Approfondimenti

QUALI DATI PERSONALI TRATTA IL DATORE DI LAVORO?

Il rapporto di lavoro è fonte di un trattamento o anche più trattamenti di dati personali, anche di natura sensibile, tale da renderlo molto delicato e occorre che il titolare del trattamento (azienda o persona fisica) sia edotto dei potenziali rischi che sono insiti a tale trattamento e quindi ponga in essere tutte le misure di sicurezza adeguate.

I PRINCIPI DA RISPETTARE

Il datore di lavoro in qualità di titolare del trattamento deve rispettare i seguenti principi:

• Il principio di necessità – ovvero devono essere trattati solamente i dati strettamente necessari per eseguire la prestazione e il rapporto di lavoro;
• Il principio di esattezza – I dati trattati devono essere esatti e attuali, pertanto qualora il dipendente richieda un accesso agli stessi e/o una modifica il titolare deve adempiere entro massimo un mese dalla richiesta;
• Il principio di trasparenza – questo principio è il cardine di tutto il Regolamento GDPR e si estrinseca attraverso il rilascio della informativa e di eventuali disciplinari interni;

QUALI CONTROLLI SONO VIETATI?

Importante è ricordare che ci sono controlli assolutamente vietati quali indagini sulle opinioni politiche, sindacali o religiose del lavoratore sia nella fase di assunzione che successiva.

E’ consentito invece al datore di lavoro disciplinare l’utilizzo per esempio della rete internet, della posta elettronica ad esempio individuando quali siano i siti web correlati o meno con la prestazione lavorativa ed è possibile, ai fini della sicurezza informatica del perimetro aziendale, configurare anche filtri ai fini sempre delle configurazioni di security aziendale.

Possono essere trattati i dati in forma anonima e aggregata al fine per esempio di individuare pericoli e rischi cyber, sempre però nel rispetto del principio di minimizzazione e della dignità del lavoratore.

Nel caso della posta elettronica ad esempio è possibile assegnare al dipendente un account privato oltre che a quello aziendale, consentendo una delega per visionare la posta a un collega di fiducia in caso di prolungata assenza, ricordando che i controlli devono quindi essere sempre adeguati e pertinenti.

Non sarebbe certo lecito un controllo mirato sulla posta elettronica di un dipendente, in quanto violerebbe anche il principio della libertà di corrispondenza.

QUALI BASI GIURIDICHE NEL RAPPORTO DI LAVORO?

Le basi giuridiche o condizioni di liceità presenti nel rapporto di lavoro sono:

• L’adempimento di obblighi contrattuali
• Adempimento di obblighi di legge (in materia di sicurezza del lavoro, previdenza ecc.)
• Interesse legittimo (in questo caso da controbilanciare con i diritti dei lavoratori)

Il consenso quindi è una base giuridica residuale nel rapporto di lavoro e non può essere considerata lecita al fine del trattamento dei dati del lavoratore in quanto l’eventuale consenso non sarebbe reso validamente ai sensi della normativa che richiede che sia libero e sempre revocabile. (art. 7 GDPR)

Avv. Francesca Ariodante

IL GDPR E IL DIRITTO ALLA CANCELLAZIONE DEI DATI

Il soggetto interessato può chiedere in ogni momento che siano cancellati i dati che lo riguardano e che sono oggetto di un trattamento, sempre che non sia presente una condizione che impedisce al titolare la cancellazione, come ad esempio un obbligo di legge da rispettare.

E’ in ogni caso fondamentale avere in azienda una procedura che consenta di sapere come cancellare i dati oggetto di trattamento, sia in caso di richiesta da parte del soggetto interessato, sia in caso in cui sia spirato il termine di conservazione.

IL PRINCIPIO DI LIMITAZIONE DELLA CONSERVAZIONE

Il dato personale deve avere una scadenza e non può essere conservato dal titolare del trattamento per un periodo indefinito. Infatti nell’art. 13 comma 2 lettera A del Regolamento GDPR è indicato espressamente il contenuto della informativa che deve esplicitare il periodo di conservazione dei dati indicando se non è possibile, i criteri di riferimento per individuarlo.

L’IMPORTANZA DELLE POLICY AZIENDALI

Un utile metodo per essere conformi alla normativa è quello di redigere una policy, con l’aiuto di consulenti o eventualmente del DPO se presente, all’interno della quale stabilire per ogni trattamento di dati, il periodo di conservazione.

Infatti per ogni finalità di trattamento sussiste una diversa tempistica di conservazione.

Se un’azienda non si dota di un sistema di governance sul tema della conservazione dei dati, rischia che vi sia una proliferazione di informazioni e dati personali non necessari, oggetto di possibili data breach e attacchi informatici.

LE PROCEDURE DI DISTRUZIONE SICURA

Altrettanto fondamentali risultano le tecniche di distruzione sicura dei device e apparati contenenti dati personali.

Per i device si possono utilizzare software di sovrascrittura e di cifratura, ovviamente solo laddove il supporto sia ancora funzionante.

Nel caso invece che il device non sia più funzionante o si tratti di cd o dvd, si può procedere con distruzione fisica o modalità hardware quali la demagnetizzazione.

Avv. Francesca Ariodante

La crescita esponenziale di siti di commercio elettronico va di pari passo con il numero di attacchi informatici ai siti web.

Oggi i proprietari di negozi on line non possono trascurare il fenomeno dei cyberattacchi e quindi non possono trascurare la sicurezza informatica, che diventa una variabile strategica del proprio business.

Coloro che non si preoccupano di riporre energie e risorse economiche al fine di proteggere gli asset strategici, come il proprio sito di e- commerce, mettono a rischio milioni di dati preziosi oltre che esporsi a sanzioni e peggio ancora a perdita di clienti.

Cosa fare?

Il primo step è sicuramente non improvvisare ma affidarsi a consulenti esperti e seri. La scelta giusta è investire nella sicurezza informatica.

Questa scelta è di primaria importanza per il proprio business. Il cliente avrà fiducia nell’acquisto sicuro e preferirà, tra i concorrenti, il negozio on line che consentirà l’acquisto in totale sicurezza nella gestione dei propri dati personali.

Quali rischi per il negozio on line?

Ad esempio:

• Nelle transazioni
• Aumento di attacchi cyber a banche e istituti di credito
• I criminali informatici acquistano le informazioni dal dark web
• Mancanza di compliance al GDPR con perdita di riservatezza, integrità e disponibilità dei dati

Non dimentichiamoci che un e- commerce tratta molti dati personali di persone fisiche… quali l’IBAN, codice fiscale, e mail, indirizzo residenza ecc.

La perdita o modifica di questi dati comporta conseguenze negative per la reputazione aziendale oltre che un impatto sui diritti e libertà delle persone fisiche.

Quali suggerimenti per difendersi?

In primis occorre implementare l’autenticazione a due fattori, cosiddetta forte, e utilizzare certificati SSL.

Ma soprattutto utilizzare la strategia della prevenzione, utilizzando tecniche di analisi del sito web, vulnerability assessment e penetration test che consentono di anticipare le mosse di eventuali attacchi cyber e individuare i punti deboli della web application.

Ignorare l’aggiornamento della piattaforma web può avere conseguenze gravissime!

Esiste infatti il cosiddetto “formjacking” ovvero tecnica che consente di rubare i dati sfruttando le vulnerabilità di web application non aggiornate.

Gli attacchi più pericolosi restano quelli alle risorse umane.

Una risorsa umana non “skillata” può essere davvero il lato più vulnerabile di un’azienda. Occorre quindi sapere che oggi ci sono tecniche molto evolute di Ingegneria Sociale che sfruttano proprio le “leggerezze” umane al fine di carpire dati preziosi dell’azienda.

Nel settore dell’ e- commerce il rischio maggiore è quello di siti-fake molto simili a quelli originali attraverso cui adescare i clienti ignari.

Per aumentare la consapevolezza delle risorse umane che gestiscono siti web aziendali o in ogni caso operano sugli asset strategici, non basta solo la formazione tradizionale ma sono utili le campagne di simulazione di attacchi cyber mediante uso di interfacce web per esercitare ai comportamenti virtuosi.

Il backup dei dati del sito.

