Privacy Officer DOP: Quando un marchio non tutela! che ne pensate?

Ho lanciato questa provocazione sulla mia pagina FB (https://www.facebook.com/andrea.lisi.948) (e c'è un copioso dibattito in corso in queste ore):

Ma chi è questo "Privacy Officer"? Ed esiste in Italia questa figura professionale??
Corsi per privacy officer! Certificazioni per Privacy Officer! Volumi sul Privacy Officer! e persino proposte di legge per modificare il Codice privacy in attesa che arrivi il Regolamento Europeo che lo dovrebbe prevedere e tarda ad arrivare!
Ma siamo tutti impazziti??? Abbiamo bevuto un po' troppo??
il Codice privacy già prevede (a differenza di ordinamenti giuridici di altri paesi europei) la figura del Responsabile del trattamento dei dati, che opportunamente disegnato per le proprie esigenze aziendali, ben potrebbe assolvere a tutti i compiti del "privacy officer" che prima o poi e forse arriverà!
Intanto abbiamo un ordinamento giuridico piuttosto strutturato ed elastico che permette di disegnare l'organizzazione privacy secondo le proprie esigenze servendosi di uno o più responsabili, interni o esterni. C'è bisogno oggi, in attesa di questo benedetto Regolamento Europeo, di stravolgere quel poco di buono che abbiamo nel Codice Privacy?
C'è bisogno di illudere professionisti che i "privacy officer" oggi esistono in italia certificandoli? 
Non stiamo prendendo in giro il nostro Sistema Paese comportandoci così?
Non basterebbe oggi per certe categorie di trattamento di dati personali prevedere come obbligatoria la figura del responsabile del trattamento di quei dati adeguatamente istruito ed aggiornato sulla normativa e sui suoi adempimenti?
Io sono letteralmente allibito da come si stia con leggerezza parlando di "privacy officer", si stia cercando di imporre questa figura che nell'ordinamento oggi non esiste, certificandone l'esistenza a colpi di corsi (a pagamento) e certificazioni (anch'esse ben retribuite).
Mah...

che ne dite di un bel dibattito pubblico (ovviamente invitando il Garante per la protezione dei dati personali) su questa tematica così attuale e delicata?

Il Garante Privacy prescrive le modifiche al redditometro

L’Autorità Garante per la protezione dei dati personali si è pronunciata sul cosiddetto "redditometro", ma ha prescritto all'Agenzia delle entrate l'adozione di una serie di misure e accorgimenti per ridurre al minimo i rischi per la privacy delle persone e nel contempo rendere lo strumento di accertamento più efficace nella lotta all'evasione fiscale.

In effetti, per calcolare lo scostamento tra i redditi dichiarati e le spese effettuate e per selezionare i contribuenti da sottoporre a controlli, il nuovo redditometro si fonda sul trattamento automatizzato di dati personali in possesso dell'Agenzia delle entrate e sull'imputazione anche di spese presunte, determinate sulla base dell'attribuzione automatica al contribuente di un determinato "profilo". In particolare tale tipo di trattamento, che comporta la "profilazione" dei contribuenti e presenta rischi specifici per i diritti fondamentali delle persone, ha reso necessaria la verifica preliminare del redditometro da parte del Garante.

Nello specifico, il Garante ha previsto che il reddito del contribuente potrà essere ricostruito utilizzando unicamente spese certe e spese che valorizzano elementi certi (possesso di beni o utilizzo di servizi e relativo mantenimento) senza utilizzare spese presunte basate unicamente sulla media Istat.

Inoltre, l'Agenzia dovrà porre particolare attenzione alla qualità e all’esattezza dei dati al fine di prevenire e correggere le evidenti anomalie riscontrate nella banca dati o i disallineamenti tra famiglia fiscale e anagrafica. 

Da ultimo, l’Autorità Garante ha prescritto che il contribuente dovrà essere informato, attraverso l'apposita informativa allegata al modello di dichiarazione dei redditi e disponibile anche sul sito dell'Agenzia delle entrate, del fatto che i suoi dati personali saranno utilizzati anche ai fini del redditometro.

