News #48: NIS-2 e norme UE in arrivo sulla interoperabilità nella PA; nuovi spunti sui data transfer verso gli USA; problemi per Meta e WhatsAppNews

/in , , /da

Immagine di copertina di Miguel A Amutio grazie a Unsplash.

PRIVACY & CYBERSECURITY

REGOLAMENTO EUROPEO SULL’INTEROPERABILITA’ – La Commissione europea ha proposto – per ora solo a livello politico – una bozza di testo normativo (“Interoperable Europe Act” nr. COM(2022)720) per sviluppare e armonizzare il panorama europeo di disciplina digitale delle #PubblicheAmministrazioni, con attenzione all’interoperabilità, intesa come la capacità dei sistemi o delle organizzazioni di cooperare al fine di perseguire scopi condivisi a livello europeo. La norma, che dovrà coordinarsi attentamente con quanto previsto dal Data Governance Act sui dati coinvolti, avrà l’obiettivo di portare l’Unione europea a una rete di Pubbliche Amministrazioni interconnesse, che collaboreranno per promuovere l’innovazione e ridurre la frammentazione delle politiche di perseguimento degli obiettivi digitali dell’Unione europea per il 2030.

NEWSLETTER GARANTE – Pubblicata lo scorso 28 novembre l’ultima newsletter del Garante per la protezione dei dati personali. Tra le notizie: (i) la maxi sanzione a #Douglas  per molteplici violazioni del GDPR; (ii) la sanzione a #Vodafone al fine di garantire  comunicazioni di #telemarketing più trasparenti; (iii) la sanzione ad una ASL valdostana per mancata tutela dei dati sanitari dei pazienti presenti nel #dossiersanitario; (iv) il parere positivo del Garante in merito alla bozza di decreto legislativo che istituisce il cd. #SICONBEP, il nuovo sistema informativo di rilevazione delle concessioni di beni pubblici.

DIRETTIVA NIS2 – Il Consiglio dell’Unione ha recentemente adottato una nuova normativa con l’obiettivo di istituire un livello di #cybersicurezza comune per tutti i Paesi dell’UE, in settori quali – tra gli altri – l’energia, i trasporti e la sanità. La nuova Direttiva, cd. #Nis2 – che va a sostituire la precedente, cd.Nis (Network and Information Security Directive) – oltre a stabilire le regole e i meccanismi per una efficace collaborazione tra le Autorità di ciascuno Stato membro, andrà ad istituire anche l’ #EU-cyCLONe, la rete europea di organizzazioni di collegamento per le crisi informatiche al fine di supportare una gestione coordinata di incidenti di sicurezza su larga scala. Dall’entrata in vigore della Direttiva (e cioè dal ventunesimo giorno dalla pubblicazione in Gazzetto Ufficiale) gli Stati membri avranno 21 mesi per adeguarsi alla nuova normativa.

DA AMBURGO ARRIVANO OSSERVAZIONI SUI TRASFERIMENTI INTERNAZIONALI … – L’Autorità garante di Amburgo (“HmbBfDI”) ha pubblicato il 29 novembre le sue osservazioni sulla proposta di Accordo sulla privacy dei dati UE-USA. L’HmbBfDI ha suggerito che le valutazioni d’impatto sul trasferimento dei dati seguano le indicazioni della sentenza della Corte di Giustizia dell’Unione europea sui trasferimenti di dati tra l’Unione europea e gli Stati Uniti fino alla finalizzazione dell’accordo proposto. L’HmbBfDI ha inoltre sostenuto che l’executive order statunitense merita un esame approfondito, e che l’effettiva applicazione delle disposizioni in materia di proporzionalità del trattamento sarà monitorata attentamente.

… MENTRE L’AUTORITÀ FEDERALE TEDESCA BOCCIA OFFICE365 – L’Autorità federale tedesca per la protezione dei dati (“DSK”) ha affermato in un rapporto che l’utilizzo di Microsoft Office365 nelle scuole tedesche non è conforme al GDPR. Secondo la DSK, Microsoft non rivela con sufficiente precisione quali operazioni di elaborazione dei dati sono poste in essere, né quali operazioni di elaborazione vengono eseguite per conto del cliente o quali vengono eseguite per i propri scopi. In particolare, i documenti contrattuali non sono precisi a riguardo e non consentono una valutazione complessiva del trattamento, che può essere anche esteso per finalità proprie dell’azienda. Dai confronti emersi con il gruppo di lavoro di Microsoft, è stato confermato che i dati personali vengono anche trasferiti negli Stati Uniti quando si utilizza O365, sostenendo il provider che sarebbe possibile utilizzare Microsoft 365 senza trasferire i dati personali negli Stati Uniti.

MoU EDPS/ENISA – Nell’ottica di una collaborazione strategica, è stato recentemente firmato un Memorandum of Understanding tra il Garante europeo (EDPS) e l’Agenzia europea per la sicurezza informatica (ENISA). Il documento mira a promuovere una maggiore consapevolezza della privacy e della sicurezza informatica, anche promuovendo tale consapevolezza nelle altre istituzioni e agenzie dell’Unione.

RIUNIONE PLENARIA EDPB – Il 2 dicembre 2022 il Comitato europeo per la protezione dei dati (“EDPB”) ha pubblicato l’ordine del giorno della sua 72° riunione plenaria, prevista per il 5 dicembre 2022. Saranno discusse le decisioni prese nell’ambito del meccanismo di coerenza ai sensi dell’articolo 65(1)(a) GDPR in merito alle controversie sorte sui progetti di decisione della Commissione per la protezione dei dati nei confronti di Facebook e Instagram, e nei confronti di WhatsApp.

Non è stato fornito nessun testo alternativo per questa immagine

D. LGS. 231 & PENALE

e-EVIDENCE – Lo scorso 29 novembre la Commissione Europea ha diffuso un comunicato stampa all’interno del quale ha espresso il proprio parere positivo in merito all’accordo provvisorio raggiunto tra Parlamento e Consiglio d’Europa sulle nuove norme in materia di #condivisione, tra gli Stati Membri, di #proveelettroniche. L’accordo si configura come il punto di partenza per la formulazione di due proposte di direttiva, l’una relativa alla nomina dei rappresentanti legali ai fini della raccolta di prove nell’ambito dei procedimenti penali, l’altra in materia di produzione e conservazione delle prove elettroniche, sempre in materia penale.

AMMINISTRATORE INDAGATO – Con le sentenze nn. 44372 e 44373 (consultabili gratuitamente per gli iscritti all’associazione AODV231) la Corte di Cassazione ha stabilito che, in tema di rappresentanza dell’ente in giudizio, ex art. 39 del #Decreto231, sussiste sempre il #conflittodiinteressi per il legale rappresentante della società indagato per un reato presupposto, anche laddove la responsabilità dell’ente non sia stata accertata o addirittura contestata.

PRESCRIZIONE E CONTESTAZIONE DELL’ILLECITO – Il Tribunale di Milano nella sentenza n. 2993/2022 (consultabile gratuitamente per gli iscritti all’associazione AODV231) ha stabilito che l’istanza di patteggiamento concordata tra difesa e accusa, trasmessa al G.I.P. nel corso delle indagini preliminari, è sufficiente a interrompere la prescrizione dell’illecito a carico della società. Ai fini dell’interruzione del termine di prescrizione, la trasmissione al giudice per l’applicazione concordata della sanzione ex art. 63 D.Lgs. n. 231/2001 deve essere considerata un atto idoneo a definire la contestazione mossa dal pubblico ministero nei confronti dell’ente.

TARANTO – CONDANNA AD AZIENDE SIDERURGICHE – La Corte di Assise di Taranto nella sentenza R.G. 1/2021 del 28 novembre ha riconosciuto la responsabilità ed applicato sanzioni pecuniarie, interdittive, confische e pubblicità del provvedimento a carico di società operanti nel campo della produzione e del commercio di acciaio, per gli illeciti relativi ai reati presupposto di associazione per delinquere, delitti corruttivi e ambientali. Come si legge nella sentenza della Corte d’Assise, tali enti, nell’espletamento degli adempimenti previsti dalle norme vigenti in materia di tutela ambientale, di prevenzione degli incidenti rilevanti e di igiene e sicurezza sul lavoro, agendo nell’interesse ed a vantaggio delle medesime società, procuravano danni ambientali, fatti corruttivi, anche associandosi tra loro allo scopo di commettere i reati, omettendo di provvedere all’attuazione delle misure di sicurezza, prevenzione e protezione dell’ambiente e della salute e sicurezza dei lavoratori di cui lo stabilimento siderurgico di Taranto necessitava.

Non è stato fornito nessun testo alternativo per questa immagine

MERCATI DIGITALI

UE/TWITTER – Gli occhi della Commissione europea sono tutti puntati su #Twitter. Nel corso di una videochiamata, Thierry Breton – commissario per il mercato interno – ha rappresentato a #ElonMusk tutte le sue “raccomandazioni” affinché il social rispetti la nuova normativa comunitaria in materia di servizi digitali, il cd. #DSA. La nuova legge europea prevede infatti, tra le altre cose, una serie di valutazioni da svolgersi con cadenza annuale finalizzate a valutare i rischi connessi a situazioni quali (i) la violazione di diritti, soprattutto se di minori, e (ii) la diffusione di notizie false. Al termine dell’incontro il commissario Breton si è espresso favorevolmente in merito alla proposta di Musk di un “Twitter 2.0” conforme al DSA. Secondo alcune fonti, all’inizio del 2023 la Commissione provvederà a effettuare uno #stresstest presso la sede della società; nel frattempo, si vocifera di un nuovo “data breach” di grande importanza che avrebbe colpito proprio Twitter.