Fondamentale è anche effettuare il back up dei dati raccolti dal sito web. Occorre un piano di disaster recovery in caso di attacco avvenuto.

Non è possibile pensarci dopo che l’attacco è stato effettuato. E’ troppo tardi.

Un back up corretto deve essere realizzato in modo professionale e sicuro, contemplando più copie di sicurezza.

Implementare la sicurezza by default.

Occorre valutare con esperti, in base al numero di clienti del sito e commerce e dal volume degli acquisti, un servizio aggiuntivo sul sito web che preveda un monitoraggio costante per anticipare le vulnerabilità.

Conclusione.

Parlare di sicurezza informatica del proprio sito e commerce, vuol dire aumentare la brand reputation e fidelizzare i clienti consentendo tranquillità e fiducia nell’acquisto virtuale.

 

Avv. Francesca Ariodante

Oggi il rischio maggiore per le aziende che gestiscono dati tramite sistemi digitali è sicuramente rappresentato dagli attacchi informatici.

Sono colpite le aziende più grandi ma anche le PMI non sono immuni.

Le conseguenze pratiche di un attacco cyber sono molteplici, pensiamo al caso del ransomware che comporta la impossibilità di accedere alle risorse e ai dati aziendali.

Alcune conseguenze immediate possono essere:

• Impossibilità di comunicazione interna e esterna
• Blocco della produzione
• Blocco della logistica
• Blocco del sito e-commerce e quindi degli acquisti
• Perdita di risorse e dati preziosi

Oltre che aumento dello stress e dei danni reputazionali.

L’aumento dei dipendenti in lavoro da remoto ha comportato un incremento degli attacchi dovuti al fatto che le risorse umane lavorano lontane dal luogo di lavoro e dalla rete aziendale, magari a volte con utilizzo di pc personali e senza la presenza di una VPN sicura.

L’adozione di misure di sicurezza non adeguate al rischio intrinseco della azienda può essere davvero nociva, perché non si ha la consapevolezza del grado di resilienza dei sistemi aziendali.

Cosa fare?

Un’ ottima soluzione è effettuare un cybersecurity AUDIT.

E’una valutazione della stato dell’arte della sicurezza dei sistemi informatici aziendali e delle applicazioni utilizzate.

Esperti e consulenti riescono con questa tecnica a percepire le lacune di sicurezza e verificano se le soluzioni attualmente adottate dall’azienda aderiscano a standard di sicurezza ma soprattutto siano adeguate al rischio intrinseco in base ai trattamenti di dati effettuati dall’azienda.

L’AUDIT può essere esterno o interno a seconda del budget dell’azienda. Importante è che sia effettuato da persone esperte.

In cosa consiste?

In una seria analisi attraverso specifiche domande effettuate al reparto sottoposto a verifica per capire e identificare gli asset e le risorse coinvolte, ad esempio chiedendosi se le risorse umane siano realmente formate sulla sicurezza informatica.

Anche l’analisi delle terze parti è fondamentale. La scelta dei partners a cui affidare la gestione dei dati risulta basilare al fine di una corretta strategia di sicurezza.

Infine è il Regolamento GDPR che impone di valutare se le misure tecniche e organizzative siano adeguate allo stato dell’arte e al budget economico. (art. 24 e 32)

 

Avv. Francesca Ariodante

Cosa cambia con il GDPR?

Il diritto alla cancellazione, meglio conosciuto come diritto “all’oblio”, viene esteso dalla normativa Europea anche a casi ulteriori rispetto al trattamento illecito di dati.

Il diritto alla cancellazione sussiste anche solo al verificarsi di uno dei motivi indicati dall’art. 27 GDPR: i dati personali non sono più necessari alle finalità per cui sono stati raccolti, è stato revocato il consenso, vi è opposizione al trattamento, vi è un trattamento illecito dei dati, per obbligo di legge, se i dati raccolti sono finalizzati per erogare l’offerta di servizi della società dell’informazione a favore di minori.

 

L’oblio è un diritto assoluto?

No. Il diritto alla cancellazione dei dati personali deve essere controbilanciato con altri eventuali interessi che il legislatore ritiene meritevoli di tutela, ad esempio per esercitare la libertà di informazione e espressione, per motivi di interesse pubblico, per obbligo legale, per motivi di archiviazione nell’interesse pubblico, per accertamento di un diritto in sede giudiziaria.

 

Il diritto all’oblio e la de-indicizzazione.

Nell’era digitale l’esigenza del diritto alla cancellazione, espressione massima della riservatezza, ha portato nella pratica a richieste ai motori di ricerca (es. Google) di de-indicizzare i contenuti relativi a una persona fisica ovvero rimuovere i link a pagine web pubblicate da terze parti che fanno riferimento a notizie non più attuali e che non abbiano più rilevanza pubblica.

Ovviamente tale diritto va controbilanciato con il diritto di cronaca e con quello della collettività all’informazione.

Il caso famosissimo Google Spain ha tracciato i confini del diritto all’oblio stabilendo che: l’attività del motore di ricerca consistente nella indicizzazione delle notizie e informazioni inserite da terzi su internet è attività di trattamento dati personali; Il gestore del motore di ricerca è titolare autonomo; una volta accertato il diritto dell’interessato alla cancellazione il motore di ricerca è obbligato a cancellare dell’elenco dei risultati di ricerca i link verso le pagine web che contengano tali informazioni.

Ovviamente a meno che non esistano ragioni che comportino un interesse pubblico al mantenimento della notizia (es. per il ruolo pubblico ricoperto dall’interessato).

Quindi ricevuta la richiesta di cancellazione, il motore di ricerca deve effettuare la valutazione e in mancanza di risposta o mancato accoglimento della richiesta, l’interessato potrà far valere il suo diritto o innanzi all’Autorità Garante oppure all’autorità Giudiziaria ordinaria.

 

Le indicazioni dei Garanti Europei (WP29)

Nel 2014 sono state emanate delle Linee Guida per individuare dei criteri per valutare la fondatezza della richiesta di cancellazione: tra questi il trascorrere del tempo rispetto ai fatti oggetto di pubblicazione. Oltre al criterio temporale vi sono altri fattori da considerare tra cui ricordiamo: se l’interessato è un minore di età; se l’interessato è una figura pubblica; se la ricerca avviene tramite inserimento del nome, pseudonimo o soprannome; se vi sono dati sensibili; la circostanza che i dati si riferissero a reati.

 

Le Linee Guida 5/2020 – ultimo aggiornamento.

Sul punto del diritto all’oblio è intervenuto recentemente il Comitato Europeo per la protezione dei dati (“EDPB”) rappresentando che l’Autorità nel caso di richiesta di de-indicizzazione debba in primis considerare il contenuto del sito per cui è richiesta la deindicizzazione. Nel caso di richiesta relativa a dati personali non più necessari per le finalità del trattamento del motore di ricerca, occorre effettuare un bilanciamento con gli interessi degli utenti, considerando il periodo di conservazione dei dati.

Si dovrà esaminare in particolare la posizione dell’interessato e se il contenuto del sito web possa arrecare pregiudizio alla sua reputazione.

 

Alcune pronunce del Garante Italiano sul diritto all’oblio.

Vediamo alcuni casi recenti.

(Decisione del 15.10.2020 n. 194) il Garante ha analizzato il caso di una richiesta di un soggetto che chiedeva la rimozione di alcuni URL in cui veniva associato il suo nominativo a indagini penali relative a irregolarità compiute da alcune imprese.

Secondo Google non sussistevano i presupposti per il diritto all’oblio in quanto le notizie erano recenti.

Il Garante invece ha ritenuto di ordinare al motore di ricerca la rimozione degli url sulla base del fatto che “la perdurante reperibilità in rete di tali articoli in associazione al nominativo dell’interessato risulta creare un impatto sproporzionato sulla sfera giuridica di quest’ultimo, che non appare allo stato attuale bilanciato da un interesse del pubblico.”

Altro caso deciso dal Garante (del 15.10.2020 n. 192). Qui vi era una inchiesta giudiziaria nella quale il reclamante è poi risultato estraneo ai fatti. Google anche qui non riteneva sussistente il presupposto per la cancellazione richiamando l’attualità della notizia e che il nome del soggetto sarebbe emerso in quanto indicato dal gip come soggetto implicato nelle vicende. Il Garante però sottolinea che la vicenda si era ormai conclusa e soprattutto riguardasse altri soggetti e anche qui viene rilevato un impatto sproporzionato sulla sfera giuridica del reclamante. Da qui l’ordine di rimuovere gli url nel termine di venti giorni.

