BANCHE DATI SINISTRI E GARANTE DELLA PRIVACY

L'art. 135 del d.lgs. 7 settembre 2005, n. 209 recita:

“(Banca dati sinistri e banche dati anagrafe testimoni e anagrafe danneggiati)

1.  Allo scopo di rendere più efficace la prevenzione e il contrasto di comportamenti fraudolenti nel settore delle assicurazioni obbligatorie per i veicoli a motore immatricolati in Italia, sono istituite presso l'ISVAP una banca dati dei sinistri ad essi relativi e due banche dati denominate «anagrafe testimoni» e «anagrafe danneggiati».

2.  Le imprese sono tenute a comunicare i dati riguardanti i sinistri dei propri assicurati, secondo le modalità stabilite con regolamento adottato dall'ISVAP. I dati relativi alle imprese di assicurazione che operano nel territorio della Repubblica in regime di libera prestazione dei servizi o in regime di stabilimento sono richiesti dall'ISVAP alle rispettive autorità di vigilanza degli Stati membri interessati.
3.  Le procedure di organizzazione e di funzionamento, le modalità e le condizioni di accesso alle banche dati di cui al comma 1, da parte delle pubbliche amministrazioni, dell'autorità giudiziaria, delle forze di polizia, delle imprese di assicurazione e di soggetti terzi, nonché gli obblighi di consultazione delle banche dati da parte delle imprese di assicurazione in fase di liquidazione dei sinistri, sono stabiliti dall'ISVAP, con regolamento, sentiti il Ministero dello sviluppo economico e il Ministero dell'interno, e, per i profili di tutela della riservatezza, il Garante per la protezione dei dati personali.”

Oggi quindi spetta all’Ivass il compito di stabilire le procedure per l’organizzazione ed il funzionamento nonché stabilire le modalità d’accesso alla banca dati dei sinistri, dell’”anagrafe testimoni” e “anagrafe danneggiati” da parte dei soggetti che possano avere un interesse alla suddetta consultazione (imprese di assicurazione ed altri).

L’Istituto per la vigilanza sulle assicurazioni ha, pertanto, chiesto al Garante  una valutazione in merito allo schema di regolamento già predisposto, il cui testo verrà successivamente avviato in pubblica consultazione.

L’Autorità garante si è perciò trovata a dover mediare tra diversi profili di interessi che hanno un certo peso, da un lato tutelare i dati personali dei soggetti che dovessero in qualche modo trovarsi coinvolti a qualunque titolo in un risarcimento danni e dall’altro quello di contribuire a combattere l’odioso fenomeno delle frodi assicurative che, purtroppo, sta subendo negli ultimi tempi una paurosa impennata.

Il Garante si è comunque avvalso, nella valutazione dei contrapposti interessi, dei principi fondamentali di protezione dei dati personali arrivando a formulare alcune osservazioni sul funzionamento delle suddette banche dati che possano dare piena attuazione alla disciplina in esame senza condannare, però, nel contempo la privacy dei soggetti coinvolti.

Occorre tenere conto, peraltro, del fatto che già la banca dati dei sinistri contiene i dati personali relativi a testimoni e danneggiati e che l’Ivass ritiene di poter mantenere l’esistenza di un’unica banca dati allo scopo di non creare confusione nell’utilizzo dell’archivio da parte degli operatori ovvero di causare la dispersione di informazioni delicate (e salva comunque la futura costituzione delle ulteriori due banche dati dell’anagrafe testimoni e anagrafe danneggiati). Ed inoltre bisogna considerare che: “L'Istituto ritiene che la ratio della norma possa essere comunque garantita attraverso la possibilità di rendere consultabili, con "viste separate", le differenti tipologie di dati personali (in ragione anche del soggetto che richiede l'accesso), provvedendo successivamente, all'occorrenza, ad una loro distinta strutturazione logica ed –eventualmente– anche fisica.”

In considerazione di quest’ultimo assunto, e cioè del fatto che il sistema sarebbe strutturato secondo una modalità di accesso a consultazione graduata (da parte di soggetti predisposti) e che, quindi, nel caso dovesse emergere un solo parametro significativo l’impresa assicuratrice non sarà tenuta ad effettuare degli approfondimenti, cosa che invece sarebbe obbligatoria solamente nel caso che emerga più di un “parametro di significatività”.