META – La Commissione per la protezione dei dati irlandese (DPC) ha di recente reso pubblica la sua decisione di multare #MetaIreland – sede “locale” europea di #Facebook – per ben 265 milioni di euro, oltre a quella di imporre l’adozione di misure correttive conseguenti alla violazione dell’art. 25 GDPR (dunque, delle disposizioni dettate in materia di #PrivacybyDesign e #PrivacybyDefault). La decisione dell’Autorità arriva all’esito di un’inchiesta partita nell’aprile 2021 in seguito alla scoperta di un set di dati personali – raccolti su Facebook – resi disponibili online.

WHATSAPP E DARK WEB – Secondo quanto riportato sul sito ufficiale del Garante svizzero (FDPIC), i dati personali di circa 550 milioni di utenti di #WhatsApp sarebbe stati messi in vendita sul #darkweb. Dalle fonti attualmente disponibili non sarebbe possibile, ancora, stabilire chi sia l’autore di tale azione. In attesa di ulteriori accertamenti, la raccomandazione dell’Autorità è pertanto quella di verificare sempre l’autore del messaggio, procedendo a bloccare e cancellare il numero nel caso in cui dovesse riscontrarsi qualche “stranezza”. 

COPYRIGHT – CONFERMATA LA CONDANNA A CLOUDFLARE – Con la sentenza dello scorso 4 novembre (resa nota da poco), il Tribunale di Milano ha confermato l’ingiunzione a Cloudflare – società americana che fornisce servizi DNS – che impone il blocco di alcuni siti torrent che violano il diritto d’autore di diverse case musicali, rendendo illegittimamente disponibili al pubblico i brani musicali. Cloudflare aveva proposto appello contro la sentenza di primo grado, ma la Corte meneghina ha confermato la sentenza del giudice di prime cure, affermando che gli intermediari online che offrono questo tipo di servizi di risoluzione DNS possono essere soggetti al dovere di agire in modo efficace se i loro servizi sono utilizzati per la pirateria musicale.

RAPPORTO CENSIS SULLE COMPETENZE DIGITALI – Secondo il 56esimo rapporto Censis sulla situazione sociale del Paese/2022, le attività quotidiane mediate da Internet hanno registrato un notevole incremento: dal reperimento di informazioni su aziende, prodotti, servizi, allo shopping online, l’ascolto di musica e la gestione di operazioni bancarie. In generale, le opinioni degli italiani convergono anche sull’utilità dello smart working. Un altro dato interessante rilevato dal report è che la spesa delle famiglie per i consumi mediatici, in particolare la spesa per l’acquisto di telefoni e equipaggiamento telefonico, ha subito un enorme incremento, moltiplicando per oltre cinque volte il suo valore rispetto agli anni precedenti.

Non è stato fornito nessun testo alternativo per questa immagine

NEWS DAL MONDO

SINGAPORE – La Commissione per la protezione dei dati personali di Singapore (PDPC) ha recentemente reso pubblica una decisione con la quale ha inflitto ad un ospedale una sanzione di 58 mila SGD (all’incirca 40 mila euro) per violazione dei dati personali. In particolare, pare che la Commissione abbia ricevuto una segnalazione secondo la quale due dipendenti avevano inoltrato ad indirizzi terzi oltre 9 mila e-mail, contenenti dati personali di oltre 3 mila dipendenti. Sebbene l’ospedale abbia provveduto a porre in essere misure correttive per mitigare le conseguenze dell’incidente, è stata riscontrata una inefficiente predisposizione di misure di sicurezza volte a garantire la protezione dei dati contenuti nelle caselle di posta elettronica.

FRANCIA – L’Autorità francese per la protezione dei dati (“CNIL”) ha comminato una sanzione di 600.000 euro a una società di servizi, contestando tre violazioni del GDPR riguardanti (i) la mancata dimostrazione dell’acquisizione di un consenso preventivo nell’ambito di una campagna di promozioni commerciali per via elettronica; (ii) l’omissione dell’informazione ai clienti della base giuridica per l’utilizzo dei loro dati personali e (iii) la mancata protezione dei dati personali dopo che le credenziali di 25.000 account, destinatari di un bonus da parte della società, non erano state archiviate in modo sicuro.

GUERNSEY – La ODPA, Autorità garante del Guernsey – isola alle dipendenza della Corona Britannica – ha recentemente pubblicato una guida sui trasferimenti internazionali di dati personali. Il documento, in particolare, evidenzia la necessità che, entro il 27 dicembre, tutte le organizzazioni locali si adeguino alle nuove Clausole Contrattuali Tipo  al fine di assicurare che tutti i trasferimenti extra SEE avvengano secondo gli standard di sicurezza fissati dalla Commissione Europea.

ISRAELE – E’ stata avviata una consultazione pubblica sulla bozza di regolamento per la protezione dei dati personali nei trasferimenti dallo Spazio Economico Europeo (“SEE”), con l’obiettivo di stabilire istruzioni relative alle informazioni trasferite in Israele dal SEE, a seguito del processo di revisione dell’adeguatezza di Israele – attualmente in corso da parte della Commissione europea.

ARGENTINA – L’autorità argentina per la protezione dei dati (“AAIP”) ha annunciato, il 29 novembre 2022, che è stato istituito un modulo web per la registrazione dei Titolari del trattamento dei dati che non risiedono in Argentina. Il modulo è destinato a persone fisiche o giuridiche che trattano dati personali di soggetti interessati argentini, ma che non sono stabiliti nel territorio. 

NIGERIA – La nigeriana National Information Technology Development Agency (NITDA) ha recentemente reso nota su Twitter una presunta violazione di dati personali da parte di #WhatsApp. Secondo le informazioni in possesso all’Autorità, sarebbero oltre 500 milioni numeri di telefono in tutto il mondo, 9 milioni dei quali riconducibili ad utenti nigeriani.  A fronte di questa notizia, la NITDA sta raccomandando a tutti gli utenti di WhasApp di abilitare l’autenticazione a due fattori, di non condividere tramite l’app informazioni personali e di non rispondere a messaggi provenienti da contatti sconosciuti.

BELGIO – Pubblicato il report annuale dell’Autorità belga per la protezione dei dati, che ha definito il 2021 un anno record, con un aumento dell’87% delle richieste di consulenza in materia di privacy e del 181% i reclami e le richieste di riscontro, rispetto al 2020. La violazione dei dati legata alla vicenda Facebook-Meta nel 2021 ha contribuito alle alte cifre rilevate rispetto ai reclami, insieme al fattore della pandemia da Covid-19, che ha comportato decisioni relative all’applicazione delle norme in materia di privacy e alla pubblicazione di linee guida sul trattamento dei dati.

BRASILE – Il Brasile ha aderito il 1 dicembre alla Convenzione di Budapest sulla criminalità informatica, e altri sei Paesi (Croazia, Moldavia, Slovenia, Sri Lanka, Ucraina e Regno Unito) hanno firmato il secondo protocollo aggiuntivo alla Convenzione sulla cooperazione rafforzata e la divulgazione delle prove elettroniche.

Non è stato fornito nessun testo alternativo per questa immagine

Immagine di copertina di Miguel A Amutio grazie a Unsplash.

News #47: importante sanzione AGCM per chiamate indesiderate; diritto all’oblio valido in tutto il mondo; arrivano i regolamenti DORA e CHIPS

/in , , , /da

Immagine di copertina di Ash Edmonds grazie a Unsplash

MERCATI DIGITALI

AGCM vs ENEL ENERGIA – L’Autorità Garante della Concorrenza e del Mercato (AGCM) ha recentemente annunciato di aver sanzionato Enel Energia e le sue agenzie partner per un totale di oltre 5 milioni di euro. Il provvedimento si ricollega alla constatata natura ingannevole delle pratiche commerciali operate nella vendita di servizi energetici effettuate mediante servizi di segreteria telefonica automatizzata al fine di indurre i consumatori –  anche quelli che non avevano prestato un preventivo consenso alla telefonate di marketing – a stipulare contratti con la società. Più in particolare, la voce pre-registrata avrebbe diffuso false notizie circa la data prevista per la cessazione del cd. #mercatotutelato (fissata al 10 gennaio 2024 ma spacciata come “imminente”).  La natura ingannevole e l’insistenza delle telefonate hanno permesso all’Autorità di qualificare le pratiche commerciali come #aggressive e #scorrette.

TWITTER/1 – Ancora una settimana interessante per quanto riguarda la “nuova era Musk” di #Twitter.  All’esito di un sondaggio condotto sulla piattaforma, #DonaldTrump –  espulso dal social nel gennaio 2021, a seguito dei suoi tweet a sostegno dell’attacco a Capitol Hill –  è stato riammesso. Per dare il “bentornato” all’ex @potus – account ufficiale del “President of the United States” – #Musk ha deciso di pubblicare (senza permesso) una tavola di  #MiloManara,  ironizzando sulle capacità di Trump di non cadere nella “tentazione” di usare il social. La reazione del fumettista italiano non è tardata  ad arrivare: l’artista ha affermato sulle proprie pagine social (scrivendo, provocatoriamente, anche in inglese) l’intenzione di far causa a Musk per 44 miliardi così da poter comprare a sua volta Twitter.;

TWITTER/2 – Dopo l’ondata di licenziamenti che ha colpito oltre la metà dei dipendenti della società, Twitter procede ad una assunzione che fa (altrettanto) notizia. Per i prossimi tre mesi, infatti, lavorerà alle funzionalità della piattaforma George “geohot” Hotz, hacker famosissimo a livello mondiale anche per aver collaborato con le big Google e Facebook. Nel frattempo si segnala che il lancio dell’iniziativa “premium” (prevista per il 29 novembre) è stata nuovamente rinviata, stavolta a data da destinarsi.