 

 

Avv. Francesca Ariodante

La definizione nella vecchia e nuova normativa.

Nella normativa europea cambiano le definizioni ma il concetto base di fondo di dato personale resta il medesimo di quello del “vecchio” Codice Privacy.

La definizione di dato personale è “qualsiasi informazione” che riguarda una persona fisica identificata o identificabile. Quindi il concetto è contraddistinto da: 1. riferimento a una persona fisica; 2. qualsiasi informazione come concetto onnicomprensivo, che comporti un collegamento logico con l’interessato.

Per esempio anche le valutazioni del datore di lavoro sul personale dipendente (dati valutativi) sono considerati dati personali cosi come i dati raccolti da un sistema di geolocalizzazione, perché ciò che rileva è appunto l’astratta possibilità di risalire alla persona determinata che conduceva il veicolo in un certo momento.

Il Regolamento Europeo specifica i criteri di identificazione definendo anche categorie prima non espressamente indicate dalla legge quali i dati biometrici e genetici.

La caratteristica principale del dato personale è la sua idoneità a identificare una persona fisica.

Anche solo la identificabilità è espressione del concetto di dato personale, infatti la riconducibilità con una persona fisica è possibile utilizzando il collegamento con altri dati.

L’unico concetto non riconducibile al dato personale tutelato dalla normativa è quello anonimo, usato per esempio a fini statistici il quale non consenta più la riconducibilità a alcuna persona fisica.

 

I dati particolari. Art. 9 GDPR.

Nella macrocategoria di dati personali troviamo alcune sottocategorie quali appunto i dati cosiddetti particolari tra cui vi rientrano i dati genetici, biometrici e relativi alla salute.

Vi troviamo in questa sottocategoria anche quelli che erano definiti “sensibili” dalla vecchia normativa quali l’orientamento sessuale, origine razziale ecc.

 

Cosa intendiamo per dati relativi alla salute? E i dati genetici?

Sono tutti quei dati attinenti alla salute fisica e psichica di una persona fisica, compresa la prestazione dei servizi di assistenza sanitaria ol’anamnesi medica.

I dati genetici sono quelle informazioni relative a caratteristiche genetiche ereditarie o acquisite tramite analisi dei cromosomi che forniscono informazioni univoche sulla fisiologia o sulla salute della persona fisica.

 

I dati biometrici.

Sono dati personali ottenuti da un trattamento tecnico specifico che ne consentono l’identificazione univoca (come ad es. immagine facciale o dati dattiloscopici).

I sistemi biometrici possono essere interattivi (quali ad esempio la scansione della retina o l’apposizione della firma autografa) laddove l’interessato abbia un ruolo appunto attivo invece sono detti passivi quei sistemi che raccolgono il dato biometrico senza che l’interessato ne abbia percezione (acquisizione immagine del volto o registrazione della voce).

 

Gli indirizzi IP sono dati personali?

Secondo la normativa europea gli indirizzi IP sono qualificati come dati personali. La Corte di Giustizia Europea nel 2016 (causa C/582-2014) ha chiarito il caso in cui l’indirizzo di protocollo internet deve essere considerato dato personale. La Corte nel caso in esame era chiamata a esprimersi in particolare sugli indirizzi IP dinamici, ovvero quelli caratterizzati dalla loro modifica ad ogni nuova connessione internet dell’utente. In questo caso si affermava che qualora fosse possibile accedere alle informazioni aggiuntive di cui il fornitore di servizi media on line disponesse, allora anche l’indirizzo IP dinamico doveva essere considerato un dato personale rendendo appunto identificabile la persona fisica.

Rispetto poi all’ISP (Internet Service Provider) sicuramente la persona fisica è identificabile in base al contratto stipulato con la stessa.

 

Dati relativi a condanne penali e reati. Art. 10 GDPR

Non dimentichiamo che sono dati personali anche i cosiddetti dati “giudiziari” che possono rilevare l’esistenza di provvedimenti giudiziari soggetti a iscrizione nel casellario o la qualità di imputato o indagato. Il Regolamento europeo  ricomprende tra questi anche i dati relativi alle condanne penali a reati e misure di sicurezza.

 

 

Avv. Francesca Ariodante

Molti datori di lavoro hanno l’esigenza, legata a finalità di sicurezza o organizzative, di prevedere, tramite installazione di apparecchi sui veicoli, la geolocalizzazione e quindi il monitoraggio del mezzo utilizzato dal lavoratore per effettuare la prestazione lavorativa.

Recentemente la Commissione per la protezione dati irlandese ha emanato alcune utili linee guida che hanno chiarito numerosi punti oscuri del trattamento in questione.

Innanzitutto si chiarisce che i dati relativi alla posizione del veicolo aziendale nel momento in cui siano riconducibili a un individuo identificabile sono dati personali ai sensi della normativa Europea in quanto espressione di comportamenti del soggetto monitorato.

Partendo dalla premessa che non è consentito ai sensi della normativa giuslavoristica il monitoraggio generalizzato del personale, vediamo le regole rigorose che il titolare- datore di lavoro deve seguire qualora voglia implementare un controllo sul veicolo aziendale e quindi sugli spostamenti del dipendente.

Innanzitutto occorre individuare la base giuridica (condizione di liceità del trattamento ai sensi dell’art 6 GDPR).

Tale condizione non potrà quasi mai essere costituita dal consenso del dipendente in quanto questo non sarebbe libero e incondizionato, vista l’asimmetria negoziale che caratterizza il rapporto datore di lavoro-dipendente.

Esempi corretti di basi giuridiche potranno invece essere un obbligo legale (es. la presenza sul mezzo di un tachigrafo), oppure il legittimo interesse.

Attenzione però all’uso della base giuridica del legittimo interesse: infatti l’art. 6 lettera f del Regolamento UE 679/2016, impone un bilanciamento con i diritti e le libertà fondamentali degli interessati. Pertanto occorre che lo scopo del tracciamento del veicolo sia limitato alla finalità perseguita dal datore di lavoro e sia effettuato nel rispetto dei principi di minimizzazione e di limitazione. Inoltre da non dimenticare che ex art. 21 GDPR l’interessato ha sempre il diritto di opporsi e il datore potrebbe procedere al trattamento solo qualora dimostri motivi cogenti oppure legati all’esercizio di un diritto in sede giudiziaria.

Lo scopo quindi del monitoraggio deve essere ben esplicitato prima della installazione di qualsiasi apparecchio gps o simili e in ogni caso i dati raccolti non devono essere utilizzati per finalità diverse da quelle esplicitate.

Inoltre il datore di lavoro deve rispettare anche il principio di necessità e quindi qualora la finalità sia individuata nella sicurezza per evitare furti dei veicoli, occorre specificare che non vi siano altri sistemi meno invasivi della libertà personale del dipendente.

Altrettando basilare è l’informativa che deve essere data ai dipendenti in modo chiaro e trasparente prima che inizi il trattamento, indicando altresì per quanto tempo i dati vengono conservati e il soggetto che potrà visionarli. Come già suggerito dal Gruppo WP29 (Opinion 2/2017) tale adempimento può essere soddisfatto per esempio mediante affissione di un cartello/informativa ben visibile sul cruscotto del veicolo lato conducente.

Infine è obbligatorio per il datore effettuare una valutazione di impatto (DPIA) ex art. 35 par. 1 prima di iniziare il trattamento in quanto lo stesso “può presentare un rischio elevato per i diritti e libertà delle persone fisiche” e questo caso è l’ipotesi di trattamento che incide su una categoria di soggetti vulnerabili quali sono i lavoratori e sicuramente integra un monitoraggio sistematico di dati particolarmente sensibili quali la rilevazione della posizione geografica.

Alcuni problemi pratici: se il veicolo monitorato è di proprietà privata, occorre assolutamente che il monitoraggio della posizione sia limitato strettamente all’orario di lavoro.