Così come in ogni caso la consultazione della banca dati da parte delle imprese di assicurazione sarà consentita solo nel momento della gestione della pratica di sinistro, che comunque i dati personali memorizzati saranno conservati per cinque anni dalla data di definizione delle pratiche per poi passare alla gestione dell’Ivass e comunicati per sole esigenze di giustizia. Tutto ciò avverrà comunque nel rispetto dei principi di correttezza, pertinenza completezza e legittimità, i dati verranno registrati per scopi determinati non eccedenti rispetto alle finalità. Decorsi, poi, cinque anni dal passaggio della Gestione all’Ivass i dati che consentono l’identificazione dei soggetti saranno cancellati.

E’ opportuno  però concentrarsi sul fatto che la finalità di queste banche dati è di combattere la frode in ambito assicurativo che tanti problemi causa a livello economico-sociale, un obiettivo importante che, si ritiene, possa giustificare una piccola compressione del diritto alla privacy e comunque è opportuno anche ribadire espressamente la responsabilità dei soggetti preposti alla consultazione per eventuali violazioni dell’utilizzo dei dati archiviati.

In virtù di tutte queste considerazioni l’Autorità Garante per la protezione dei dati personali ha espresso il suo parere favorevole sullo schema di regolamento predisposto dall’Ivass con la raccomandazione, però, di attenersi ai rilievi dalla stessa Autorità sollevati.

Il testo del provvedimento del Garante: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2725053

Scandalo assicurazioni. La denuncia dello "Sportello dei Diritti" violata la privacy di centinaia di migliaia di cittadini con la banca dati sinistri.

L’ennesimo scandalo italiano perpetrato a danno d’inconsapevoli cittadini si sta perpetrando da quando è stata ulteriormente implementata la banca dati sinistri dell’IVASS (l’istituto di vigilanza sulle assicurazioni che ha sostituito l’ISVAP) con le due banche dati denominate «anagrafe testimoni» e «anagrafe danneggiati», in cui confluiscono i dati di centinaia di migliaia di persone “colpevoli” per esempio, di aver assistito ad un sinistro stradale. Perché

forse non tutti sanno che non solo chi ha subìto o cagionato un sinistro, ma per il solo fatto di aver rilasciato una dichiarazione testimoniale a seguito di un incidente stradale, si può venire letteralmente schedati senza alcuna preventiva comunicazione.

Tale gravissima circostanza è passata nel più totale silenzio mascherata da lamentate e non giustificate esigenze antifrode che però vanno a ledere un diritto fondamentale dei cittadini: quello alla propria riservatezza. Ed è così che oggi le compagnie assicurative, di fatto, si ritrovano in possesso dei dati personali di centinaia di migliaia di cittadini senza che sino ad oggi nessuno abbia battuto un colpo. Ma allo “Sportello dei Diritti” non è sfuggita neanche questa nefandezza e per bocca del presidente e fondatore Giovanni D'Agata, è pronta a denunciare al Garante per la privacy unitamente ad un gruppo di esperti tale misfatto tutto italiano.

Vale la pena ricordare, infatti, che la costituzione di una banca dati contenente dati personali di soggetti (definiti dal Codice Privacy quali “interessati al trattamento”) necessiti di una serie di cautele e adempimenti organizzativi finalizzati alla trasparenza, in primis, e alla rigida applicazione di misure di sicurezza.

Un principio cardine alla base dell’attuale normativa in materia di corretto trattamento dei dati personali prevede che qualunque trattamento di dati personali (e in questa definizione vi ricade certamente la raccolta, l’archiviazione, la conservazione e la condivisione di dati personali in banche dati gestite da privati quali le compagnie di assicurazioni) deve essere preceduto da un’attenta politica di trasparenza nei confronti degli interessati. Ciò vuol dire che è necessario fornire agli interessati una completa informativa ex art. 13 d.lgs.196/2003 (c.d. Codice Privacy) contenente tutti gli elementi utili a spiegare le finalità e modalità del trattamento, l’origine del dato raccolto, le misure di sicurezza applicate e i soggetti ai quali rivolgersi per esercitare i diritti di accesso ex art. 7 del Codice (principio irrinunciabile e costituzionalmente garantito).