META SOSPENDE “GALACTICA” – Meta ha sospeso “Galactica”, piattaforma AI language-based descritta come in grado di memorizzare, combinare e ragionare sulla conoscenza scientifica, riassumendo articoli, risolvendo equazioni ed eseguendo una serie di altri compiti. Scienziati ed accademici hanno presto rilevato, invece, che l’intelligenza artificiale genera una grande disinformazione, anche attraverso la citazione di autori di articoli scientifici che non esistono. Secondo gli esperti del Max Planck Institute of Intelligent Systems, Galactica avrebbe creato false citazioni attribuendole a ricercatori del mondo reale. Inoltre la piattaforma distingue fake news da evidenze scientifiche, tanto da risultare pericolosa nella diffusione di contenuti di vario tipo.

DORA (DIGITAL OPERATIONAL RESILIENCE ACT) – Il Parlamento europeo ha approvato il contenuto del Regolamento “DORA” (Digital Operational Resilience Act), riguardante la resilienza operativa digitale per il settore finanziario. Lo spirito del regolamento è promuovere la resilienza operativa, costruire modelli operativi solidi ed efficaci per offrire tutele ai consumatori e costruire una solida struttura del settore finanziario, innovato profondamente da digitalizzazione e sistemi informatici, attraverso intermediari che offrono i loro servizi online.

Non è stato fornito nessun testo alternativo per questa immagine

PRIVACY & CYBERSECURITY

IL DIRITTO ALL’OBLIO VALE IN TUTTO IL MONDO – Con una recentissima pronuncia (ordinanza n. 34658, pubblicata lo scorso 24 novembre) la Suprema Corte di Cassazione si è pronunciata in materia di #dirittoalloblio. Accogliendo il ricorso proposto dal #Garante contro #Google (relativo alla diffusione, da parte del colosso di Mountain View, di informazioni inerenti ad una vicenda giudiziaria di natura penale – conclusasi con l’archiviazione – che ha coinvolto un manager italiano), gli Ermellini hanno stabilito che il diritto a non veder diffuse informazioni pregiudizievoli sul proprio conto deve essere esteso a tutte le piattaforme della società, anche quelle extraeuropee (il manager, infatti, risulta residente a Dubai). La decisione sconfessa dunque la ricostruzione fatta dal Tribunale di Milano, che aveva sostenuto la non extraterritorialità della legge italiana e dei provvedimenti della Garante per la protezione dei dati personali. A fondamento delle proprie ragioni, i giudici di piazza Cavour hanno richiamato la sentenza “Cnil” (resa dalla Corte di Giustizia dell’Unione il 24 settembre 2019) secondo la quale le autorità giudiziarie e di controllo devono in questi casi (i) procedere, innanzitutto, ad un bilanciamento tra #dirittodicronaca e diritto degli interessati a veder tutelata la propria sfera privata e (ii) richiedere ai gestori dei motori di ricerca di effettuare una #deindicizzazione dei contenuti su tutte le sue versioni. Lo standard valutativo per effettuare il bilanciamento – aggiunge in chiusura la Cassazione – deve essere quello proprio del diritto europeo o interno.

CENTRI UE PER LA SICUREZZA INFORMATICA – Come annunciato nella strategia europea del 2020 per la cybersicurezza, la Commissione europea e il Centro europeo di competenza sulla cybersicurezza (“ECCC”) hanno pubblicato un invito a selezionare gli enti che ospiteranno e gestiranno le piattaforme transfrontaliere per il rilevamento delle minacce informatiche negli Stati membri. All’interno degli organismi  collaboreranno enti pubblici competenti di diversi Stati membri insieme a soggetti privati. I centri operativi per la sicurezza transfrontaliera acquisteranno e utilizzeranno strumenti e servizi di individuazione delle minacce informatiche.

INFORMATIVE PRIVACY E INCLUSIVITA’ –  Il Gruppo di Lavoro per l’agevolazione dell’esercizio dei diritti dell’interessato di Federprivacy ha condotto una ricerca su un campione di 400 siti web in lingua italiana di settori diversi, verificando il livello di accessibilità delle informazioni presenti agli utenti con disabilità o limitazioni di altra natura. Nonostante la maggioranza dei siti esaminati abbia aggiornato la propria informativa, i risultati dal punto di vista dell’inclusività possono essere ampiamente migliorati, anche alla luce della recente strategia europea per le garanzie dei diritti umani delle persone svantaggiate, che dovrebbero comunque vedere rispettati i loro diritti sulla privacy. A questo fine, il Gruppo di Lavoro di Federprivacy ha preparato un vademecum per supportare gli enti pubblici e privati a redigere informative accessibili e inclusive.

CHIPS ACT – Gli Stati membri dell’UE hanno raggiunto un accordo, guidati dalla presidenza ceca nella sede del Consiglio, sulla legge europea sui semiconduttori (“Chips Act”). L’apposizione del sigillo da parte del Consiglio dell’Unione europea è fissata per il prossimo 1 dicembre, mentre è prevista per il prossimo anno l’approvazione del testo definitivo, a seguito di dibattito nel Parlamento europeo. Il Chips Act ha l’obiettivo di (i) rilanciare un settore ad alta innovazione dell’industria dell’Unione europea e (ii) allentare la dipendenza dai fornitori di semiconduttori di Stati Uniti e Asia, rendendo la catena di approvvigionamento più affidabile e resistente agli shock.

GUIDA ICO SUI TRASFERIMENTI INTERNAZIONALI – L’Information Commissioner’s Office (“ICO”) del Regno Unito ha pubblicato una guida sui trasferimenti internazionali (“TRA”, cioè “Transfer Risk Assessment”) che include uno strumento di sei domande utili per effettuare una valutazione sui trasferimenti internazionali. Le domande riguardano (i) le circostanze specifiche del trasferimento, (ii) il livello di rischio per i soggetti interessati in base ai dati personali trasferiti, (iii) la ragionevolezza e la proporzionalità del trattamento, (iv) rischi di violazione dei diritti umani (v) l’azionabilità del meccanismo di cui all’art. 46 UK GDPR (“garanzie adeguate”), (vi) dati con rischio significativo.

Non è stato fornito nessun testo alternativo per questa immagine

D. LGS. 231

CONTRASTO ALLA PROPAGANDA NAZIFASCISTA – Lo scorso ottobre sono state presentate in Parlamento due proposte di legge volte a emendare l’art. 604-bis c.p. ( rubricato “Propaganda e istigazione a delinquere per motivi di discriminazione razziale etnica e religiosa”) anche al fine di un suo inserimento nel novero dei reati-presupposto previsti dal #Decreto231. L’intento del legislatore sarebbe quello di includere all’interno della fattispecie la propaganda dell’ideologia nazifascista. La nuova fattispecie andrebbe dunque ad inserirsi nel già esistente articolo 25-terdecies (che attualmente trova il proprio fondamento esclusivamente nella legge n.654/1975, relativa alla eliminazione di tutte le forme di #discriminazionerazziale).

NOMINA DIFENSORE DELL’ENTE – I modelli di organizzazione, gestione e controllo (#MOGC) devono prevedere indicazioni specifiche per la nomina del difensore della società per tutti quei casi – chiaramente da scongiurare – in cui il rappresentante legale risulti indagato per uno dei reati-presupposto previsti dalla normativa #231. È quanto stabilito dalla Suprema Corte di Cassazione (con sentenza n. 35387, consultabile gratuitamente per gli iscritti all’associazione AODV231) al fine di assicurare alla società una difesa svincolata dal rischio di eventuali #conflittodiinteresse rispetto alle indagini a carico del rappresentante legale.

SUPERBONUS – Con sentenza n. 42012 (consultabile gratuitamente per gli iscritti all’associazione Aodv) la Corte di Cassazione ha affrontato la questione della rilevanza, dal punto di vista della responsabilità 231, dello sconto in fattura o cessione del credito nell’ambito delle ristrutturazioni agevolate dal #superbonus #110%. In particolare, secondo i giudici di piazza Cavour, la fatturazione in acconto di lavori non ancora eseguiti (o completati soltanto parzialmente) integra il reato di emissione di fatture per operazioni inesistenti: i crediti di imposta – idonei all’utilizzo a fini fiscali – sarebbero nella realtà assolutamente inesistenti.

Non è stato fornito nessun testo alternativo per questa immagine

NEWS DAL MONDO

ROMANIA – L’Autorità nazionale di vigilanza per il trattamento dei dati personali rumena (“ANSPDCP”) ha sanzionato per 20.000 euro una banca locale per un incidente di sicurezza, che ha comportato la divulgazione e l’accesso ai dati personali dei clienti della banca senza previa autorizzazione. Nella decisione si legge, in particolare, che la banca non aveva posto in essere misure tecniche e organizzative adeguate per garantire la sicurezza dei diritti e delle libertà delle persone fisiche.

USA/1 – Un gruppo di Procuratori Generali di vari stati U.S.A. (tra gli altri, quelli di California e Massachusetts) ha di recente inviato una lettera ad #Apple per esprimere le proprie raccomandazioni (e preoccupazioni) affinché questa si metta in moto per garantire che le app terze presenti sull’ App Store agiscano nel rispetto degli standard privacy necessari per assicurare un adeguato livello di garanzia per i diritti degli interessati interessati (soprattutto quando in gioco c’è la raccolta di dati inerenti alla salute riproduttiva). In particolare, i Procuratori Generali hanno intimato ad Apple di chiedere agli sviluppatori delle varie app di garantire l’adozione di misure di tutela, tra cui l’eliminazione dei dati non necessari per l’utilizzo dell’app.

