanitari mediante l’app e finalizzato ad accertare la situazione “Covid free” di quanti partecipino ad avvenimenti sportivi o  ad altre manifestazioni pubbliche. Il blocco ha effetto immediato e si protrarrà per il tempo necessario a consentire di avviare l’istruttoria.

Data: 4 giugno 2021
Provvedimento: Provvedimento del 3 giugno 2021 [9592298] - Garante Privacy

Green pass: bocciata l’iniziativa della Campania
Il sistema di certificazione promosso dalla Regione viola la normativa sulla privacy.

In base all'istruttoria avviata dal Garante è emerso che il sistema di certificazione di avvenuta vaccinazione, guarigione o negatività promosso della Regione Campania è privo di una idonea base giuridica. Il progetto viola i principi base del GDPR come quelli di liceità, correttezza, trasparenza, privacy by design e by default. L'Autorità rimarca che progetti come quello campano introducono sistemi di rilascio e di verifica della vaccinazione difformi da quelli individuati a livello nazionale e, soprattutto, che mettono a rischio la stessa interoperabilità delle certificazioni a livello nazionale ed europeo, in contrasto proprio con la finalità di agevolare la libera circolazione all'interno dell'Unione Europea durante la pandemia di Covid-19.

Data: 26 maggio 2021

Leggi qui il Provvedimento

Vaccinazioni sul luogo di lavoro: le indicazioni del Garante
Ecco le indicazioni per il trattamento dei dati personali in occasione della vaccinazione nei luoghi di lavoro ed il chiarimento sul ruolo del Medico competente in questo contesto emergenziale.

Sul sito del Garante sono pubblicati 2 importanti chiarimenti:

• il documento di indirizzo - Vaccinazione nei luoghi di lavoro indicazioni generali sul trattamento dei dati personali
• Il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale

La realizzazione dei piani vaccinali attraverso l’attivazione di punti straordinari di vaccinazione anti Covid-19 costituisce un’iniziativa di sanità pubblica, e pertanto la responsabilità e la supervisione dell'intero processo rimangono in capo al Servizio Sanitario Regionale anche per quanto riguarda il rispetto di quanto indicato nel GDPR.
Il Garante precisa che le principali attività di trattamento dati - dalla raccolta delle adesioni, alla somministrazione, alla registrazione nei sistemi regionali dell’avvenuta vaccinazione - devono essere effettuate dal Medico Competente o da altro personale sanitario appositamente individuato.
Non è infatti consentito al Datore di lavoro raccogliere direttamente dai dipendenti, dal Medico Compente, o da altri professionisti sanitari o strutture sanitarie, informazioni relative all’intenzione del lavoratore di aderire alla campagna o alla avvenuta somministrazione (o meno) del vaccino e ad altri dati relativi alle sue condizioni di salute. Tenuto conto dello squilibrio del rapporto tra datore di lavoratore e dipendente, il consenso del lavoratore non può costituire in questi casi un valido presupposto per trattare i dati sulla vaccinazione così come non è consentito far derivare alcuna conseguenza, né positiva né negativa, dall’adesione o meno alla campagna vaccinale.
 
Data: 13 maggio 2021
Leggi l'approfondimento qui 


Informazioni commerciali: approvato il codice di Condotta
Il Garante ha approvato la versione definitiva del Codice di condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale.
 
Con il Provvedimento del Garante (GU n. 124 del 26 maggio 2021) entra in vigore il nuovo testo del Codice di condotta che riguarda il servizio di informazione commerciale, cioé “l’esecuzione di attività di ricerca, raccolta, registrazione, organizzazione, analisi, valutazione, elaborazione e comunicazione di informazioni provenienti da fonti pubbliche, da fonti pubblicamente e generalmente accessibili da chiunque, o altrimenti fornite direttamente dall’interessato, idonee a fornire una conoscenza aggiuntiva ai terzi committenti” (articolo 2, lettera d) del Codice).
Con questo Codice infatti le società che offrono informazioni sull’affidabilità commerciale di imprenditori e manager potranno trattare i dati personali dei soggetti censiti senza richiederne il consenso, basandosi sul legittimo interesse, ma dovranno garantire maggiori tutele agli interessati, informandoli correttamente sui trattamenti effettuati e assicurando loro il pieno esercizio dei diritti previsti dalla normativa privacy, come l’opposizione al trattamento, la rettifica o l’aggiornamento dei dati.
Il Codice di condotta, tra le varie disposizioni, affronta anche la problematica relativa alla conservazione delle informazioni (art. 9), all’esercizio dei diritti da parte degli interessati (art. 10), alla sicurezza delle informazioni, misure organizzative e tecniche per la riservatezza e la sicurezza dell’informazione (art. 11) e al controllo sul rispetto del Codice di condotta ed organismo di monitoraggio (art. 12).
 