Oltre ai principi di necessità, proporzionalità, pertinenza e non eccedenza nella raccolta e nel trattamento del dato che devono essere rispettati (e su questi punti già sembra vi siano molte ombre nella costituzione di tale banca dati), poi, è necessario garantire il principio di correttezza che vuol dire che “il trattamento (e la raccolta) dei dati deve avvenire presso l’interessato in maniera trasparente”. 

Evidentemente il costituire una banca dati a totale insaputa degli interessati, senza informativa e senza indicazione dei soggetti che a vario titolo potranno accedere a tutte le informazione archiviate dalle compagnie assicurative pare configurare una condotta assolutamente illegittima che secondo l’autorevole parere dell’esperto del settore avvocato Graziano Garrisi – portata innanzi all’Autorità Garante – potrebbe portare quantomeno al blocco e all’inutilizzabilità del dato, sino a configurare un vero e proprio illecito penale sanzionabile ai sensi dell’art. 167, comma 2, del Codice per violazione dell’art. 11 dello stesso Codice (che detta le regole per il corretto trattamento dei dati).

Per di più tali dati, a quanto pare, vengono raccolti dalle compagnie assicurative attraverso terzi soggetti (avvocati, ispettorati sinistri, agenzia di assicurazione e direttamente i danneggiati) e in assenza totale degli adempimenti generali e obbligatori sopra indicati e previsti dal Codice Privacy.
Pare opportuno sottolineare, pertanto, che il punto da cui partire è salvaguardare il diritto all’autodeterminazione informativa dei cittadini (interessati al trattamento) in base al quale ciascuno è libero di determinare l’ambito di comunicazione dei dati che lo riguardano.

Ognuno, infatti, dovrebbe avere la possibilità di verificare l’avvenuto inserimento in banca dati, la presenza o la rimozione dei dati, a tutela della propria dignità e riservatezza in quanto soggetto interessato al trattamento.

Dopo le scatole nere (già oggetto di un provvedimento da parte del Garante Privacy), quindi, pare si stia per perpetrare l’ennesimo colpo basso in danno dei cittadini e dei consumatori.

(fonte: sportellodeidiritti.org)

SPAM: COME DIFENDERSI- LE INDICAZIONI DEL GARANTE PRIVACY

Spam: come difendersi. Le indicazioni del Garante privacy

Cosa è lo spam? Come ci si difende dall'invio di e-mail e sms promozionali indesiderati? A chi ci si può rivolgere per avere informazioni e tutela? A queste domande risponde la nuova campagna informativa del Garante privacy (il link: http://www.garanteprivacy.it/spam), rivolta alla vasta platea degli utenti, con l'obiettivo di fornire indicazioni utili per prevenire e contrastare la ricezione di messaggi commerciali indesiderati, se non addirittura molesti.

Una agile scheda e un video diffuso anche su Youtube (il video: http://www.youtube.com/watch?v=hDOH09EcFr0) illustrano in forma sintetica le principali cautele da adottare per un uso più consapevole dei sistemi di comunicazione personale (telefono, sms, posta elettronica, social network) e per evitare anche involontarie diffusioni dei propri dati personali.

Nel contempo, vengono offerti suggerimenti per tenere comportamenti o adottare accorgimenti tecnici a tutela della riservatezza dei propri canali di comunicazione. Nella scheda sono indicate anche le modalità per chiedere la cancellazione dei propri dati personali e l'interruzione dell'invio di comunicazioni indesiderate, così come le procedure per il ricorso a forme di tutela amministrativa o giurisdizionale.

(fonte: garanteprivacy.it)

CONTATTABILI VIA SMS GLI ITALIANI ALL'ESTERO IN SITUAZIONI DI EMERGENZA

Cittadini italiani all'estero più sicuri in caso di emergenze o calamità. 

L'Unità di crisi del Ministero degli affari esteri può dare incarico agli operatori telefonici di inviare, anche senza consenso, sms ai clienti italiani all'estero con informazioni utili in situazioni di emergenza (indicazione del numero unico dell'Ambasciata del Paese in cui si trovano, eventuali aree da evitare o punti di raccolta, comportamenti a rischio ecc.). 