USA/2 – Il “National Do Not Call Registry” (anche “DNC Registry”) è lo strumento che – al pari del nostro Registro delle Opposizioni – consente ai consumatori statunitensi di inserire il proprio numero di telefono all’interno di una lista di contatti che non gradisce ricevere telefonate di #marketing. Una volta in lista, ogni telefonata molesta può essere segnalata direttamente alla Federal Trade Commission (FTC). Lo scorso 21 novembre la FTC – come ogni anno, da 14 anni – ha rilasciato il “National Do Not Call Registry Data Book”, documento che fornisce un resoconto dei reclami promossi dai consumatori iscritti al DNC Registry contro le chiamate di telemarketing ricevute nel corso dell’anno. Secondo i risultati condivisi, nel corso del 2022 sarebbero stati oltre 3 milioni i reclami presentati e oltre 2,5 milioni i consumatori di nuova iscrizione. 

ESTONIA – L’Autorità garante estone ha gestito tre reclami riguardanti lo stesso Titolare del trattamento, contestando loro di non aver risposto adeguatamente alle richieste del soggetto interessato e affermando che la richiesta di un documento d’identità a fini di verifica è accettabile se sussiste un ragionevole dubbio sull’identità dell’interessato. L’Autorità garante ha posto l’attenzione sul fatto che, ai sensi dell’articolo 5, paragrafo 1, lettera a), del GDPR , i dati devono essere trattati in modo lecito, equo e trasparente nei confronti dell’interessato, e ai soggetti interessati non devono essere fornite informazioni fuorvianti in merito al trattamento dei dati. Ne parla anche GDPRHub, qui.

GERMANIA – Il Tribunale del lavoro di Heilbronn ha dichiarato invalida la risoluzione del contratto di lavoro di un DPO senza preavviso, a causa delle tutele garantite dalla legge tedesca sulla protezione dei dati (Bundesdatenschutzgesetz, “BDSG”) e della mancanza di prove di una concreta violazione dei doveri del DPO. Il tribunale ha dichiarato nullo il licenziamento del DPO, in quanto non sono stati riscontrati motivi ragionevoli per giustificare il licenziamento. La giustificazione della risoluzione del rapporto di lavoro si basava esclusivamente sull’incapacità del DPO di adempiere alle proprie responsabilità, in contrasto con la BDSG, che richiede una concreta violazione dei doveri del DPO, della quale deve essere data prova.

UK E COREA DEL SUD – Il Dipartimento per il digitale, la cultura i media e lo sport (DCMS) del Regno Unito ha recentemente annunciato di aver preso la decisione di stipulare un accordo di adeguatezza (il primo da “solista”, dopo l’uscita dall’UE) per il trasferimento dei dati personali con la Corea del Sud, ai sensi dell’art. 45 dell’UK GDPR. La decisione è stata presa a seguito di un iter di valutazione, al termine del quale è stato possibile affermare che – in virtù di una solida normativa in materia di privacy – la Corea offre adeguate tutele ai dati personali dei cittadini britannici. Sulla decisione è intervenuto anche l’ICO (Autorità garante locale) con un parere nel quale – oltre a concordare con la decisione – suggerisce, tra le altre cose, di tenere monitorate eventuali modifiche alla normativa sud coreana in materia (modifiche che potrebbero, eventualmente, impattare sulla sopravvivenza della decisione di adeguatezza).

HONG KONG – L’Office of the Privacy Commissioner for Personal Data (PCPD) ha annunciato di aver arrestato un uomo sospettato del reato di #doxxing, e cioè per aver divulgato – con intenzioni malevole – dati personali senza il consenso dell’interessato. Dalle indagini sarebbe emerso che l’uomo – un 48enne cinese, agente di approvvigionamento di lavori part-time che aveva organizzato per la vittima diversi lavori – aveva divulgato, in seguito ad una controversia, dati personali della vittima su una app di messaggistica istantanea. La divulgazione dei dati (tra i quali il nome, il numero di telefono e una copia del documento di identità) era stata inoltre accompagnata da un messaggio in cui l’imputato affermava che il soggetto in questione non sarebbe mai più stato assunto. Attualmente le indagini sono ancora in corso, ma all’imputato è stata intanto concessa la libertà su cauzione.

GERMANIA (BASSA SASSONIA) – Dopo aver ricevuto numerose segnalazioni circa l’uso di #GoogleFonts, la LfD Niedersachsachsen (Autorità garante della Bassa Sassonia) ha recentemente invitato gli operatori dei siti web a progettarli in maniera conforme alle norme dettate in materia di protezione dei dati personali. L’origine delle segnalazioni è da rinvenirsi in una sentenza (LG München I – 3 O 17493/20) resa lo scorso 20 gennaio dal tribunale regionale di Monaco, con la quale veniva riconosciuto alla parte attrice – promotrice di una causa contro un gestore di siti web –  un risarcimento del danno per utilizzo di Google Fonts in violazione delle disposizioni a tutela dei dati personali. L’integrazione di tali Fonts, infatti, può avvenire in due modi: (i) integrandoli online – con la conseguenza, però, di un automatico trasferimento dei dati degli utenti verso gli U.S.A. – o (ii) scaricandoli e memorizzandoli localmente sul server dell’utente del sito web – soluzione consigliata dall’Autorità garante in quanto maggiormente tutelante per gli interessati. 

L’effetto Bruxelles come chiave di lettura dei Regolamenti europei sui dati

/in , , /da

Quando si parla di “effetto Bruxelles”, ci si riferisce alla capacità dell’Unione europea di influenzare e regolamentare i mercati globali in modo unilaterale.

In questo senso, si può parlare di “extraterritorialità” delle norme europee, che plasmano il contesto normativo internazionale senza la necessità di ricorrere a imposizioni o a strumenti di cooperazione ulteriori.

Questa dinamica consente all’Unione europea di esercitare indirettamente un’influenza profonda sul comportamento delle aziende, e di trasformare, in questo modo, i mercati globali.

Quali sono i modi e gli strumenti con cui l’Unione europea realizza l’effetto Bruxelles?

Capacità regolativa locale

La capacità dell’Unione europea di trasferire nel mondo le sue preferenze normative non dipende esclusivamente dalla dimensione del proprio mercato, che giustificherebbe, in astratto, la capacità dell’Unione europea di “calare dall’alto” normative dirette agli Stati membri.

La dimensione del mercato non dà conto, di per sé, della capacità dell’Unione europea di trasferire ad altri le sue preferenze normative, proprio come non tutti gli Stati con un mercato grande diventano fonti di standard univoci.

Invece, bisogna considerare che nuove normative vedono la luce raramente su impulso centrale dell’Unione europea, e in genere hanno origine in iniziative regolatorie intraprese dai singoli Stati membri.

Gli Stati europei sono importanti centri di sviluppo locale di norme che potrebbero dar forma a regolamenti Europei, e in seguito avere ricadute applicative in tutto il mondo attraverso l’effetto Bruxelles.

Si colloca, piuttosto, in una seconda fase, la capacità della giurisdizione europea di promulgare e far rispettare le regole, che contribuisce a garantire la loro extraterritorialità.

Poteri sanzionatori

La capacità regolativa dell’Unione europea è spesso connessa a un’altra condizione: la propensione a promulgare norme stringenti, alle quali siano associate sanzioni certe.

L’Unione europea, in questa ottica, ha delegato l’applicazione di molte normative europee, tra le quali il GDPR, agli Stati membri, mantenendo comunque in capo alla Commissione il potere di perseguire le violazioni dei singoli Stati che non implementano o non applicano integralmente le leggi dell’Unione europea.

In questo modo, anche la Commissione può garantire che gli Stati membri siano motivati ad adempiere al loro mandato, e quindi contribuire fattivamente alla capacità regolativa dell’Unione europea.

Adeguamento spontaneo delle aziende

Le aziende e, in particolare, le multinazionali, tendono a preferire l’uniformità normativa, e finiscono spesso per estendere volontariamente le regole europee a tutte le proprie attività nel mondo, evitando il costo di doversi adeguare a molteplici sistemi di regolazione diversi.

L’effetto Bruxelles ha influito su molte attività regolatorie, tra le quali quella del mercato digitale: le normative europee determinano, ad esempio in che modo le Big Tech raccolgono, gestiscono, conservano e monetizzano i dati personali.

Facebook, Google e Microsoft hanno scelto di adottare un’unica privacy policy globale – che rispecchia molto da vicino la normativa di matrice europea.

Allo stesso modo, il Codice di condotta europeo contro l’illecito incitamento all’odio online influenza il tipo di linguaggio che le aziende del web permettono sulle rispettive piattaforme: invece di far riferimento al Primo Emendamento statunitense in materia di libertà di espressione, aziende come Facebook, Twitter o YouTube si ispirano alla definizione europea di “linguaggio dell’odio” per decidere quale contenuto rimuovere dalle proprie piattaforme.

Una chiave di lettura per i nuovi regolamenti europei in materia di dati personali

Con la pubblicazione del Digital Services Act nella Gazzetta Ufficiale dell’Unione europea, insieme a quella del recente Digital Markets Act, viene arricchito ulteriormente il quadro normativo per creare uno spazio digitale in cui siano tutelati i diritti fondamentali di tutti gli utenti dei servizi, oltre ad essere garantite condizioni di parità per promuovere l’innovazione, la crescita e la competitività, nel mercato unico europeo e a livello mondiale.

Si vuole ambire, con lo spirito e il metodo descritto, sia a regolamentare soggetti extra europei sulla base del criterio dell’offerta di servizi a destinatari e utenti ubicati nel territorio dell’Unione, sia a innalzare uno standard per analoghe iniziative estere.

Si tratta di ambizioni elevate, che coinvolgono la costruzione di un regime composito, che andrà a intersecarsi con altrettanto complesse discipline e che terrà probabilmente molto impegnate le Corti, nazionali e non, per chiarire la sua applicazione.

________________________________________________

Immagine di copertina di Paolo Margari grazie a Unsplash

I dati (personali) dei defunti: quale privacy?

/in , , /da

Cosa accade ai nostri dati quando non ci siamo più?