Data: maggio 2021
Leggi il Provvedimento

Codice di Condotta

HYSTORIES

• Profilazione degli utenti: le aziende intervistate tendono a usare forme di profilazione poco invasiva, limitando il tracciamento degli utenti alle attività di marketing.
• Gestione del consenso e conservazione dei dati: un 23% delle aziende si attiene alle indicazioni del Garante e conserva i dati raccolti con consenso per soli 2 anni, una altro 21% invece a tempo indeterminato, fino a quando l’interessato non richiede la cancellazione. Il 19% delle aziende non cancella i dati aggregati e l’8% non cancella nessun dato.
• Chiarezza delle informative: in generale molte aziende hanno dimostrato un interessamento verso la costruzione dei documenti legali in maniera chiara e comprensibile, sia a livello contenutistico che visivo. Tuttavia, il 24% delle società non lo ritiene un ambito in cui investire e solo il 23% è già all’opera in questa direzione.
• Notifiche di Data breach: in tre anni sono stati notificati in Italia solo 3.460 casi di data breach (cioè la diffusione intenzionale o meno di dati personali), contro i circa 77 mila della Germania.
• Le sanzioni del Garante: L’Italia ha imposto più sanzioni di qualunque altro paese dell’Unione europea. Nei primi mesi del 2021 le sanzioni sono addirittura raddoppiate rispetto a quelle del semestre precedente.Data: 25 maggio 2021

DOMANDE E RISPOSTE

Internet: cos'è il diritto all'oblio e come farlo valere
Il GDPR definisce il diritto all'oblio come il diritto di un individuo di rivolgersi ad un "Responsabile del trattamento sulla privacy" per far cancellare i propri dati personali online. Per quanto riguarda un sito web, il Titolare del trattamento è l’amministratore o il proprietario del sito internet, secondo l'articolo 17 del GDPR.
 
Cosa rischio se pubblico una foto senza consenso?
La legge definisce violazione della privacy qualsiasi foto raffigurante una persona e diffusa sui social network o in rete senza il dichiarato consenso del soggetto coinvolto. Risulta parimenti necessaria l’autorizzazione di quel soggetto anche per pubblicare una foto per fini promozionali e pubblicitari. Chiunque pubblichi immagini altrui senza la dovuta autorizzazione per trarne un profitto per sé o per altri, o per recare ad altri un danno, o creare un disturbo e fastidio all’interessato risponde ai sensi dell’art. 167 D.Lgs n. 196/2003 del reato di trattamento illecito di dati, punito con la reclusione fino a 3 anni.

Indirizzo e-mail condomino visibile: l'amministratore viola la privacy?
Con Provvedimento DREP/SK162838-1/ il Garante risponde ad un reclamo datato 25 marzo 2021 relativo alla questione della diffusione dei recapiti dei condomini: sia l’indirizzo email che il recapito telefonico dei condomini non sono dati che devono essere divulgati per ragioni legate alla gestione del condominio.

«Sei vaccinato?», perché non si può chiedere a colleghi e dipendenti
Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l’avvenuta vaccinazione anti Covid-19. Quindi non potrà, ad esempio, chiedere al lavoratore di mostrare il green pass dal 15 giugno. Solo il medico competente può infatti trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica.

La vaccinazione può essere richiesta come condizione per l’accesso ai luoghi di lavoro?
No, solo il Medico competente nella sua funzione di raccordo tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo, può trattare i dati personali relativi alla vaccinazione dei dipendenti e, se del caso, tenerne conto in sede di valutazione dell’idoneità alla mansione specifica. Il datore di lavoro dovrà limitarsi ad attuare le misure indicate dal medico competente nei casi di giudizio di parziale o temporanea inidoneità alla mansione cui è adibito il lavoratore.