Il Garante privacy ha detto sì alla procedura che il Ministero degli affari esteri (Mae) intende adottare per affrontare le emergenze in cui potrebbero essere coinvolti cittadini italiani e che prevede anche l'invio di informazioni via sms. 

Le modalità di intervento individuate dal Mae rientrano nell'ambito delle iniziative adottabili per l'invio di sms di pubblica utilità, già disciplinate con provvedimento generale del Garante nel 2003 (doc. web n. 29844). 

In quella sede l'Autorità aveva stabilito che gli operatori telefonici possono, in deroga alla disciplina sulla protezione dei dati, inviare sms istituzionali senza il consenso degli utenti solo in caso di disastri e calamità naturali o altre emergenze (ad es. inondazioni, terremoti, epidemie etc.) quando disposto da un soggetto pubblico centrale o locale che adotti un provvedimento d'urgenza. 

Condizioni che ricorrono nella procedura individuata dal Mae. 

La procedura verrebbe infatti attivata caso per caso, sulla base di un provvedimento del capo dell'Ufficio consolare del Paese in cui si siano verificate le circostanze eccezionali, redatto secondo le istruzioni fornite dal Mae o di propria iniziativa nelle situazioni più gravi. 

Il Garante ha comunque ribadito che le istruzioni impartite dal Ministero e il provvedimento consolare prevedano espressamente la deroga all'acquisizione del consenso degli interessati al trattamento dei dati necessari per l'invio degli sms e individuino nel dettaglio le "circostanze eccezionali" che autorizzano tale invio, in modo da circoscrivere il più possibile l'ambito emergenziale e la conseguente deroga alla disciplina in materia di protezione dei dati.

(fonte: garanteprivacy.it)

NON UTILIZZABILI I DATI DELLA NAVIGAZIONE ABUSIVA DEL DIPENDENTE AI FINI DEL LICENZIAMENTO. LA CASSAZIONE SUL PROVVEDIMENTO DEL GARANTE DELLA PRIVACY

La Corte di Cassazione con la sentenza n. 18443 del 1 agosto 2013, dichiara legittimo il provvedimento del Garante della Privacy con il quale quest'ultimo aveva vietato ad un'azienda il trattamento dei dati personali degli accessi internet di un dipendente che la ditta voleva utilizzare nella procedura disciplinare di licenziamento.

Nella fattispecie i dati contenuti nel computer in uso al dipendente erano completamente estranei a quelli perseguiti dall'azienda ed anzi si trattava di "dati sensibili" con i quali si potevano evincere convinzioni religiose e politiche nonché alle tendenze sessuali del dipendente.

Il lavoratore, addetto all'accettazione di una casa di cura, aveva ricevuto dalla ditta una contestazione relativa ad accessi internet non autorizzati effettuati sul luogo di lavoro ed aveva chiesto, quindi, la cancellazione dei dati personali che lo riguardavano ai sensi dell'art. 7 del Decreto legislativo 30 giugno 2003, n. 196.

Dalle pagine prodotte dalla ditta, infatti, comparivano informazioni di carattere sensibile relative al dipendente idonee a rilevare, tra le altre cose, tendenze sessuali visto che numerosi file facevano riferimento a siti internet a contenuto pornografico. Tutta la documentazione era stata raccolta dalla società senza consenso e senza alcuna informazione sulla possibilità di effettuare controlli sui terminali, informazione che era stata omessa sia nei confronti dei dipendenti che nei confronti del sindacato interno all'azienda.

Il Garante della Privacy sostiene che, in virtù del collegamento diretto ed univoco fatto tra il ricorrente ed i dati desunti, il lavoratore assume la qualità di "interessato" ed in quanto tale soggetto legittimato ad esercitare i diritti garantiti dal "Codice in materia di protezione dei dati personali". D'altra parte, invece, si può notare che i dati raccolti sono stati prelevati mediante copia delle sessioni di lavoro avviate dal dipendente in questione ("c:copiaDocuments and settingsx-y") senza renderlo edotto della possibilità di tali controlli.

Bisogna rilevare, inoltre, che lo stesso dipendente non aveva bisogno di accedere ad internet per poter svolgere il proprio lavoro e, quindi, l'illiceità del suo comportamento poteva essere provata solo con l'esistenza di accessi indebiti alla rete, senza andare nel dettaglio delle singole connessioni.