Il datore dovrebbe inoltre prevedere la possibilità di un accesso alla posizione solo in maniera eccezionale, magari nel momento in cui venga rilevata un’anomalia del percorso del lavoratore o la fuoriuscita dall’ambito consueto di svolgimento dell’attività lavorativa.

Infine, ma non per importanza, dovrebbe essere prevista una modalità semplice di disattivazione del monitoraggio qualora soprattutto il veicolo sia utilizzato anche per uso privato con previsione di formazione specifica dei dipendenti sul meccanismo di funzionamento del sistema e sua disattivazione.

In conclusione, come ben si comprende, implementare un sistema di geolocalizzazione dei mezzi aziendali a norma GDPR impone un’attenzione particolare in tema di data protection per l’alto rischio intrinseco di impatto sui diritti e libertà dei soggetti monitorati.

 

Avv. Francesca Ariodante

In base all’art. 6 1° comma del Regolamento 679/2016 (GDPR) il trattamento è lecito solo se e nella misura in cui ricorra almeno una delle condizioni di liceità indicate.

Il consenso è solo una delle basi giuridiche e rispetto alla impostazione precedente l’entrata in vigore del Regolamento, perde il suo ruolo centrale.

Nell’ attività lavorativa capiamo bene che il consenso non può costituire una base giuridica rilevante in quanto sussiste una evidente asimmetria negoziale tra le posizioni del datore di lavoro e del lavoratore. Quindi troveranno corso altre basi giuridiche quali ad esempio la base contrattuale (vedi il trattamento relativo per l’elaborazione dei cedolini paga), oppure l’obbligo di legge (vedi comunicazioni di dati a Enti previdenziali e /o assicurativi o per la tenuta del Libro Unico del Lavoro).

Può esservi anche il legittimo interesse come base giuridica, ma in tal caso occorre effettuare un bilanciamento degli interessi del datore con i diritti e libertà dei lavoratori e spesso effettuare una DPIA (valutazione di impatto) ovviamente lasciando al lavoratore il diritto di opposizione.

Effettuare un bilanciamento per esempio vuol dire, nel momento in cui il datore di lavoro intende adottare dispositivi per tracciamenti o geolocalizzazione, applicare il principio di minimizzazione in modo che il trattamento impatti il meno possibile sui diritti dei lavoratori.

Art. 4 dello Statuto dei Lavoratori e controlli difensivi.

Un argomento che interessa molto le aziende e i suoi titolari riguarda proprio l’impatto della normativa giuslavoristica su quella della protezione dei dati dei lavoratori e come poter implementare sistemi di controlli che siano normativamente consentiti.

Prima della riforma, l’art. 4 della L.300/70 vietava l’uso di impianti audiovisivi per finalità di controllo a distanza dei lavoratori. Post riforma, avvenuta con il D.lgs 151/2015 l’articolo prevede che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro, e per la tutela del patrimonio aziendale…” e possono essere installati previo accordo collettivo o in mancanza con autorizzazione delle sede territoriale dell’ispettorato nazionale del lavoro. Dopo la riforma al comma 2 si prevede che esulano dalla disciplina del 1 comma gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e gli strumenti di registrazione degli accessi e delle presenze.

Inoltre il comma 3 prevede che le informazioni raccolte ai sensi dei commi 1 e 2 siano utilizzabili a tutti i fini connessi al rapporto di lavoro (poteri disciplinari e direttivi del datore) purché sia data ai lavoratori adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli.

Ricapitolando le tipologie di controllo lavorativo in Italia sono: i controlli difensivi elaborati dalla giurisprudenza che sono leciti e volti a prevenire o accertare attività illecite quindi estranee all’attività lavorativa; i controlli a distanza considerati illeciti in quanto volti a sorvegliare con “strumenti” lo svolgimento (incluso il quantum) dell’attività lavorativa. Infine i controlli per finalità lecite ovvero cosiddetti controlli preterintenzionali volti a soddisfare esigenze di sicurezza del lavoro, organizzative e produttive e tutela del patrimonio aziendale: questi controlli sono leciti solo se approvati da rappresentanze sindacali o in mancanza autorizzati da soggetti istituzionali (oggi INL). Come detto a seguito della riforma oggi vi sono dei controlli ammessi anche senza accordo/autorizzazione, solo ove si tratti di strumenti utilizzati per rendere la prestazione lavorativa o che servano alla registrazione di accessi e presenze.

Quindi cosa cambia con il Jobs Act? Scompare la formula del divieto assoluto di strumenti di controllo a distanza ma di fatto il divieto sussiste sempre attraverso la previsione di uniche finalità che giustificano tale controllo ovvero: esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale e solo previo accordo/autorizzazione. Esulano solo dall’autorizzazione preventiva gli strumenti necessari per svolgere la prestazione lavorativa.

Cosa si intende per strumenti per rendere la prestazione lavorativa?

Secondo una nota del Ministero del Lavoro del 2015 si farebbe riferimento a pc/tablet e cellulari. Ma attenzione perché il Ministero precisa che “nel momento in cui tale strumento viene modificato” (es. con aggiunta di software di localizzazione o filtraggio) occorre l’accordo sindacale o autorizzazione amministrativa.

L’ispettorato Nazionale del lavoro con la circolare 2/2016 dà alcune indicazioni ad esempio sugli impianti GPS: si richiede previo accordo sindacale o in assenza previa autorizzazione da parte dell’INL in quanto ritenuti strumenti non essenziali per rendere la prestazione lavorativa ma per esigenze di altra natura quali di carattere assicurativo, organizzativo e per garantire la sicurezza sul lavoro.

La circolare 4/2017 invece ha chiarito che, in relazione all’installazione e utilizzazione di strumenti di supporto per l’attività ordinaria dei call center, ovvero sistemi di gestione quali il CRM (Customer Relationship Management), essi vengono definiti come meri strumenti che servono per rendere la prestazione, prescindendo sia dall’accordo sindacale che dall’autorizzazione amministrativa.

Mentre i software che in tempo reale consentono di raccogliere e elaborare i dati dell’attività telefonica dell’operatore (tempi di evasione, pause, ecc.) consentono un monitoraggio continuo e costante su tutti gli operatori non rientrano in strumenti utili per rendere la prestazione lavorativa e in questo caso non si ravvisano nemmeno le esigenze organizzative e produttive tali da rilasciare l’autorizzazione amministrativa o l’accordo sindacale.

Per i badge e i sistemi di accesso all’area lavorativa?

Questi strumenti possono essere utilizzati tranquillamente senza previo accordo sindacale o autorizzazione amministrativa ma ciò non fa venire meno il rispetto dei principi in tema di privacy e gli obblighi informativi in ordine ai rischi del controllo e alle conseguenze per il lavoratore.

E la Videosorveglianza?

Il provvedimento in materia di videosorveglianza del Garante è datato 8.04.2010 e prevede che non devono essere effettuati controlli a distanza al fine di verificare l’osservanza dei doveri di diligenza e la correttezza nell’esecuzione della prestazione lavorativa. Qualora venga in azienda installato un impianto, giustificato dalle finalità consentite, vi è obbligo di informativa scritta al personale dipendente prima della messa in funzione dell’impianto con indicazione sul posizionamento delle telecamere e sulle modalità di funzionamento.

La conservazione delle immagini inoltre deve essere limitata alle 24 ore.

Il sistema deve essere programmato per la cancellazione automatica delle informazioni allo scadere del termine previsto.

Quindi è fuori di dubbio che la raccolta, la registrazione, la conservazione e in generale l’utilizzo di immagini  configurano un trattamento di dati personali come semplicemente la ripresa di una immagine con un videocitofono. Per prima cosa quindi è necessario informare, con appositi cartelli informativi, che l’area è sottoposta a videosorveglianza.

Ricordiamo che per l’ambito privato (parere del 7.03.2017 n°113990) è stabilito che è possibile installare sistemi di videosorveglianza purché non siano inquadrati luoghi di pubblico passaggio, strade ecc. mentre non ci sono limitazioni per telecamere interne.

Problemi invece sorgono per il titolare di un’azienda che voglia installare un impianto di videosorveglianza.

L’azienda sinteticamente deve:

Esporre informativa minima.

Avvisare i dipendenti e utenti con elementi di cui all’art. 13 GDPR;

Nominare i soggetti addetti alla visione delle immagini quali responsabili esterni del trattamento.