Quali sono i diritti legati ai contenuti di persone decedute?

Il Regolamento europeo sulla Protezione dei Dati Personali (“GDPR” o “Regolamento”) si applica anche alle persone decedute?

Normativa applicabile

Il Considerando n. 27 del GDPR esclude l’applicazione del Regolamento ai dati delle persone decedute; ma è presente una clausola di salvaguardia, subito dopo, che prevede la facoltà, per gli Stati membri dell’Unione europea, di emanare norme per regolare il trattamento di questi dati personali.

In Italia è l’art. 2-terdecies del D. Lgs. 196/2003, aggiornato dal D. Lgs 101/2018 (“Nuovo Codice Privacy”) a prevedere che i diritti spettanti agli interessati ai sensi degli artt. 15-22 GDPR (cioè l’accesso, la cancellazione, le limitazioni al trattamento, la portabilità dei dati – da qui in avanti “i diritti dell’interessato”) che si riferiscono ai dati personali riguardanti le persone decedute, possono essere esercitati (i) da chi ha un interesse proprio, o (ii)  agisce a tutela dell’interessato, (iii) in qualità di suo mandatario, o (iv) per ragioni familiari meritevoli di protezione.

L’esercizio di questi diritti non è ammesso, oltre che nei casi previsti dalla legge, quando l’interessato ne ha espressamente fatto divieto con dichiarazione scritta presentata o comunicata al Titolare del trattamento.

La volontà di vietare l’esercizio dei diritti dell’interessato deve risultare in modo non equivoco e deve essere specifica, libera e informata, e può riguardare anche solo l’esercizio di alcuni dei diritti dell’interessato.

In ogni caso, il divieto non può produrre effetti pregiudizievoli per l’esercizio, da parte dei terzi, dei diritti patrimoniali che derivano dalla morte dell’interessato, e non può impedire loro di difendere in giudizio i propri interessi.

Giurisprudenza

Fino a qui si è risposto ad alcune delle domande iniziali.

Ma sembra ora interessante, per vedere effettivamente cosa accade ai dati personali dopo il decesso di una persona, raccontare anche una recente sentenza sul tema.

Il 10 febbraio 2021, il Tribunale di Milano, in via cautelare, ha ordinato ad Apple Italia S.r.l. di fornire al figlio – ricorrente – i dati di una persona deceduta – il padre. Il Tribunale di Milano ha ritenuto illegittima la pretesa di Apple, fondata su norme americane in materia di sicurezza, che negava tale accesso.

Infatti, l’art. 2-terdecies del Nuovo Codice Privacy demanda alla persona la scelta, in vita, di lasciare o meno agli eredi la facoltà di accedere ai propri dati, e, in assenza di un espresso divieto, attribuisce agli eredi, o a chi agisce per “ragioni familiari meritevoli di protezione” l’esercizio dei diritti del defunto.

Il giudice di Milano ha ritenuto esistente anche un legittimo interesse da parte dei genitori, che prevale sulla sicurezza dei clienti opposta da Apple.

Qui il link diretto alla Sentenza.

Massime del Garante Privacy

Sembra infine utile concludere con qualche pillola sul tema, che è trasversale a diverse materie, dell’Autorità Garante per la Protezione dei Dati Personali italiana:

  • In tema di contratti bancari estinti dopo la morte di una persona, il relativo erede ha il diritto di accedere a tutti i dati personali concernenti il “de cuius”, ivi comprese le informazioni attinenti a pregressi rapporti obbligatori di cui egli sia stato contitolare- Garante 3 aprile 2002, in Bollettino n. 27, pag. 20 [doc. web n. 1065256]; e ancora l´erede ha diritto di conoscere tutti i dati personali riferiti al suo dante causa e detenuti da un istituto di credito. – Garante 10 dicembre 2003 [doc. web n. 1053648].
  • In tema di assicurazioni, il Titolare del trattamento è tenuto ad estrarre dagli atti e dai documenti detenuti – ivi comprese le polizze eventualmente sottoscritte – tutte le informazioni personali relative al defunto, mettendole a disposizione, in modo intelligibile, dell’erede, con esclusione dei dati relativi ai terzi beneficiari della polizza assicurativa Garante 31 marzo 2003 [doc. web n. 1053796].
  • In tema di atti giudiziari, il discendente del defunto ha pieno titolo ad accedere ai dati personali del “de cuius” a prescindere dalla concreta posizione attualmente rivestita in ambito successorio, senza che l’esercizio di tale diritto possa essere condizionato alla prova della qualità di chiamato all´eredità o all´esibizione di particolari documenti, quale la procura notarile rilasciata dagli eventuali altri eredi – Garante 19 novembre 2003 [doc. web n. 1152385].

____________________________________________

Immagine di copertina di David Menidrey grazie a Unsplash

Il diritto all’immagine: tutela e protezione su più fronti

/in , /da

L’immagine personale è senza dubbio considerata da ognuno di noi un diritto intimo, primario ed essenziale.

Forse, più di ogni altro diritto dell’essere umano.

La nostra immagine riflette al mondo esterno chi siamo, da dove proveniamo, se siamo tristi oppure felici. Ha la capacità di trasmettere così tanto di noi stessi agli altri che, inevitabilmente, ci fa sentire la necessità di preservare la sua riservatezza e controllarne la sua condivisione: vogliamo cioè essere noi a decidere se e quando diffondere la nostra immagine a terzi.

Negli ultimi anni, grazie all’evoluzione tecnologica e – soprattutto – all’avvento dei social network, abbiamo assistito ad una condivisione estremamente rapida di immagini personali veicolate a mezzo di video e fotografie.

Scattiamo foto e pubblichiamo contenuti: la vacanza con gli amici, la cena coi colleghi, il pranzo della domenica in famiglia.

La rapidità di approvvigionamento e di condivisione di immagini (personali) ci ha, tuttavia, allontanati da un concetto quanto mai essenziale: la legittimazione all’uso dell’immagine altrui.

La normativa di riferimento: dalla legge sul diritto d’autore al GDPR

Il diritto e la relativa tutela dell’immagine personale sono ben radicati nel nostro ordinamento, trovando le loro fonti tanto nel Codice civile quanto nella legge sul diritto d’autore, sfociando addirittura nella stessa Costituzione per via del rimando operato dall’art. 2 ai diritti inviolabili.

Con l’avvento della normativa privacy nazionale e, in ultimo, della regolamentazione europea del GDPR, la tutela dell’immagine è andata sempre più consolidandosi, tanto che pare importantissimo chiedersi: entro che limiti è possibile pubblicare e diffondere l’immagine altrui?

A livello cronologico, la prima fonte normativa ad occuparsi del tema è stata la legge 22 aprile 1941, n. 633 – cd. Legge sul diritto d’autore – che all’art. 96 stabilisce che “il ritratto di una persona non può essere esposto, riprodotto o messo in commercio senza il consenso di questa, salve le disposizioni dell’articolo seguente”.

Con l’art. 97 il legislatore ha infatti voluto fissare una deroga alla regola generale dell’art. 96, stabilendo i casi in cui si può lecitamente diffondere l’immagine altrui prescindendo dal consenso dell’interessato.

Per il legislatore, dunque, non occorre il consenso della persona ritratta quando “la riproduzione dell’immagine è giustificata (i) dalla notorietà o dall’ufficio pubblico coperto, (ii) da necessità di giustizia o di polizia, da scopi scientifici, didattici o culturali, o (iii) quando la riproduzione è collegata a fatti, avvenimenti, cerimonie di interesse pubblico o svoltisi in pubblico”.

Più di recente, con il Regolamento Europeo 2016/679 (GDPR) viene introdotta in Italia una nuova normativa in materia di protezione dei dati personali, normativa che indubbiamente si riflette anche sulla protezione dell’immagine personale in quanto dato personale.

Secondo la definizione offerta dall’art. 4, n.1 GDPR, dato personale è “qualsiasi informazione riguardante una persona fisica identificata o identificabile”, considerandosi identificabile la persona fisica che “può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.

L’immagine di ognuno di noi è un contenitore composito di dati personali, anche particolari (cioè sensibili). L’immagine personale trasmette infatti al mondo il genere, l’età, l’etnia di ognuno di noi. Addirittura, la presenza di qualche malattia. 

A mente dell’art. 9 GDPR, non è possibile – in via generale – trattare dati personali particolari salvo che, tra gli altri, in caso di consenso esplicito dell’interessato.

Entrambe le normative prevedono dunque, entro certi limiti, degli strumenti “abilitanti”, che consentono di diffondere in maniera legale l’immagine personale di un terzo: strumenti che si risolvono nella liberatoria e nella informativa privacy.

Informativa o liberatoria?

A fonte delle due normative maggiormente incisive in materia – legge sul diritto d’autore da un lato e GDPR dall’altro – è utile capire quale strumento sia, in concreto, più efficace.

L’informativa privacy è un documento all’interno del quale un soggetto, in qualità di titolare del trattamento, comunica all’interessato una serie informazioni riguardanti il trattamento dei propri dati personali.

Gli articoli 13 e 14 GDPR illustrano il contenuto tipico di una informativa, per cui il soggetto che intenda utilizzare l’immagine altrui dovrà comunicare – tra le altre cose– le finalità e le basi giuridiche del trattamento, il tempo di conservazione dei dati trattati, l’esistenza di una serie di diritti, tra cui è ricompreso anche il diritto di revocare il consenso.

In accordo con quanto stabilito dall’art. 7 GDPR, infatti, “l’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento”.

Sebbene la revoca del consenso non pregiudichi la liceità dei trattamenti basati sul consenso già effettuati – avendo pertanto una efficacia ex nunc – impedirebbe di fatto l’uso futuro dell’immagine.