Anche se i dati sensibili sono stati raccolti dal datore di lavoro per provare l'illiceità del comportamento del proprio dipendente bisogna tenere in considerazione il fatto che le informazioni sensibili del pari di quelle raccolte nel caso de qua (idonee a rivelare tra le altre cose lo stato di salute e la vita sessuale della persona) possono essere trattate senza consenso solo quando questa operazione sia indispensabile per far valere o difendere in giudizio un diritto o libertà fondamentale inviolabile. Circostanza che, in questo caso, come spiegato nel paragrafo precedente non si è verificata.

Per questi motivi la Suprema Corte ha ritenuto che il giudice di merito abbia correttamente valutato il fatto che il trattamento dei dati sensibili operato dall'azienda sia stato eccedente rispetto alle finalità perseguite.  Il ricorso deve essere, quindi, rigettato.

INTERCETTAZIONI: IL GARANTE PRIVACY ALLE PROCURE, SERVE MAGGIORE SICUREZZA.

Il Garante per la protezione dei dati personali ha prescritto alle Procure della Repubblica misure e accorgimenti per incrementare la sicurezza dei dati personali raccolti e usati nello svolgimento delle intercettazioni.

Il provvedimento è stato adottato all'esito di una indagine conoscitiva avviata dall'Autorità lo scorso anno presso un campione di Procure della Repubblica di medie dimensioni (Bologna, Catanzaro, Perugia, Potenza e Venezia) allo scopo di valutare le misure tecnologiche e organizzative adottate negli Uffici giudiziari nell'attività di intercettazione di conversazioni telefoniche o di comunicazioni, anche informatiche e telematiche. Misure di sicurezza erano già state prescritte ai gestori di servizi di comunicazione elettronica che attivano la trasmissione dei dati relativi alle intercettazioni su richiesta dell'Autorità giudiziaria.

Dai riscontri ottenuti è emerso un quadro variegato e disomogeneo che ha posto l'esigenza di mettere  in campo interventi volti al rafforzamento del livello di sicurezza dei dati e dei sistemi usati per gestirli, nonché di estendere tali interventi alla generalità degli Uffici inquirenti, armonizzando le misure a protezione dei dati anche alla luce delle tecnologie in costante evoluzione nel campo delle comunicazioni elettroniche e dei possibili rischi legati all'uso degli strumenti informatici.

"La protezione delle informazioni personali raccolte e usate nello svolgimento delle intercettazioni riveste particolare importanza per gli effetti che un loro uso improprio può determinare sia riguardo alla dignità e ai diritti delle persone intercettate e di quelle che comunicano con esse, sia alla necessaria efficacia delle indagini" sottolinea Antonello Soro, Presidente dell'Autorità garante.

Il Garante ha dunque prescritto alle Procure una serie di stringenti misure da adottare entro 18 mesi dalla pubblicazione del provvedimento sulla Gazzetta Ufficiale. Le misure riguardano sia i Centri Intercettazioni Telecomunicazioni (C.I.T.) situati presso ogni Procura della Repubblica sia gli Uffici di polizia giudiziaria delegata all'attività di intercettazione.

Misure di sicurezza fisica

Nelle sale d'ascolto delle Procure, nei locali dove vengono custoditi i server per la registrazione dei flussi telefonici o telematici intercettati  e in quelli in cui sono installati i terminali per la ricezione di questi flussi, l'accesso sarà possibile solo tramite badge individuali nominalmente assegnati (cui va associato un codice numerico a conoscenza solo dell'interessato) o dispositivi biometrici. Gli accessi dovranno essere tracciati. Il personale tecnico adibito alle operazioni di manutenzione o a interventi tecnici dovrà essere previamente autorizzato dalla Procura. Al personale tecnico dovrà comunque essere consentito l'accesso solo a dati, informazioni e documenti strettamente necessari al compimento degli interventi di manutenzione. Dovrà essere prevista l'adozione di impianti di videosorveglianza a circuito chiuso.