Alcuni garanti europei contro la privacy policy di Google

I Garanti privacy di 5 diversi Paesi dell’UE (Francia, Olanda, Spagna, Germania, Italia) e alcune organizzazioni inglesi accusano Google di non gestire in maniera trasparente i dati dei suoi utenti e di lasciare tuttora nel vago alcune informazioni importanti, come, ad esempio, quanti e quali dati acquisisce sui propri utenti e per quanto tempo li conserva.
Già agli inizi dello scorso anno un Gruppo costituito dalle Autorità privacy dei 27 Paesi dell'UE aveva analizzato la privacy policy di Google per verificare che fosse in linea con i principi enunciati nella direttiva europea 95/46/CE sulla protezione dei dati. In seguito a questa verifica era stato chiesto a Google di adottare, entro 4 mesi, una serie di modifiche per adeguarsi alle disposizioni vigenti. Al termine di questo periodo, in un recente incontro con i rappresentanti dell’azienda, è emerso che la stessa non ha di fatto apportato alcune modifiche sostanziale alla sua privacy policy tra quelle suggerite dalle Autorità dell'Unione. Di conseguenza ognuna delle sei Autorità coinvolte ha aperto un’istruttoria per ulteriori accertamenti nei confronti di Google inc (compreso il nostro Garante privacy, con lo scopo di verificare, in particolare, che la società californiana rispetti i principi di pertinenza, necessità e non eccedenza dei dati trattati e gli obblighi di informativa e consenso).

Conservazione dei dati in seguito alla chiusura degli account Skype: il Garante vuole approfondire la questione.

Successivamente alla nota spedita dal Garante per la protezione dei dati personali, con la quale si chiedevano spiegazioni circa le difficoltà incontrate dagli utenti italiani nel chiudere il proprio account, Skype ha riferito alcune informazioni relative alle procedure adottate in questi casi.

In particolare, Skype ha ammesso che le FAQ (domande frequenti), laddove prevedono che “una volta creato, non è possibile eliminare un account Skype”, contengono delle indicazioni che non informano in maniera adeguata l’utente e si è impegnata, quindi, a fornire delle informazioni più chiare. La società ha specificato, infatti, che è possibile bloccare in via permanente il proprio account Skype rivolgendosi al servizio di supporto tecnico clienti e rendendo, in tal modo, l’account dell'utente non più operativo né visibile da altri. Skype ha annunciato inoltre il proprio impegno a migliorare le procedure per consentire agli utenti di chiudere autonomamente il proprio account.

Il diritto all’oblio, vale a dire il diritto di decidere quali informazioni debbano continuare a circolare nella Rete e quali no, sarà dunque assicurato, ma i chiarimenti forniti da Skype non sono stati comunque sufficienti. Infatti, al Garante permangono ancora dubbi circa la tipologia dei dati conservati dopo la chiusura dell'account e circa i tempi e le modalità di tale conservazione visto che, una volta bloccato, l’account non viene cancellato o distrutto ma rimane in archivio per evitare che in futuro altri utenti possano utilizzare il medesimo nome.

Questi i motivi alla base della decisione del Garante di approfondire ulteriormente e di sollevare la questione nell'ambito del Gruppo di lavoro che riunisce le Autorità della protezione dati europee.

“Social Network: connetti la testa”: nuova iniziativa del Garante per creare più consapevolezza sull’utilizzo dei Social Network

"Quando ti connetti ai social network, connetti anche la testa !"

È questo il consiglio che il Garante per la protezione dei dati personali dà agli utenti dei social network.

Il Garante, in occasione della Giornata Europea della privacy, ha messo a disposizione sul proprio sito web un video di animazione contenente le istruzioni per un uso consapevole dei social network, e un test con venti domande per verificare il grado di conoscenza da parte degli utenti dei principali rischi che si possono correre in rete.

Con questa iniziativa il Garante vuole sensibilizzare e rendere consapevoli gli utilizzatori di social network (tipo Facebook, MySpace, ecc.) del fatto che accanto alle enormi opportunità da essi offerte ci sono anche tutta una serie di rischi da considerare.

Inoltre, l’Autorità ha predisposto un vademecum pensato per aiutare chi intende entrare in un social network, o chi ne fa già parte, a farne un uso consapevole. La guida risponde, infatti, ad alcuni interrogativi che sarebbe bene porsi: “Come tutelare la propria privacy ai tempi di Facebook, MySpace & Co.? Come difendere la propria reputazione, l'ambiente di lavoro, gli amici, la famiglia, da spiacevoli inconvenienti che potrebbero essere causati da un utilizzo incauto o improprio degli strumenti offerti dalle reti sociali?”

La guida è così strutturata:

1. Avviso ai naviganti – contenente degli spunti per riflettere sul funzionamento dei social network e su alcuni dei principali rischi che si possono incontrare;

2. Ti sei mai chiesto? – consistente in una check list che gli utenti dovrebbero controllare prima di pubblicare su Internet i propri dati personali e le informazioni sulla propria vita o su quella delle persone vicine.

3. Consigli per un uso consapevole dei social network -  un vero e proprio decalogo con consigli utili a controllare i pericoli insiti nell’utilizzo dei social network.