La liberatoria è, al contrario, un accordo bilaterale – un contratto! – in virtù del quale il soggetto ritratto in un documento video-fotografico presta il suo consenso affinché la propria immagine venga divulgata.

A differenza dell’informativa, la liberatoria non ha un vero e proprio contenuto tipico; tuttavia – per essere efficace anche dal punto di vista della tutela del predisponente – deve inevitabilmente informare il soggetto ritratto sullo scopo per il quale l’immagine viene utilizzata.

Una volta ottenuto un assenso con la firma della liberatoria, il predisponente sarà tutelato da eventuali future opposizioni all’uso.

Nell’ottica di una maggior tutela del soggetto che intenda usare e divulgare l’altrui immagine – fermo in ogni caso l’obbligo di fornire una adeguata informativa privacy – è sempre preferibile predisporre una liberatoria in modo tale da assicurarsi l’uso indisturbato dell’immagine in oggetto.

La tutela dell’immagine del lavoratore

Fatte queste premesse generali, proviamo in questa sede a rispondere ad una (importantissima) domanda: come utilizzare l’immagine di un dipendente dell’azienda?

La questione è particolarmente complicata: quanto può davvero definirsi libero il consenso – o meglio, l’ipotetico dissenso – di un lavoratore dipendente?

Il potere contrattuale delle parti, indiscutibilmente sbilanciato a favore del datore di lavoro, potrebbe comportare la spiacevole situazione per cui un soggetto possa sentirsi, nei fatti, “obbligato” a prestare il proprio consenso perché vincolato dal contratto di lavoro (per non parlare del caso limite in cui sia proprio il datore di lavoro a estorcere il consenso).

La liberatoria, risolvendosi in una vera e propria scrittura privata tra le parti, ha lo scopo di mettere nero su bianco le condizioni dell’accordo che, una volta sottoscritto, ha tra le parti valore di contratto.

È dunque la liberatoria il contratto al quale fare più correttamente riferimento nella informativa privacy, contratto che – prescindendo dal consenso (che nello specifico caso non sarebbe mai davvero “liberamente prestato”, come richiede la normativa vigente in materia di trattamento dei dati personali) consente un uso della immagine del lavoratore priva dei rischi connessi ad una eventuale revoca del consenso stesso.

______________________________________________

Immagine di copertina di Steve Gale grazie a Unsplash

News #40: arriva un nuovo accordo USA-UE sui dati (parte speciale!); norme sul whistleblowing; il TAR annulla la sanzione AGCM ad Amazon e Apple 

/in , , , /da

Immagine di copertina di Justin Luebke grazie a Unsplash.

SPECIALE DATA TRANSFER USA-UE

Per quanto sia ormai cosa nota – che si trascina da tempo senza particolari novità utili – la questione del “trasferimento di dati” tra UE e USA e le sue ricadute sull’utilizzo dei servizi forniti dalle società americane è giunta questa settimana ad un importante punto di #svolta.

Abbiamo quindi preparato un breve focus delle risorse ad oggi disponibili, per capire meglio cosa sta accadendo: seguiranno approfondimenti specifici man mano che la “novità” sarà commentata dagli attori in campo – incluso, e certo non ultimo, Max #Schrems, che ha già manifestato dubbi sul “passo in avanti” compiuto dall’amministrazione Biden e che #vigilerà con occhio attento sulle “svolte” della legislazione in materia di data protection.

Il nuovo E.O. di Biden

Il 7 ottobre il Presidente USA ha firmato un “Executive Order” (E.O.) finalizzato a consentire l’implementazione del nuovo EU-US Data Privacy Framework (“DPF”): in un fact sheet la Casa Bianca ha pubblicato i contenuti cardine di questa importante decisione, che mira a consentire all’Unione Europea (e nello specifico alla Commissione) di pronunciarsi nuovamente sulla #adeguatezza degli Stati Uniti d’America rispetto al libero flusso di dati personali sulle sponde dell’atlantico. L’annullamento del precedente Privacy Shield nel 2020, infatti – ad opera della sentenza #SchremsII – aveva reso complesso, e a tratti impossibile (vedi vicenda Google Analytics), utilizzare strumenti forniti da soggetti americani o comunque collegati a società USA-based.

Q&A pubblicato dalla Commissione UE

Al di qua dell’oceano, l’Unione Europea non si è fatta trovare impreparata. Lo stesso giorno la Commissione UE ha pubblicato una pagina di domande & risposte in cui dettaglia perchè, dopo l’annuncio congiunto del 25 marzo scorso, questo E.O. è un passo nella direzione di un nuovo accordo. In particolare:

  • sono previste salvaguardie di legittimità verso l’accesso ai dati personali da parte delle agenzie federali USA, con limiti legati alla necessità e proporzione di tutela di reali e legittimi interessi pubblici;
  • è previsto un meccanismo giudiziale di diversi livelli, a tutela di lamentele e situazioni limite (o in violazione della normativa), che include una corte dotata di poteri.

Cosa succede ora?

Al momento, nulla di significativo per l’uso di #GoogleAnalytics o di altri tool a matrice USA: come chiarisce anche il fact sheet della Commissione UE, al momento deve essere valutata l’adeguatezza dell’E.O. di Biden per arrivare ad una nuova decisione sui flussi di dati personali USA-UE, oltre che un nuovo “schema di certificazione” emesso dal Dipartimento del Commercio USA che stabilisca i requisiti per le società USA.

Certamente, l’uso delle clausole contrattuali tipo (“SCC”) e degli altri meccanismi già in vigore resta valido, e andrà rivalutato alla luce della situazione aggiornata: ci si chiede se può considerarsi ora meno rischioso il trasferimento di dati verso gli USA, dopo che l’E.O. ha superato (almeno in parte) i dubbi riguardanti il FISA 702 e l’E.O. 12333 al centro della sentenza Schrems II di annullamento del Privacy Shield.

Commenti a caldo

Non sono mancate le reazioni a questo importante annuncio: forse la più rilevante – e facile da prevedere – è stata quella di Max Schrems che, con la sua no-profit “NOYB” (None Of Your Business) ha pubblicato un primo articolo di revisione in cui propende per la non sufficienza di questo E.O. rispetto alle necessità poste dal diritto UE per una decisione di adeguatezza che sia solida ed effettiva. Segnaliamo anche una revisione “strutturata” del testo dell’E.O. sempre prodotta da NOYB, molto interessante.

A quando la decisione di adeguatezza?

Probabilmente non prima di alcuni mesi, dato che è necessario il parere – non vincolante – dell’EDPB (garanti europei riuniti) e dei singoli Stati Membri: NOYB ipotizza la primavera 2023, mentre l’annuncio di marzo poneva il prossimo autunno come la deadline sperata.

  • PRIVACY & CYBERSECURITY

MESE EUROPEO DELLA CYBERSECURITY – La ricorrenza rappresenta un’occasione per affinare la percezione dei #rischi connessi agli attacchi informatici, migliorando gli strumenti per difendersi. Gli esperti sottolineano ormai costantemente l’importanza di disporre di #backup dei propri dispositivi (“business continuity”, “disaster recovery”), e la sicurezza delle credenziali di autenticazione usate; ancora, il mese della cybersecurity è un buon momento per dare un’occhiata a #report come il Rapporto Clusit 2022, che mostra come phishing e ransomware siano fra le tecniche più utilizzate per gli attacchi.

CORTE DI GIUSTIZIA E DANNI PRIVACY NON MATERIALI – E’ stata di recente pubblicata l’opinione dell’Avvocato Generale della CGUE riguardo al caso (austriaco) C-300/21 di valutazione dell’automatismo, o meno, dei danni immateriali generati da una violazione del GDPR, di cui all’art. 82. In estrema sintesi, il parere propende per un diniego di ogni automatismo e una necessità di provare in concreto un effettivo danno per la persona, evitando qualunque presunzione o impostazione predefinita che superi il caso di volta in volta all’attenzione del giudice.

  • 231

WHISTLEBLOWING – Il prossimo 10 dicembre è una #data da tenere a mente per la compliance 231: il Governo sarà tenuto entro quel termine a rivedere la normativa in materia di #whistleblowing per adeguarla a quanto previsto dalla Direttiva UE 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione. Tra le novità che il Governo potrebbe introdurre nel recepire la normativa europea è compresa la #estensione dell’ambito applicativo del whistleblowing ad altri settori, quali la protezione dei dati personali, la sicurezza informatica e la sicurezza dei prodotti e dei trasporti.

  • MERCATI DIGITALI

TAR DEL LAZIO ANNULLA SANZIONE ANTITRUST – Con la sentenza n. 12507/2022 il TAR del Lazio (Sezione Prima) ha annullato le sanzioni comminate ad Amazon e ad Apple dall’Autorità Garante della Concorrenza e del Mercato (“AGCM”). All’esito del procedimento I842 (“VENDITA PRODOTTI APPLE E BEATS SU AMAZON MARKETPLACE”), le società avevano ricevuto, rispettivamente, sanzioni per 114.681.657 Euro e 58.592.754 Euro, per aver stipulato un’intesa ritenuta anticoncorrenziale e contestata in violazione dell’art. 101 TFUE. L’intesa era volta a riservare la vendita di prodotti Apple/Beats (prodotti Apple), tramite il #marketplace di Amazon agli Apple Premium Resellers, e riguardava una clausola del contratto stipulato tra Apple e Amazon nel 2018 che aveva l’obiettivo di contrastare la contraffazione presente nel marketplace online e, in particolare, in quello di Amazon. Le #censure proposte dalle ricorrenti – (1) tardività dell’avvio del procedimento; (2) violazione del contraddittorio in relazione alle informazioni rilevanti per la sua difesa; (3) irragionevolezza del termine a difesa – sono state accolte dal TAR del Lazio, che ha annullato i provvedimenti sanzionatori dell’AGCM.