Si segnalano le recenti linee Guida 3/2019 emanate dall’EDPB nelle quali si parla di principio di minimizzazione e di necessità: quindi non è sufficiente affermare che le telecamere siano installate per ragioni di “sicurezza”. Per ricorrere alla videosorveglianza la base giuridica può essere il legittimo interesse del titolare ma deve essere ben documentato come un interesse reale e attuale (es. dimostrando che trattasi di zona pericolosa, con precedenti incidenti ecc.)oppure in caso di trattamenti esercitati per interesse pubblico o esercizio di pubblici poteri. Quanto al principio di minimizzazione occorre limitare il più possibile le videoriprese; in ottica by design e by default occorre per esempio installare telecamere funzionanti solo di notte e al di fuori degli orari di lavoro (se il fine è la difesa dai furti) e se occorre riprendere aree non pertinenti alla proprietà occorre “pixellare” le immagini delle aree non rilevanti.

Quanto al periodo di conservazione il Garante italiano ritiene coerente il termine di 24 ore mentre per la conservazione più lunga occorrono esigenze motivate (es. intraprendere azioni legali).

Quanto alla informativa si parla di due livelli: un primo segnale di avvertimento può prevedere solo un’icona comprensibile relativa al tipo di trattamento posizionato ad una distanza ragionevole dal sistema video e all’altezza degli occhi e occorre indicare i dati del titolare del trattamento, eventuale DPO e diritti degli interessati e le finalità oltre che al richiamo alla seconda informativa anche tramite Qr code o link web.

Quest’ultima informativa deve essere più completa di informazioni e reperibile all’ufficio informazioni, o luogo accessibile e può essere un foglio, un poster oppure ancora meglio reperibile tramite web o Qr code leggibile da smartphone.

Quindi attenzione all’utilizzo dei vecchi cartelli relativi alla videosorveglianza che riportano il riferimento al D.lgs 196/2003! Devono essere sostituiti e l’apposizione degli stessi non è comunque sufficiente per essere in regola con le ultime disposizioni normative.

 

Avv. Francesca Ariodante

L’emergenza sanitaria in corso, a causa della pandemia da Covid- 19, ha obbligato le aziende e molti piccoli imprenditori ad adottare la modalità di lavoro da casa, o come tutti abbiamo imparato a dire in modalità “smart working”.

Peraltro è lo stesso governo che nel DPCM dell’11 Marzo 2020 raccomanda il massimo utilizzo di questa modalità di lavoro agile per le attività che possono essere svolte al proprio domicilio o in modalità a distanza. La definizione di smart working (modalità di esecuzione del rapporto di lavoro subordinato caratterizzato da assenza di vincoli orari o spaziali e un’organizzazione per fasi, cicli e obiettivi) è contenuta nella Legge n. 81/2017 e pone l’accento sulla flessibilità organizzativa, sulla volontarietà delle parti che sottoscrivono l’accordo individuale e sull’utilizzo di strumentazioni che consentano di lavorare da remoto( es. pc portatili, tablet, smartphone ecc.).

L’adozione di queste misure è aumentata in modo esponenziale con l’emergenza sanitaria e se da un lato ciò ha comportato la possibilità, seppur con difficoltà in alcuni settori, di mantenere quella business continuity necessaria per la vita di un’azienda, dall’altro ci si è accorti  che la modalità di lavoro agile se effettuata in assenza (quasi) totale di misure di sicurezza adeguate al rischio, si trasforma in un pericolo enorme e quasi come un boomerang si ritorce contro l’azienda stessa potendo provocare danni anche ingenti di natura economica.

Vediamo perché.

E’ bene sottolineare che un modello operativo in smart working non si improvvisa da un giorno all’altro e necessita di uno studio appropriato e una consulenza da parte del team aziendale sia lato legal sia lato IT. Infatti non è sufficiente prevedere un semplice collegamento da remoto alle risorse aziendali, ma occorre adottare un vero e proprio modello di lavoro diverso.

Da tenere conto poi che nel momento storico attuale della pandemia, tale modalità di lavoro non ha interessato solo i dipendenti dell’azienda ma anche i responsabili della sicurezza informatica che si sono ritrovati a gestire da remoto numerosi incidenti di sicurezza, purtroppo aumentati notevolmente in questo periodo.

I criminal hacker infatti non hanno perso tempo e hanno approfittato di questo momento di poca preparazione in questo settore per colpire sempre di più risorse aziendali e gli strumenti utilizzati dai dipendenti soprattutto quando il lavoro svolto dall’abitazione è in modalità BYOD ( Bring Your Own Device), cioè con utilizzo dei device dei dipendenti e non di proprietà dell’azienda.

Nel contesto normativo legato alla protezione dati personali (GDPR) e del D.lgs 231/2001, che prende in esame numerosi reati informatici che hanno fatto ingresso nel 2008, possiamo ben comprendere l’elevato rischio sanzionatorio dell’azienda di fronte ad un attacco informatico, oltre che la ricaduta in termini di danno economico e reputazionale.

QUALI SONO I PROBLEMI LEGATI ALLA SICUREZZA INFORMATICA?

Nello specifico il rischio maggiore è insito nell’allargamento del perimetro della rete all’interno della quale vengono scambiate informazioni, anche sensibili, o comunque dati riservati legati al business aziendale. Questo fenomeno è ancora più esteso a seguito dell’utilizzo di piattaforme in cloud che hanno “smaterializzato” la gestione dei server interni aziendali e delocalizzato il salvataggio di molti dati.

Ancora di più nello smart working il rischio è evidente in quanto non vi è la protezione della rete aziendale, con presenza di firewall e altre difese (basti pensare al dipendente che si collega alla rete wi fi della propria abitazione, utilizzando router facilmente attaccabili dai pirati informatici.)

Il rischio di un approccio improvvisato è enorme:anche sistemi di videoconferenza spesso possono essere facilmente oggetto di attacchi e quindi di perdita di riservatezza e violazione della privacy, qualora vi siano scambi di dati di persone fisiche.

Per non parlare della totale mancanza di preparazione del dipendente che si trova improvvisamente proiettato in una dimensione di lavoro “casalinga”, magari apprezzata in un primo tempo ma che se priva di istruzioni e policy da seguire può essere davvero pericolosa per l’azienda stessa. Pensiamo per esempio al numero di data breach causati da invio di informazioni sensibili a destinatari errati o ancora peggio condivisione in modalità non appropriata di documenti.

Ad oggi la modalità di lavoro agile strutturata e progettata in modo sistematico in Italia è adottata solo da pochissime grandi aziende; per il settore delle PMI (piccole e medie imprese) circa il 65% di queste non ha mai preso in considerazione l’aspetto dello smart working e quindi manca totalmente una infrastruttura tecnico informatica adeguata.

Con l’emergenza  Covid –19 vi è stato un proliferare di aziende in smart working, ma proprio perché totalmente impreparate, questo si è tradotto in un drammatico e esponenziale processo di attacchi di cybercrime soprattutto attraverso fenomeni di phishing e tecniche di social engineering che sono in aumento clamoroso ( + 81,9 %) secondo uno studio recente.

COME DIFENDERSI?

Le aziende che quindi intendono implementare questa modalità di lavoro, non solo limitandola al periodo di emergenza sanitaria, devono assolutamente programmare con il reparto IT o specialista di sicurezza informatica interventi mirati a configurare correttamente il lavoro agile.

Tra gli strumenti adottati vi è per esempio quello del protocollo RDP (Remote Desktop Protocol) ovvero con collegamento da remoto ai server aziendali; tale soluzione però deve essere configurata correttamente altrimenti il sistema è esposto a Internet e quindi agli attacchi dei criminali.

Un’altra soluzione può essere creare una infrastruttura desktop virtualizzata con una gestione centralizzata delle policy e maggiore controllo sulle attività.

La soluzione migliore sarà adottata di concerto con il responsabile della sicurezza informatica, a seconda delle esigenze e ovviamente delle risorse economiche della impresa, ma quello che è certo è che sempre di più occorre investire nel settore della sicurezza informatica, con previsione di tecniche e misure di sicurezza quali ad esempio la crittografia o cifratura.

Non meno importante è l’aspetto della redazione di policy sulla sicurezza informatica nel lavoro agile sulla quale tutti i dipendenti devono essere edotti e formati costantemente.