Misure di sicurezza informatica

L'accesso di ciascun operatore, compresi gli amministratori di sistema, ai sistemi e ai server utilizzati nelle attività di intercettazione dovrà avvenire solo da postazioni abilitate ed effettuato da operatori autenticati tramite procedure rafforzate. Le postazioni dovranno essere connesse a reti protette con firewall.

Tutte le operazioni svolte nell'ambito delle attività di intercettazione (quali ascolto, consultazione, registrazione, duplicazione e archiviazione delle informazioni, trascrizione delle intercettazioni, manutenzione dei sistemi, distruzione delle registrazioni e dei supporti) dovranno essere annotate in registri informatici con tecniche che ne assicurino la inalterabilità.

La masterizzazione e l'eventuale duplicazione dei contenuti delle intercettazioni dovranno essere effettuate solo se indispensabili e solo da personale abilitato. Le registrazioni trasferite su supporti rimovibili es. cd, dovranno essere protette con tecniche crittografiche.  I contenitori o i plichi utilizzati per il trasporto dei supporti non dovranno recare indicazioni che consentano ad estranei di individuare l'oggetto dell'intercettazione.

La trasmissione all'Autorità giudiziaria dei supporti e della documentazione cartacea, quali le trascrizioni del contenuto delle intercettazioni, dovrà avvenire esclusivamente mediante personale di polizia giudiziaria.

Le tracce foniche, le altre informazioni acquisite e le eventuali copie di sicurezza (backup) dovranno essere conservate in forma cifrata. Ogni estrazione di dati dovrà essere effettuata con procedure crittografiche.

Lo scambio di dati tra Autorità giudiziaria e gestori di servizi Internet dovrà avvenire attraverso sistemi basati su protocolli di rete sicuri e in modo cifrato. Anche la trasmissione delle comunicazioni telematiche intercettate (flussi di indirizzi Ip, posta elettronica) dal punto di estrazione dalla rete del gestore fino agli apparati riceventi presso i C.I.T. dovrà essere cifrata.

Remotizzazione degli ascolti

In caso di ricorso alla cosiddetta "remotizzazione" - cioè al reindirizzamento dei flussi delle comunicazioni oggetto di intercettazione dai centri presso le Procure verso gli Uffici di polizia giudiziaria delegata  - le misure fisiche e informatiche da adottare nei locali di ascolto e registrazione delle intercettazioni dovranno essere le stesse prescritte  per i C.I.T.

I collegamenti tra le Procure e gli Uffici di polizia giudiziaria dovranno essere realizzati con connessioni "punto-punto" dedicate o con collegamenti in rete protetti (tipo Vpn).

Il Garante ha segnalato, infine, al Ministero della giustizia la necessità di fornire alle Procure della Repubblica le risorse idonee a dare attuazione a quanto prescritto nel provvedimento.

"Il provvedimento - conclude Soro - rientra nel quadro di una più generale azione di messa in sicurezza dei dati personali dei citta

dini che il Garante sta portando avanti nei confronti di tutte le amministrazioni pubbliche".

(Fonte: garanteprivacy.it)

WI-FI LIBERO, SANITA' ELETTRONICA, IMPRENDITORI: LE PERPLESSITA' DEL GARANTE PRIVACY SULLE ULTIME SCELTE LEGISLATIVE

Wi-fi libero, sanità elettronica, imprenditori: le perplessità del Garante privacy sulle ultime scelte legislative
In una segnalazione a Governo e Parlamento i possibili rischi per la privacy dei cittadini

Informazioni personali tracciate per chi accede a Internet via wi-fi; troppi dati sanitari a Ministeri e Regioni; perdita di tutele per gli imprenditori. In una segnalazione inviata a Governo e Parlamento, il Garante per la protezione dei dati personali ha richiamato l'attenzione sui rischi per la privacy dei cittadini che potrebbero derivare da alcune norme contenute nel recentissimo "Decreto del Fare" e nel Disegno di legge sulle semplificazioni.

Due gli articoli del primo decreto che hanno suscitano forti perplessità da parte dell'Autorità: quello sul cosiddetto "wi-fi libero" e quello sul Fascicolo sanitario elettronico.