DOCUMENTO CONTRO LA CONTRAFFAZIONE ONLINE – In occasione della settimana Anticontraffazione 2022, il 4 ottobre il Ministero dello Sviluppo economico ha presentato un documento programmatico condiviso, oltre che con società quali Amazon, Alibaba, Ebay, Meta, Google Italy, Yoox, Tik Tok, anche con il Movimento italiano genitori (“MOIGE”) e con l’Associazione per la tutela della proprietà intellettuale INDICAM. La finalità del programma è quella di tutelare i consumatori e le imprese dalla #contraffazione sul mercato online, notevolmente cresciuta durante il periodo Covid.

OPEN TERMS ARCHIVE – Un software gratuito e open source realizzato dal team dell’Ufficio dell’Ambasciatore francese per gli affari digitali. Il suo codice sorgente può essere liberamente riutilizzato e costruito, a condizione che i miglioramenti siano resi disponibili alla comunità alle stesse condizioni. Il suo funzionamento prevede che i #testilegali di un servizio online vengano riportati e poi tracciati da parte di collaboratori volontari che, più volte al giorno, li scaricano e archiviano e, quando sono individuati cambiamenti, li registrano e li espongono.

TWITTER-MUSK SAGA – Continuiamo con gli aggiornamenti sulla vicenda: il processo al momento è stato #sospeso per tre settimane, durante le quali saranno svolti dei negoziati volti a trovare un accordo transattivo e a consentire di concludere l’acquisto di Twitter da parte del magnate sudafricano. Entro il prossimo 28 ottobre sapremo di più.

  • NEWS DAL MONDO

UK – Annunciato dal nuovo Segretario di Stato per il Digitale, la Cultura i Media e lo Sport un “nuovo approccio” al trattamento dei dati che vorrebbe prendere una direzione divergente rispetto al GDPR e alla normativa attualmente in vigore, lo “UK GDPR”. #Preoccupante, a detta di molti commentatori, che in una fase così complessa a livello internazionale si decida di modificare nuovamente il framework operativo per un paese così importante, mettendo in pericolo anche la decisione di adeguatezza (provvisoria) emessa dalla Commissione UE.

USA – Il 4 ottobre 2022 la Casa Bianca ha un dato avvio a un progetto per una Carta dei diritti dell’intelligenza artificiale, che ruota intorno a #cinque #principi per la progettazione, l’uso e l’implementazione di sistemi automatizzati volti a proteggere il pubblico americano: (i) Sistemi sicuri ed efficaci; (ii) Protezioni contro la discriminazione algoritmica; (iii) Privacy dei dati; (iv) Avviso e spiegazione; (v) Alternative umane, considerazione e ripiego.

ARIZONA – Google LLC e il Procuratore Generale dell’Arizona hanno raggiunto un #accordo per 85 milioni di dollari a conclusione del processo per pratiche ingannevoli e sleali nei confronti degli utenti. Google LLC raccoglieva, senza consenso, i loro dati sulla posizione personale monitorando gli smartphone, anche quando i consumatori avevano disabilitato la cronologia delle posizioni.

INDIA – Sarà la sessione invernale del parlamento locale a valutare la #nuovanormativa (revisionata) in materia di data protection: lo ha annunciato il governo alla Suprema Corte indiana.

News #39: un nuovo passo verso il flusso di dati USA-UE; norme in arrivo per in ambito cyber resilience e AI; cambiano ancora alcuni reati 231

/in , , , /da

Immagine di copertina di Photoholgic grazie a Unsplash.

PRIVACY & CYBERSECURITY

VERSO UN NUOVO PRIVACY SHIELD – Politico ha riportato, nei giorni scorsi, che la Casa Bianca potrebbe #pubblicare l’atteso Executive Order a firma del Presidente Biden riguardo ai trasferimenti transatlantici di dati durante la prossima settimana. Nelle intenzioni dell’amministrazione federale USA, infatti, l’ordine del Presidente dovrebbe iniziare a porre le basi per una #soluzione alle problematiche che da diverso tempo vedono contrapposte le norme e i principi fondanti del GDPR rispetto alle pratiche di #sorveglianza negli Stati Uniti poste in essere dalle agenzie federali. Max Schrems ha già annunciato che, con NOYB, valuterà a fondo e con grande rigore questa novità: staremo a vedere.

PIANO ISPETTIVO DEL GARANTE ITALIANO – Pubblicato nei giorni scorsi il piano di ispezioni e attività per il periodo luglio-dicembre 2022: figura, in primo piano, l’attività in merito al tema “Google Analytics” (e non poteva essere diversamente), oltre a verifiche in ambito dati personali particolari (GreenPass, siti di incontro, intelligenza artificiale).

CONSIP E ACCORDI CYBERSECURITY – CONSIP procede con nuovi accordi e iniziative per la #digitalizzazione della Pubblica Amministrazione, con un’attenzione particolare ai servizi di sicurezza. Tra le varie opzioni messe a disposizione dal nuovo contratto figurano il “Security Operation Center”, che garantirà la corretta operatività dei sistemi attraverso la prevenzione, la gestione e la risoluzione di #criticità di sicurezza; il “Next Generation Firewall”, che consente il filtraggio del traffico di rete interno ed esterno, limitando o bloccando gli accessi non autorizzati e i malware; il “Web Application Firewall”, che abilita il monitoraggio e il blocco del traffico di un servizio Web, proteggendo gli enti pubblici dagli attacchi incorporati nei dati trasmessi dalle applicazioni online.

CYBER RESILIENCE ACT – E’ stata pubblicata la proposta di Regolamento (i cui aggiornamenti sono disponibili su questo sito dedicato) sulla #cybersecurity dei prodotti digitali (“European Cyber Resilience Act”). Lo scopo della normativa è migliorare la percezione della cybersecurity nelle varie fasi dello sviluppo di un prodotto. Fra i risultati attesi figurano, in particolare: un miglioramento della sicurezza dei prodotti con elementi digitali sin dalla progettazione e fase di sviluppo e durante l’intero ciclo di vita; la garanzia di un #framework di cybersecurity che faciliti la conformità per i produttori di hardware e software; un miglioramento della #trasparenza delle proprietà di sicurezza dei prodotti con elementi digitali.

TIKTOK: TRATTATIVE, SANZIONI E MODIFICHE PRIVACY – La piattaforma TikTok, della società di Pechino “ByteDance”, sta attuando importanti revisioni in tema di privacy. Già da due anni sono in corso trattative con gli Stati Uniti d’America, che avevano ordinato alla società cinese una cessione di TikTok, nel timore che i dati degli utenti americani potessero entrare nella disponibilità del governo comunista cinese. ByteDance, assicurando di poter soddisfare le preoccupazioni per la sicurezza nazionale degli Stati Uniti, apporterà modifiche alla sicurezza e alla governance dei dati nella piattaforma senza che la società madre debba venderla. Al di qua dell’oceano, la Information Commissioner’s Office britannica (“ICO”) ha inviato un avviso di intenti a TikTok, prospettando una sanzione di 27 milioni di sterline, per violazioni della legge sulla protezione dei dati del Regno Unito verificatesi tra il 2018 e il 2020. Nel frattempo, TikTok ha introdotto il tasto “Non mi piace” per manifestare dissenso nei confronti di un commento: una novità che nata con l’intento di aiutare a individuare commenti inappropriati, dando voce ai riscontri diretti degli utenti.

IL GARANTE E LE TELEFONATE INDESIDERATE – Pubblicato sul sito del Garante italiano (qui) un modulo standard per segnalare all’Autorità la violazione della recentissima normativa in materia di Registro Pubblico delle Opposizioni: in questo modo qualunque cittadino potrà informare l’Autorità della ricezione di telefonate indesiderate.

  • 231

INTEGRAZIONE AL D.LGS. 75/2020 – Il Consiglio dei Ministri, nella seduta del 28 settembre, ha approvato il decreto correttivo del D.Lgs 75/2020, prevedendo delle #specifiche in tema di: (1) appropriazione indebita da parte del funzionario pubblico; (2) congelamento e confisca degli strumenti e dei proventi dei reati o di beni di valore corrispondente; (3) indebita percezione di erogazioni a carico totale o parziale del Fondo europeo agricolo di garanzia e del Fondo europeo agricolo per lo sviluppo rurale; (4) reati concernenti le dichiarazioni IVA. Il Comunicato stampa della seduta è disponibile a questo link, mentre la relazione tecnica del Governo è disponibile a quest’altro link.

NON MIGLIORA L’APPORTO DELLE PA ALL’ANTIRICICLAGGIO – Secondo l’analisi di alcuni esperti, l’Unità di Informazione Finanziaria (“UIF”) ha rilevato una debolezza della Pubblica Amministrazione nel controllo dei reati di #riciclaggio che riguardano anche il nuovo canale di finanziamenti aperto dal #PNRR. Non sono soddisfacenti, tra le altre cose, la percentuale molto bassa di PA iscritte al portale Infostat-Uif e la scarsa segnalazione di situazioni di #rischio. Il documento di approfondimento dei Quaderni nell’antiriciclaggio è disponibile a questo link.

  • MERCATI DIGITALI

IDENTITA’ DIGITALE EUROPEA – Il Consiglio dei ministri dell’Unione europea, attualmente presieduto dalla Repubblica Ceca, ha formulato – come riporta Euractiv nella propria newsletter – una nuova versione del testo sull’Identità Digitale Europea. Oltre ai temi centrali dell’interazione con le altre normative, dell’uso offline del servizio e della relativa certificazione, dal punto di vista della protezione dei dati personali saranno assicurati metodi di protezione e di identificazione degli utenti, tra i quali l’autenticazione ad almeno due fattori e la minimizzazione dei dati attraverso la divulgazione selettiva.