La cultura e la formazione sulla sicurezza è la prima misura per difendersi, soprattutto in un momento particolare come questo che stiamo vivendo della pandemia. Molti attacchi informatici sfruttano infatti l’emergenza sanitaria per sviluppare nuove tecniche di attacco basate sulla richiesta di informazioni circa il coronavirus.

Fondamentale infine è assicurare la comunicazione costante del dipendente in smart working con il supporto IT, soprattutto nel momento in cui si verifica un incidente di sicurezza.

In conclusione ora più che mai occorre sviluppare una cultura e una sensibilizzazione sulla sicurezza informatica perché essa è strettamente correlata al business aziendale.

 

Avv. Francesca Ariodante

Premessa
Nell’epoca dell’Industria 4.0 è basilare per le aziende trattare e affrontare il tema della sicurezza dei dati e delle informazioni digitali e quindi in generale il tema della sicurezza informatica.
Essa può essere definita come “l’insieme delle misure, di carattere organizzativo e tecnologico, atte a garantire l’autenticazione dell’utente, la disponibilità, l’integrità e la riservatezza delle informazioni e dei servizi, gestiti o erogati in modo digitale”.
Troppo spesso viene trascurato l’aspetto della sicurezza dell’IT (Information Technology) e non ci si rende conto che il mancato investimento in questo settore, può portare a gravi danni economici anche alla luce dei principi introdotti dal Regolamento Europeo 679/2016 e delle sanzioni in esso previste.
Chi investe in risorse e formazione sul tema della sicurezza informatica ha davvero compreso la chiave del business aziendale del futuro.
Partiamo da un dato certo: il rischio legato alla sicurezza informatica non è eliminabile in assoluto; nessuna azienda, per quanto dotata di esperti di cybersecurity potrà escludere al 100% i rischi causati dall’uso della rete, questo perché la velocità con cui cambiano i sistemi e i software corre in parallelo con i nuovi bug e i processi di vulnerabilità della rete stessa.
Come può allora l’azienda difendersi? Quali sono le principali strategie per affrontare il rischio e quindi rispettare la normativa GDPR, che richiede al titolare del trattamento di porre in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio? (art. 32 GDPR)
Partiamo da un dato certo: la principale causa di violazioni della sicurezza informatica oggi è rappresentata dalla mancanza di formazione del personale dipendente e quindi dall’errore umano.
Appare banale a prima vista ma in realtà nel maggior numero dei casi in azienda il primo fattore che causa falle nella rete aziendale è proprio il fattore umano, rappresentato dal dipendente distratto o poco istruito oppure addirittura dal cosiddetto insider (attaccante interno all’azienda) che volontariamente commette una violazione del sistema.
Fondamentale quindi è impostare una valida politica interna sulla corretta gestione dei sistemi informatici.
Tra le best practice raccomandate anche dai consulenti privacy e DPO in sede di verifica della compliance al GDPR, vi è quella di redigere, con l’aiuto anche del responsabile IT, un vademecum operativo o un regolamento interno, chiaro e funzionale, rivolto al personale dipendente meglio se accompagnato anche da un evento formativo ad hoc, sull’uso dei dispositivi e delle password e della rete internet, corredato anche dall’analisi delle principali minacce provenienti dalla rete.
Occorre programmare la formazione del personale dipendente in modo continuativo in quanto l’uso della rete rappresenta sicuramente una risorsa ma va saputa gestire, evitando ad esempio di scaricare software non autorizzati dall’azienda o peggio ancora essere vittime di attacchi di social engineering con il rischio di provocare danni economici anche molto pesanti all’azienda. Non dimentichiamo poi che il verificarsi di data breaches impone, ai sensi degli art. 33 e 34 GDPR, la notifica al Garante e in alcuni casi la comunicazione agli interessati con ricadute sulla reputation aziendale.
Occorre quindi che il titolare dell’azienda per primo si faccia portavoce della “cultura della sicurezza informatica” che diventa principio fondamentale nel GDPR e la cui violazione espone a gravi e pesanti sanzioni l’azienda.
Altra best practice è quella della mappatura dei trattamenti con individuazione delle misure di sicurezza al fine di una minimizzazione del rischio.
Molte aziende ad esempio scelgono di utilizzare software più o meno sofisticati per il rilevamento delle intrusioni e per testare il proprio sistema, che attuino anche un filtraggio dei contenuti (sistemi firewall più o meno complessi e strutturati) in aggiunta ovviamente a programmi aggiornati di antivirus, antispyware e antispam. Partendo dalla consapevolezza della importanza della sicurezza informatica in azienda, sarà possibile costruire un sistema economico saldo e forte; in assenza invece della presa di coscienza dell’importanza di tale aspetto, si rischia di affidare il futuro della economia a rischi potenzialmente sempre maggiori.
Vediamo insieme una breve check list per le aziende, stilata di recente in occasione dell’Italian Cybersecurity Report presentato alla Sapienza di Roma rivolto alle micro, piccole e medie imprese ricordando che la validità delle misure di sicurezza è limitata nel tempo e che basilare è la continua revisione dei processi, mediante un sistema ciclico e iterativo, proprio per intrinseca costante evoluzione degli attacchi informatici.
1 – Redigere elenco dei software e dispositivi in uso, tenerli aggiornati e verificarne l’uso quotidiano. Raccomandata una nomina interna di un responsabile per la gestione dei sistemi informatici e per il coordinamento delle attività di gestione delle informazioni e dei sistemi.
2 – Gestione delle reti – utilizzo di sistemi di autenticazione e autorizzazione informatica, salvataggio dati almeno con frequenza settimanale e gestione delle procedure di ripristino e di business continuity e disaster recovery.
3 – Protezione dai malware – Adozione di filtri, antispam, antivirus e altri controlli di sicurezza. Basilare è l’ausilio e il confronto con il responsabile del reparto IT.
4 – Gestione password e account – importante è la politica di gestione delle password, che devono essere modificate con frequenza, mai condivise, con verifica costante di chi accede ai vari operativi. Importante laddove si accede a sistemi che trattano dati personali è prevedere un sistema di autenticazione a due fattori, esempio password + sms, oppure email di conferma.
5 – Formazione e consapevolezza – Misura di sicurezza fondamentale e molto spesso invece trascurata è la formazione del personale. Il consiglio degli esperti di sicurezza è quello di prevedere annualmente un format di corsi adeguati in relazione ai compiti, ai ruoli e alle funzioni del personale aziendale.
6 – Backup dati e procedure di ripristino in casi di incidenti di sicurezza. Il backup è fondamentale per evitare il pagamento di riscatti (a volte anche inutili) per riottenere la disponibilità dei dati criptati a seguito di attacco informatico. Occorre verificare che le copie siano integre e complete.
7 – Protezione delle reti – attraverso sistemi di firewall, strumenti hardware e software che consentono di bloccare flussi di dati illeciti. Utilizzo di sistemi di IDS (Intrusion Detection System) per prevenire intrusioni non autorizzate e sistemi di filtro delle mail.
8 – Prevenzione – Attraverso uso corretto delle licenze software e aggiornamenti, campagne di formazione e utilizzo di personale qualificato.
Dall’analisi della checklist si nota come si tratti di consigli apparentemente semplici da realizzare, con costi che variano a seconda delle dimensioni aziendali, ma che sicuramente rappresentano un investimento imprescindibile, se rapportato ai danni potenziali che queste misure possono contrastare.

CONCLUSIONI
Nessuno può dirsi al riparo dagli attacchi cyber, in quanto inevitabilmente il maggiore sviluppo delle tecniche digitali e dell’utilizzo di internet, anche nella Pubblica Amministrazione, porta con sé l’aumento del rischio connesso all’uso della rete. Per primi gli Stati e i loro governi devono porre al primo punto delle agende quello della sicurezza informatica, unendo gli sforzi per proteggere il sistema e per sensibilizzare il mondo delle imprese che altrimenti rischia di essere fragile.
I principi della Cybersecurity, in conclusione, devono imporsi alla base (by default e by design per riprendere il principio del GDPR) di ogni nuovo progetto di sviluppo tecnologico per non vanificare gli sforzi e i risultati ottenuti dal progresso stesso e devono essere parte integrante della cultura aziendale e del business.