L'articolo 10 del decreto legge n.69 del 21 giugno scorso prevede, come già avviene adesso, che quanti offrono accessi a Internet tramite wi-fi (es. bar, ristoranti, alberghi) non debbano più identificare i clienti che utilizzano il terminale. Ma stabilisce al contempo l'obbligo di tracciare alcune informazioni relative all'accesso alla rete (come il cosiddetto "indirizzo fisico" del terminale, MAC Address) che, a differenza di quanto sostenuto nella norma, sono - ai sensi della Direttiva europea sulla riservatezza e del Codice privacy - dati personali, in quanto molto spesso riconducibili all'utente che si è collegato a Internet. Peraltro, l'adempimento richiesto, sottolinea il Garante, non solo grava su una platea considerevole di imprese, ma reintroduce obblighi di monitoraggio e registrazione dei dati che, stabiliti a suo tempo dal decreto Pisanu per categorie di gestori diverse da quanti offrono accesso ad Internet con modalità wireless, sono stati successivamente soppressi anche in ragione delle difficoltà e degli oneri legati alla loro applicazione. Il Garante auspica lo stralcio della norma e l'approfondimento di questi aspetti nell'ambito di un provvedimento che non abbia carattere d'urgenza.

L'art.17 dello stesso decreto, poi, modificando precedenti disposizioni in materia di Fascicolo sanitario elettronico (Fse), prevede che, a fini di ricerca epidemiologica e di programmazione e controllo della spesa sanitaria, le Regioni e le Province autonome, il Ministero del Lavoro e il Ministero della Salute possano accedere alle informazioni sanitarie presenti nel Fse di tutti gli assistiti, compresi i documenti clinici prima espressamente esclusi. In questo modo tali amministrazioni si troverebbero ad utilizzare una enorme mole di dati sensibili (ricoveri, accessi ambulatoriali, referti, risultati di analisi cliniche, farmaci prescritti) che, per quanto non immediatamente riconducibili agli interessati, non sono indispensabili per il raggiungimento di finalità diverse da quella della cura.

L'Autorità chiede che la norma venga modificata affinché i soggetti pubblici interessati possano accedere alle sole informazioni effettivamente necessarie per lo svolgimento di tali finalità.

Il Garante ha infine espresso la sua contrarietà alla possibile riproposizione di disposizioni che risulterebbero inserite nel disegno di legge sulle semplificazioni di recente approvato dal Consiglio dei ministri, volte ad escludere gli imprenditori dall'applicazione del Codice privacy. Tali norme privano di fatto le persone fisiche - sia pure quando agiscano nell'esercizio della propria attività imprenditoriale - del diritto alla protezione dei dati, con conseguenze paradossali e non certo semplificatorie. E anzi perfino pregiudizievoli per la stessa attività d'impresa, stante la difficoltà di distinguere, nella vita concreta, il dato della persona fisica da quello riferito alla sua qualità di imprenditore. In questo modo, gli imprenditori si  troverebbero ad avere meno diritti (ad esempio non potrebbero più rivolgersi al Garante per tutelarsi in caso di informazioni non corrette presenti nelle banche dati), ma gli stessi oneri ai quali erano prima soggetti.

La disposizione, peraltro, ricorda il Garante, si porrebbe in netto contrasto con la Direttiva europea con la conseguenza di costringere l'Autorità a sollevare la questione in sede comunitaria.

Roma, 9 luglio 2013

(fonte: garanteprivacy.it)

PROVVEDIMENTO DEL GARANTE DELLA PRIVACY SUI PERMESSI ZTL RILASCIATI DAL COMUNE DI BOLOGNA

L'Autorità Garante della Privacy ha emesso un provvedimento che prescrive, per il Comune di Bologna, di riportare sui permessi rilasciati per il transito e la sosta nelle zone a traffico limitato  i soli dati indispensabili ad individuare l'autorizzazione rilasciata, omettendo di indicare nome, cognome, ragione sociale o comunque ogni altro dato che sia idoneo ad  identificare direttamente l'interessato.

Tali permessi, infatti, devono essere esposti direttamente nel veicolo e, quindi, per ovvie ragioni di tutela della privacy non deve essere indicato alcun dato sensibile, essendo possibile, comunque, da parte degli accertatori, effettuare dei controlli direttamente tramite gli uffici nel caso di necessità.

il link con il testo integrale del provvedimento: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2439150