4. Il gergo della rete – contenente la spiegazione, non tecnica, di termini informatici o di espressioni che si incontrano con frequenza nei social network.

Il Garante detta un decalogo per la tutela della privacy a scuola

In vista della prossima riapertura delle scuole il Garante privacy ha emanato nei giorni scorsi un decalogo per professori, studenti e genitori allo scopo di garantire anche nelle attività scolastiche una corretta tutela della privacy, contemplando 10 punti, ovvero 10 momenti e situazioni sensibili che necessitano di particolare attenzione e di un comportamento adeguato da parte di tutti i soggetti coinvolti, dall'uso di cellulari e tablet alle telecamere interne all'istituto, dalla pagelle elettroniche ai temi in classe e gli scrutini:

 http://www.garanteprivacy.it/garante/doc.jsp?ID=1922676

Varato il piano ispettivo del Garante Privacy per i prossimi 6 mesi

Il Garante per la Protezione dei Dati Personali ha recentemente definito e reso noto quale sarà il suo piano ispettivo per la seconda metà del 2012. Gli accertamenti del Garante nei prossimi mesi si concentreranno principalmente su “credito al consumo, nuovi strumenti di pagamento gestiti dalle compagnie telefoniche (mobile payment), telemarketing tramite call center, ma anche sistemi informativi utilizzati da enti previdenziali e dall'amministrazione finanziaria”. In particolare i controlli saranno finalizzati a valutare le modalità di trattamento dei dati personali dei cittadini sotto vari aspetti: il tipo di informazione che viene fornita loro sull’utilizzo dei dati, i tempi di conservazione, le misure di sicurezza adottate, il consenso e la notifica al Garante.

Per quanto riguarda invece i prime sei mesi dell’anno, l’attenzione del Garante si è diretta soprattutto al settore telefonico, agli enti previdenziali e alle società che gestiscono banche dati in outsourcing. La maggior parte dei procedimenti sanzionatori avviati in seguito ai controlli effettuati negli scorsi mesi sono stati causati da “omessa informativa, trattamento illecito dei dati, mancato rispetto delle norme in materia di telemarketing, mancata adozione di misure di sicurezza, inosservanza dei provvedimenti dell'Autorità”.

Il Garante Privacy fa chiarezza sulla pubblicazione dell’informativa di un laboratorio radiologico

 Con il provvedimento n.104 del 15 marzo 2012 il Garante della privacy ha imposto allo Studio Radiologico Essepi s.a.s. di Savona di cambiare il modello di informativa e di consenso utilizzato nei rapporti con i loro pazienti.

In particolare, è stato segnalato dal Codacons che nell’informativa utilizzata dalla predetta Società è prevista la comunicazione dei dati raccolti a “società di assicurazione, fondi assistenziali e previdenziali privati o pubblici; banche ed istituti di credito; professionisti e consulenti; società operanti nei settori dei trasporti, spedizioni e comunicazioni; SOGEI spa”.

Nel modello fornito è inoltre precisato che "il conferimento dei dati è obbligatorio per tutto quanto è inerente agli obblighi legali e contrattuali e pertanto l'eventuale rifiuto a fornirli ovvero l'eventuale rifiuto al trattamento potrà determinare l'impossibilità (…) a dar corso ai servizi da voi richiesti". In calce al modello di informativa fornito dalla Società è prevista un'unica manifestazione del consenso dell'interessato "al trattamento ed alla comunicazione dei propri dati per le finalità e nei limiti dell'informativa". Ed è proprio qui che si riscontra la non conformità alla normativa in materia di protezione di dati personali.

Secondo quanto stabilito dall’art.13 comma 1, lett. b) e d) del Codice, l’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa la natura obbligatoria o facoltativa del conferimento dei dati e i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venire a conoscenza in qualità di responsabili o incaricati, e l’ambito di diffusione dei dati medesimi.

Nella fattispecie il garante ha ritenuto illegittima l’informativa e il relativo consenso in quanto l’organismo sanitario privato deve fornire ai propri pazienti, prima della raccolta dei loro dati personali, un’informativa in cui siano indicate in modo analitico le finalità perseguite, distinguendo tra quelle di cura della salute e amministrative a queste strettamente correlate, dalle altre finalità eventualmente perseguite (art.13, comma 1, lett. a) del Codice).

Inoltre, secondo quanto stabilito dall’art.7, comma 4, lettera b) del suddetto Codice, l’interessato ha diritto di opporsi, in tutto o in parte, al trattamento dei dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, senza rinunciare alla fruizione della prestazione medica.