Avv. Francesca Ariodante

Molti candidati si pongono la seguente domanda: è necessario inserire nel proprio CV la formula che autorizza il ricevente al trattamento dei propri dati personali?
Vediamo di fare chiarezza sul tema.

Alla luce del GDPR e dell’attuale Codice della Privacy possiamo dire con certezza che non è più necessaria alcuna formula di autorizzazione per consentire di trattare i dati personali o particolari (ex sensibili) presenti nel curriculum vitae. Quindi continuare a inserirla vuol dire scarsa conoscenza della normativa.

Infatti fin dalla versione ante modifiche del D.lgs 196/2003, dopo emanazione di un D.L. del 2011 poi convertito in L. 70/2011, era previsto espressamente che non occorreva il consenso per i dati contenuti nei curricula “qualora la trasmissione fosse effettuata dagli interessati ai fini di eventuale instaurazione di rapporto lavorativo (art. 24 comma 1); e ciò anche per i dati sensibili (art. 26 comma 3 lett. b- bis).

Onere del titolare era quello di fornire, anche oralmente, una informativa al primo contatto successivo all’invio spontaneo del CV da parte del candidato.

Quindi già dal 2011 la formula posta sui CV non è corretta, in quanto espressione di un consenso non consapevole perché in caso di candidatura spontanea il titolare non è certo messo nelle condizioni di rendere l’ informativa preventiva.

Anche il Garante nel 2013 affermava che è assolutamente superfluo chiedere al candidato il consenso al trattamento dei dati personali contenuti nel curriculum.

Queste considerazioni sono valide per i casi di CV spontaneamente trasmessi oppure nelle ipotesi in cui si richiede espressamente invio di candidature con la formula “lavora con noi, invia il tuo CV” in quanto in questi casi la candidatura è equiparabile a invio spontaneo.

Per gli annunci di lavoro e di posizioni aperte che costituiscono offerte di lavoro vere e proprie con compilazione di un form la regola da seguire è inserire già nell’annuncio l’informativa privacy al candidato (su modalità, finalità, tempi di conservazione del cv ecc..) mentre il consenso al trattamento sarà correlato alla risposta all’annuncio di lavoro che rappresenta già un valido consenso ai sensi dell’art. 4 (11) del GDPR consistendo in una dichiarazione positiva inequivocabile che i propri dati siano oggetto del trattamento. Quindi anche in questi casi la formula di autorizzazione può essere tranquillamente estromessa dai cv.

COSA PREVEDE L’ATTUALE CODICE DELLA PRIVACY?

Gli articoli 24 e 26 sopra richiamati sono stati eliminati con il D.lgs 101/2018 e ogni dubbio viene fugato sul punto in quanto l’art. 111 bis afferma che il consenso al trattamento dei dati personali presenti nei curricula non è dovuto qualora ricorrano le finalità di cui all’art. 6 par. 1 lettera B del Regolamento 679/2016 ovvero uno dei casi di liceità del trattamento in particolare “quando il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso.” Vi rientra proprio il caso delle selezioni preliminari al contratto di lavoro. Seppur non si richiami l’art. 9 ( per i dati particolari), si può ritenere che la presenza degli stessi sul CV(es. appartenenza del candidato a categorie protette) sia legittimata dall’art. 9 par. 2 lett. B, ovvero quando il trattamento è necessario per assolvere agli obblighi ed esercitare i diritti specifici del titolare o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale.

L’informativa dovrà essere resa al primo contatto utile, successivo all’invio del CV,ad esempio quando il selezionatore contatterà il candidato per un colloquio.

Se il CV verrà inserito inoltre in una banca dati dovrà essere data l’informativa preventiva, prima della iscrizione alla stessa, specificando modalità, finalità e soprattutto tempi di conservazione dei dati.

TEMPO  DI CONSERVAZIONE DEI CURRICULA– DATA RETENTION POLICY

Il GDPR obbliga i titolari a informare sul periodo di conservazione che non può essere indefinito ma deve essere rapportato alle finalità e non può protrarsi oltre il tempo strettamente necessario per il raggiungimento della finalità della raccolta.

In linea di principio i dati dei condidati devono essere conservati per un periodo congruo che in linea di massima non potrebbe superare il fine della selezione per la posizione lavorativa, pertanto se per una posizione si è trovato il candidato giusto, gli altri cv che sono stati raccolti dovrebbero essere cancellati o per lo meno occorre individuare un periodo massimo che potrebbe essere per esempio 36 mesi dall’inoltro della candidatura. D’altra parte un cv non aggiornato non ha più ragione di essere conservato oltre il termine suddetto.

Nella informativa è importante inoltre esplicitare che i dati potranno essere trattati anche per eventuali posizioni differenti rispetto a quelle per cui è stata inviata la candidatura nell’interesse anche del candidato.

E’ importante quindi effettuare un bilanciamento di interessi in gioco e giustificare sempre secondo il principio di accountability, le scelte effettuate dal titolare.

Avv. Francesca Ariodante

CHI E’ L’AMMINISTRATORE DI SISTEMA?

La figura professionale dell’Amministratore di Sistema (in breve “ads”), pur non essendo espressamente richiamato nel GDPR, è un elemento chiave nelle aziende e ricopre inoltre un ruolo fondamentale ai fini di un’efficace prevenzione dei reati organizzativi (D.lgs 231/2001).

Vale ancora oggi la definizione presente nel provvedimento del Garante del 2008, ancora applicabile in quanto non incompatibile con il Regolamento, quale figura dedicata in ambito informatico alla gestione e manutenzione di impianti di elaborazione o di sue componenti, dei  sistemi software complessi quali ad esempio gli ERP (Enterprise Resource Planning) usati in aziende di grandi dimensioni, reti locali e sistemi di sicurezza sempre che intervengano sui dati personali. Se interno all’azienda sarà designato dal titolare o dal responsabile ex art.2  quaterdecies D.lgs 196/2003.

E’ importante avere chiaro che restano esclusi dalla definizione di amministratori di sistema tutti quei soggetti che solo occasionalmente intervengono in azienda per manutenzioni o guasti del sistema operativo e/o sui software.

VEDIAMO ALCUNE SPECIFICHE FUNZIONI

Tra le funzioni in particolare ricoperte in azienda dall’ads ci sono:

a. Custode delle copie delle credenziali: nello specifico l’ads ha il compito di generare, sostituire e invalidare le parole chiave e i codici assegnati agli incaricati del trattamento;

b. Disattivare i codici identificativi se non utilizzati per oltre sei mesi oppure in caso di perdita di qualifica del soggetto incaricato;

c. Installazione di Programmi Antivirus appropriati, di firewall, assicurandone aggiornamento costante;

d. Predisposizione di copie di backup periodiche, vigilando sulle procedure attivate e sulla conservazione delle stesse in luogo adatto e sicuro;

e. Organizzare e adempiere allo smaltimento degli strumenti elettronici secondo le disposizioni del Garante (del 13.10.2008);

f. Collaborare con il Titolare e il DPO, ove nominato, al fine di attuare le prescrizioni del Garante e fornire un rapporto periodico sulle attività espletate;

g. Organizzare un sistema di accessi logici per tutte le persone fisiche qualificate come amministratori di sistema assicurandosi che gli stessi siano completi, inalterabili e verificabili;

COME SCEGLIERE UN VALIDO AMMINISTRATORE DI SISTEMA? 

I SUGGERIMENTI DEL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Per l’azienda è importante sapere con quali criteri operare la scelta di un ads e soprattutto controllare il suo operato: il provvedimento del Garante sugli amministratori di sistema (provvedimento del 27.11.2008 modificato il 25.06.2009) individua alcune misure organizzative per i titolari per una verifica delle attività dell’amministratore di sistema, tra le quali si ricorda:

1. Valutazione esperienza, capacità, affidabilità in base agli stessi criteri utilizzati per la scelta del Responsabile esterno del trattamento (vedi art. 28 GDPR);

2. Designazione individuale con elenco dettagliato delle aree e settori di attività;

3. I lavoratori dipendenti dell’azienda devono conoscere l’identità degli amministratori di sistema ove trattino i loro dati personali;

4. Verificare almeno una volta l’anno l’operato dell’ads;

BREVE CHECK LIST PER LA COMPLIANCE DELL’ADS

Si fornisce una breve check-list, facilmente verificabile e integrabile, per controllare l’attività dell’ads. L’onere di controllo è espressione del principio di accountability del titolare. Dopo aver risposto alle domande occorre redigere un report e far colmare eventuali lacune all’ads.

