10 Luglio 2024 di carmignaniconsulenza

Riconoscimento facciale: Garante sanziona una concessionaria. No al controllo illecito delle presenze – Garante della Privacy provvedimento del 6 giugno 2024

Una sanzione di 120mila euro è stata irrogata dal Garante privacy a una concessionaria per aver violato i dati personali dei dipendenti attraverso l’utilizzo di sistemi di riconoscimento facciale per il controllo delle presenze sul posto di lavoro. L’Autorità era intervenuta a seguito del reclamo di un dipendente che lamentava il trattamento illecito di dati personali, attraverso un sistema biometrico installato presso le due unità produttive della società. Con il reclamo, veniva anche lamentato l’utilizzo di un software gestionale con cui ciascun dipendente era tenuto a registrare gli interventi di riparazione svolti sui veicoli assegnati, i tempi e le modalità di esecuzione dei lavori, nonché i tempi di inattività con le specifiche causali.

Dall’attività ispettiva del Garante, svolta in collaborazione con il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza, sono emerse numerose violazioni del Regolamento europeo da parte della società.

Con riferimento al trattamento dei dati biometrici, il Garante ha ribadito nuovamente che l’utilizzo di tali dati non è consentito perché non esiste nessuna norma di legge che al momento attuale preveda l’utilizzo del dato biometrico per la rilevazione delle presenze. Pertanto, l’Autorità ha ricordato che neanche il consenso manifestato dai dipendenti può essere considerato idoneo presupposto di liceità, per l’asimmetria tra le rispettive parti del rapporto di lavoro.

L’Autorità ha inoltre accertato che la concessionaria da più di sei anni, mediante un software gestionale, raccoglieva dati personali relativi alle attività dei dipendenti per redigere report mensili da inviare alla casa madre, contenenti dati aggregati sui tempi impiegati dalle officine per le lavorazioni effettuate. Il tutto in assenza di un’idonea base giuridica e di un’adeguata informativa che, nel contesto del rapporto di lavoro, è espressione del principio di correttezza e trasparenza. L’Autorità, oltre a sanzionare la società, le ha quindi ordinato di conformare il trattamento dei dati effettuato mediante il software gestionale alle disposizioni della normativa privacy.

Link al documento: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10029500

10 Luglio 2024 di carmignaniconsulenza

FSE 2.0, Garante Privacy: al via procedimenti nei confronti di 18 Regioni e 2 Province autonome. La grave situazione segnalata al Presidente del Consiglio e al Ministro della salute nei giorni scorsi – Garante della Privacy

È urgente intervenire per tutelare i diritti di tutti gli assistiti italiani coinvolti nel trattamento dei dati sulla salute effettuato attraverso il Fascicolo Sanitario Elettronico 2.0.

Con questa motivazione il Garante Privacy ha notificato a 18 Regioni e alle Province autonome di Bolzano e Trento l’avvio di procedimenti correttivi e sanzionatori per le numerose violazioni riscontrate nell’attuazione della nuova disciplina sul FSE 2.0, introdotta con il decreto del Ministero della salute del 7 settembre 2023.

Nei giorni precedenti la grave situazione e l’urgenza di interventi correttivi era stata segnalata al Presidente del Consiglio dei Ministri e al Ministro della salute.

Gli esiti dell’attività istruttoria sul FSE, avviata alla fine di gennaio, hanno mostrato che 18 Regioni e le due Province autonome del Trentino Alto Adige – non essendo in linea con quanto contenuto nel decreto del 7 settembre 2023 – hanno modificato, anche significativamente, il modello di informativa predisposto dal Ministero, previo parere del Garante, che avrebbe dovuto essere adottato su tutto il territorio nazionale.

Le difformità riscontrate hanno reso evidente che alcuni diritti (es. oscuramento, delega, consenso specifico) e misure (es. misure di sicurezza, livelli di accesso differenziati, qualità dei dati) introdotte dal decreto, proprio a tutela dei pazienti, non sono garantite in modo uniforme in tutto il Paese. Oppure sono esercitabili ed esigibili solo dagli assistiti di talune Regioni e Province autonome, con un potenziale e significativo effetto discriminatorio sugli assistiti.

Tale disomogeneità contraddice inoltre lo spirito della riforma del FSE 2.0 volta a introdurre misure, garanzie e responsabilità omogenee sul tutto il territorio nazionale, rischiando così di compromettere anche la funzionalità, l’interoperabilità e l’efficienza del sistema FSE 2.0.

Le violazioni nelle quali sono incorse Regioni e Province autonome, con diversi livelli di gravità e responsabilità, possono comportare l’applicazione delle sanzioni previste dal Regolamento europeo.

7 Giugno 2024 di carmignaniconsulenza

Garante Privacy: il GDPR vale anche per Wikipedia. L’enciclopedia online deve rispettare le regole sul giornalismo e la manifestazione del pensiero – Garante della Privacy Provvedimento del 9 maggio 2024

Il trattamento di dati personali effettuato da Wikipedia ricade sotto il GDPR e ai contenuti pubblicati si applicano le norme sull’attività giornalistica e la manifestazione del pensiero.

È quanto ha stabilito il Garante per la protezione dei dati personali, dopo il reclamo di un interessato che non aveva visto soddisfatta la richiesta di cancellazione di un articolo biografico, relativo a una vicenda giudiziaria, da parte di Wikipedia Foundation, la no-profit Usa creatrice del progetto dell’enciclopedia on line.

Per quanto riguarda il trattamento di dati personali effettuato negli articoli, la Fondazione, che non ha stabilimento in Europa, ritiene che Wikipedia non offra un servizio agli utenti nella Ue e di non essere quindi vincolata al rispetto del Regolamento generale sulla protezione dati: l’enciclopedia sarebbe solo un “host neutrale” che “ospita” i contenuti inseriti dalla comunità di volontari.

In realtà, Wikipedia non solo offre un servizio di informazione su una grande varietà di argomenti, ma lo rivolge anche al mercato europeo, come dimostrano la costante azione di indirizzo e verifica degli standard qualitativi dei contenuti rivolti dalla Fondazione alla comunità e la creazione di versioni del sito dedicate agli utenti di uno o più Stati membri. Si realizza così – spiega il Garante – quel requisito di intenzionalità nell’offerta di servizi che permette di applicare il GDPR a un titolare del trattamento stabilito in un Paese terzo e senza stabilimento nella Ue.

Chiarito l’ambito di applicazione, l’Autorità ha respinto l’istanza di cancellazione dell’interessato, perché il trattamento di dati personali per finalità giornalistiche, anche senza consenso, è lecito se rispetta i diritti e la dignità delle persone e il principio dell’essenzialità dell’informazione. Allo stesso modo, è lecita anche la permanenza dell’articolo nell’archivio dell’enciclopedia on line: gli archivi di siti e giornali, anche cartacei, rivestono infatti una importante funzione ai fini della ricostruzione storica degli eventi.

Il Garante ha tuttavia disposto la deindicizzazione dell’articolo. La presenza on line della pagina vanificherebbe infatti il beneficio del limite della conoscibilità posto alle condanne inferiori ai due anni, che non sono inserite nel casellario giudiziario, mentre nel frattempo è venuto a scemare l’interesse pubblico per la vicenda.

Link al documento: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10022403