Tale verifica può essere posta in essere anche a mezzo di software appositamente sviluppati.

1. E’ stato implementato un sistema di controllo sulle credenziali di autenticazione da parte degli incaricati?

2. Vi è un sistema di access di log per ogni amministratore, conservato per almeno 6 mesi?

3. Come è impostato il sistema dell’accesso ai log, con quali permessi e modifiche?

4. Vi sono istruzioni scritte agli incaricati per la conservazione delle credenziali?

5. Vi è una policy sulla sicurezza e reset delle password?

6. E’ stato predisposto un elenco degli ads?

7. Gli ads hanno tutte le informazioni per configurare i sistemi?

8. E’ stata redatta la policy sulla gestione del Data Breach in azienda?

9. Sono state elaborate procedure di backup, disaster recovery e business continuity?

10. I nomi dagli ads sono stati comunicati ai dipendenti?

AMMINISTRATORE DI SISTEMA IN OUTSOURCING

Molte aziende chiedono se l’ads debba essere solo interno oppure si possa esternalizzare tale funzione. La risposta è che il titolare può nominare un amministratore di sistema esterno, che in tal caso sarà nominato come responsabile esterno del trattamento ai sensi dell’art. 28 GDPR.

Attenzione però: la nomina deve essere individuale pertanto se viene nominata una persona giuridica allora tale società dovrà nominare al suo interno le persone fisiche preposte all’attività redigendo un elenco.

Occorre quindi che i titolari abbiano consapevolezza del ruolo fondamentale che ricopre l’amministratore di sistema e selezionino i candidati sulla base della loro capacità tecnica comprovata con adozione di misure di supervisione e controllo sul loro operato, quali per esempio la verifica della registrazione degli accessi logici effettuati dall’ads.

Avv. Francesca Ariodante

Per molte aziende è fondamentale utilizzare lo strumento delle newsletter, oramai adottato anche da molti professionisti, per poter “fidelizzare” i propri clienti e mantenere un contatto stabile con gli stessi aggiornandoli delle novità dei servizi resi con cadenza stabilita (settimanale/bimestrale ecc.) a scopo quindi prevalentemente informativo e al fine di mantenere e coltivare l’interesse del proprio “pubblico”.

SETTE REGOLE PER EVITARE SANZIONI

Vediamo gli adempimenti da seguire per poter inviare newsletter con tranquillità:

1. Verificare come viene acquisito il consenso della persona fisica. No a caselle prespuntate. Si a possibilità di selezionare temi di interesse;

2. Prevedere un sistema di opt-in ovvero consentire all’interessato di esprimere un primo consenso libero ed esplicito all’iscrizione alla newsletter;

3. Possibilità di inserire meccanismo del Captcha come test per impedire la compilazione del form da parte di un software. Utile per evitare spam o attacchi al server che ospita il form di iscrizione.

4.  Far inserire indirizzo e-mail (unico dato necessario) e cliccare sul tasto “iscrivimi”;

5. Prevedere un sistema di double opt-in, ovvero il meccanismo per il quale l’interessato, dopo aver richiesto l’iscrizione al servizio (primo consenso) riceverà sulla propria e-mail un messaggio automatico del servizio di gestione della newsletter in cui si chiederà di cliccare sul link specifico per confermare l’iscrizione; così si completerà l’iscrizione nel database, assicurando corrispondenza tra chi richiede iscrizione al servizio e il titolare della casella e-mail onde evitare abusi o false iscrizioni.

6. Rendere l’informativa al momento della richiesta di iscrizione con tutte le informazioni di cui all’art.13 GDPR ad esempio prevedendo in calce al form dell’iscrizione questa modalità: “ho letto e compreso l’informativa privacy” e la relativa casella da spuntare, con rimando alla informativa completa. Si consiglia di rendere sempre accessibile tramite link l’informativa completa, in calce ad ogni comunicazione ricevuta;

7. Assicurare il sistema di opt-out: in ogni momento deve essere possibile la cancellazione in modo semplice e gratuito esercitando cosi la revoca, diritto da esplicitare nella informativa e reso possibile con link in calce ad ogni comunicazione.

Il titolare deve porre in essere tutte le misure tecniche adeguate per tenere traccia delle disiscrizioni, in quanto ogni trattamento effettuato successivamente è illecito e passibile di sanzione.

ATTENZIONE AI DATABASE GIA’ IN ESSERE PRIMA DEL 25 MAGGIO 2018.

Per quanto riguarda i dati già posseduti dai titolari, con l’entrata in vigore del GDPR è corretto verificare la modalità di acquisizione del consenso. Occorre quindi controllare se gli utenti presenti nel nostro database si sono iscritti alla newsletter secondo le regole appena viste.

Buona prassi: inviare a tutti gli utenti e mail illustrando le nuove prescrizioni normative e chiedere i loro consensi per continuare a usufruire del servizio di newsletter e/o eventualmente aggiornare le loro preferenze.

RICORDA: IL CONSENSO DEVE ESSERE LIBERO E SPECIFICO PER OGNI FINALITA’

Quasi sempre è lo stesso interessato che chiede l’iscrizione alla newsletter, ma non è così scontato; vi sono casi non infrequenti in cui il sistema messo a punto dai titolari “forza”il rilascio dell’indirizzo e mail oppure peggio il dato viene di default inserito nel database solo perché l’utente ha richiesto una informazione su un prodotto o servizio; oppure pensiamo a scambi di indirizzi e mail non autorizzati tra operatori appartenenti allo stesso settore (es. telefonico): tutti questi esempi non sono corretti!

Occorre quindi verificare sempre per quale finalità l’interessato ha rilasciato il proprio consenso. Se è stato dato per ottenere delle informazioni su un prodotto o servizio, non è consentito utilizzare tale consenso per marketing diretto.

QUALI DATI RACCOGLIERE PER L’INVIO DELLA NEWSLETTER?

Principi introdotti dal GDPR sono quelli di minimizzazione e proporzionalità. Quindi ai fini dell’invio di una newsletter occorre richiedere unicamente il dato necessario e quindi solo l’indirizzo e mail dell’utente, al limite con aggiunta del solo nome/cognome in caso di personalizzazione della newsletter.

Pertanto non sono corretti quei form in cui si richiede per esempio indirizzo/numero di telefono del cliente/stato famiglia/sesso ecc…

IL CONSENSO PER L’INVIO DI NEWSLETTER E’ UTILIZZABILE PER INVIO DI EMAIL MARKETING O PER PROFILAZIONE?

Occorre non confondere il consenso reso per invio delle newsletter con il consenso a ricevere comunicazioni commerciali, oppure per la finalità di profilazione, infatti spesso vengono confuse le diverse finalità che invece richiedono consensi separati. L’utente potrebbe infatti limitarsi ad acconsentire all’invio di sola newsletter periodica ma rifiutare il consenso al marketing diretto cosi come alla profilazione. Subordinare l’invio della newsletter al consenso per invio di comunicazioni commerciali o ancora peggio per la profilazione lo renderebbe non libero e quindi sanzionabile.

IL SOFT-SPAM – UN CASO PARTICOLARE.

L’articolo 130 4° comma del Codice Privacy permette l’invio di comunicazioni commerciali mediante e mail o posta tradizionale ai clienti per pubblicizzare prodotti analoghi a quelli già acquistati dal cliente. La base giuridica è il legittimo interesse del titolare e non il consenso dell’interessato e quindi solo in questo caso se ne può prescindere.

Questa regola non è stata toccata dal GDPR, pertanto in questo caso l’invio della comunicazione è consentito anche senza consenso purché:

1.Il destinatario sia già cliente o ex cliente;

2.La comunicazione riguardi servizi analoghi a quelli oggetto della vendita;

3. Nella informativa sia stata indicata la possibilità di soft spam;

4. Informativa sul diritto di opt out e sui tempi di conservazione dei suoi dati;

Avv. Francesca Ariodante