DISSENSO SULLA LEGGE EUROPEA PER l’IA – Alcune associazioni europee del settore #software hanno chiesto all’Unione europea di eliminare i piani per includere la regolamentazione dell’IA generica, compresa l’elaborazione del linguaggio naturale e i chatbot, nel suo nuovo atto sull’IA, descrivendolo come un #allontanamento fondamentale dal suo obiettivo originale. Le associazioni hanno esortato le istituzioni dell’Unione europea a respingere le recenti aggiunte alla legge che includono la regolamentazione dell’IA generica e mantenere un #approccio basato sul rischio. La richiesta è disponibile a qui.

EURO DIGITALE – Il Presidente della Banca federale tedesca ha suggerito alle istituzioni economiche e finanziarie europee la possibilità di adottare una moneta unica europea digitale. L’idea era già stata considerata da parte della Banca Centrale europea, ma non è priva di rischi e necessita un’analisi adeguata. Lo scenario finanziario potrebbe, infatti, essere dominato da una valuta digitale dominante, e per scongiurare questo pericolo – afferma Fabio Panetta, membro del comitato esecutivo della Banca Centrale europea – bisogna prendersi tutto il tempo necessario.

UN PRIME DAY IN PIU’- Oltre al Prime Day di Amazon, organizzato a luglio, l’azienda proporrà altri due giorni di sconti il prossimo mese: anche l’11 e il 12 ottobre saranno offerte merci a prezzo scontato ai clienti Prime. È la prima volta in cui l’evento viene organizzato due volte l’anno. Questo ulteriore Prime Day può essere interpretato come un segnale di rallentamento degli scambi commerciali della piattaforma, dovuto alla recente crisi: risulta, infatti, che anche altre aziende stanno cercando di contrastare gli effetti di rallentamento dei commerci.

  • NEWS DAL MONDO

NORVEGIA – La Commissione per la Privacy, a seguito del mandato ricevuto dal Governo nel 2020, ha presentato il 26 settembre 2022 un report sulla situazione della data protection nel Paese: l’Autorità Garante locale (“Datatilsynet”) ha accolto con favore il resoconto e ne ha esposto i punti chiave in una rassegna stampa (il report, solo in norvegese, è disponibile a questo link).

USA – La Commissione Federale per le Comunicazioni (“FCC”) statunitense ha firmato dei protocolli d’intesa (“Memorandum of Understanding” o “MoU”) con l’agenzia nazionale brasiliana delle telecomunicazioni e l’Autorità nazionale rumena per promuovere la collaborazione fra i Paesi nella lotta contro le comunicazioni telefoniche indesiderate. Qui il comunicato stampa. 

BELGIO – La Corte d’Appello Belga ha proposto un rinvio di interpretazione alla la Corte di Giustizia dell’Unione europea avente ad oggetto il Transparency and Consent Framework (“TCF”), sviluppato da IAB, una società di pubblicità digitale. La Corte d’Appello, a seguito di numerose denunce e di un’indagine avviata dal Garante, ha chiesto se un TC-String, cioè un codice contenente la decisione di consenso dell’utente, sia un dato personale e quale sia la natura dei contitolari del trattamento. In attesa della pronuncia della Corte di Giustizia dell’Unione europea, il rinvio della Corte d’Appello Belga è disponibile a questo link.

La tutela dei consumatori nella pubblicità, tra privacy e concorrenza

/in , , , , , /da

I mondi della privacy e della concorrenza, se osservati nell’ottica del fare e ricevere pubblicità, sono spesso legati da un denominatore comune: la tutela dei consumatori.

I diritti elencati nel Codice del Consumo – tra i quali figurano la salute e la sicurezza, gli interessi economici, il diritto all’informazione e ad adeguate istruzioni, il diritto al risarcimento, alla rappresentanza e alla partecipazione – rappresentano dei veri e propri diritti soggettivi, garantiti nella tutela individuale e collettiva.

Privacy e concorrenza

Tra i rimedi di natura amministrativa posti a presidio dei consumatori esistono, in particolare, due principali strumenti a fronte di violazioni della privacy che trascendono in pratiche di concorrenza sleale: rivolgersi al Garante privacy, oppure adire l’Autorità Antitrust.

Le due vie si trovano spesso ad intrecciarsi e a far collidere il mondo dei diritti individuali, in particolare quelli relativi alla protezione dei dati personali, con quello della tutela del singolo nel settore della concorrenza e dei mercati.

In questo senso, l’Avvocato generale dell’Unione europea – che formulerà prossimamente le sue conclusioni nel corso del procedimento C-252/21 – in armonia tra l’altro con le decisioni sia del Consiglio di Stato (Sent. 2630 e 2631 del 2021) che del Tar Lazio (Sent. 260 e 261 del 2020), ha proposto alla Corte di Giustizia dell’Unione europea di affermare che per valutare una violazione della concorrenza, l’Autorità antitrust possa incidentalmente indagare se una prassi imprenditoriale sia conforme o meno al GDPR.

Se così decidesse anche la Corte, dal punto di vista delle imprese si porrebbe il necessario tema di (ri)verificare la modulistica contrattuale a disposizione, secondo un doppio parametro di giudizio: la condotta di prevedere all’interno di contratti commerciali delle condizioni di utilizzo di servizi in violazione del GDPR diverrebbe, infatti, censurabile sia dalpunto di vista delle tutele del consumatore sia da quello delle tutele dell’interessato come soggetto passivo in ambito privacy.

Pubblicità

Il caso citato riguarda in effetti Facebook Ireland Ltd. (e la propria controllata locale tedesca), ed in particolare le attività pubblicitarie effettuate a mezzo di Instagram con il supporto dei c.d. “Strumenti di Facebook Business”, in relazione ad un caso in cui è in corso la valutazione dell’abuso di posizione dominante a carico del social network in blu anche in relazione ai dati personali raccolti dagli utenti privati (consumatori), per poi proporre loro pubblicità targettizzate.

In questo senso, si rileva una scelta in senso opposto da parte di Google Italy, che ha di recente annunciato il proprio ingresso nell’italianissimo Istituto dell’Autodisciplina Pubblicitaria (“IAP”) come socio ordinario (qui la notizia).

Google si è così impegnato, accettando il Codice di autodisciplina elaborato dall’Iap, a promuovere una pubblicità più responsabile e sostenibile.

Con questa scelta il principale gestore dei sistemi di advertising online si sottopone ad un quadro di tutela spontanea, anche preventiva, di cui i consumatori fruiranno rispetto alle comunicazioni al pubblico che vengono quotidianamente veicolate dalla piattaforma.

L’ampia eco dell’azione di Google, secondo diversi esperti, non tarderà ad essere avvertita: è una tappa fondamentale nella diffusione nel mondo del web dell’Autodisciplina e dell’enforcement della tutela degli utenti e dei consumatori.

Una riflessione a margine

Oggi più che mai è impensabile fare pubblicità senza dati: diventa allora sempre più importante che ciò avvenga con il rispetto sia delle norme stabilite nel GDPR (e per noi nel Codice privacy) che nella normativa sulla concorrenza e, verso i singoli, nel Codice del Consumo.

La sfida diventa allora, in altri termini, quella di saper conciliare le numerose possibilità offerte dalla tecnologia per la realizzazione e la diffusione di pubblicità mirate con il rispetto delle regole, e delle conoscenze, giuridiche e tecniche.

Soprattutto sarà sempre più rilevante – ed evidente – l’intenzione (o meno) di rinunciare, da parte di ciascuna azienda, a soluzioni apparentemente “semplici” e di grande effetto, come lo sfruttamento di informazioni sui consumatori acquisite con metodi non corretti, che però urtano contro i principi posti a tutela dei dati personali e possono diventare fonte di sanzione anche in ambito di pubblicità e concorrenza.

__________________________________________

Immagine di copertina powered by Dall-E 2 (artist AI + @mpedruzzi)

Il percorso USA verso una legge privacy federale

/in , /da

Lo scorso 3 giugno è stata presentata al Congresso degli Stati Uniti l’American Data Privacy & Protection Act (ADPPA), il più recente e – almeno al momento – efficace tentativo di costruire una legge federale in materia di trattamento e protezione di dati personali.

La prospettiva di una legge federale in USA è, oggi più che mai, estremamente importante: si pensi prima di tutto al tema dei “trasferimenti internazionali” di dati personali, che così tanto sta creando complessità e problemi soprattutto rispetto alle previsioni e tutele poste dalla legislazione dell’Unione Europea.

Il panorama legislativo statunitense in materia di protezione di dati personali è, infatti, attualmente assai disomogeneo: su cinquantuno Stati esistono solamente cinque legislazioni complete (California, Connecticut, Colorato, Utah e Virginia) tra loro, tuttavia, poco allineate.

ADPPA: luci e ombre

Sebbene l’approvazione dell’ADPPA porterebbe con sé dei risultati indubbiamente positivi – come, ad esempio, l’irrobustimento delle tutele dei cittadini soprattutto in quelle aree in cui di fatto, non esistendo una normativa dedicata non esistono diritti specifici in materia – dall’altro desta comunque delle perplessità.

Innanzitutto, poiché la bozza di legge contiene una prelazione del diritto federale (quindi centrale) su quello statale (quindi locale): una sua approvazione comporterebbe così inevitabilmente un abbassamento del livello di protezione in quegli stati in cui la normativa statale è particolarmente favorevole.

Le maggiori problematiche si registrerebbero allora in California dove, oltre a vedersi fortemente ridotti i diritti concessi dal CPRA (California Privacy Rights Act), si assisterebbe anche allo scioglimento della California Privacy Protection Agency (CPPA), l’equivalente dei Garanti nazionali europei.

L’ADPPA escluderebbe inoltre dall’ambito dei dati protetti, tra gli altri, i dati relativi ai dipendenti. In altre parole, risulterebbero sprovvisti di ogni tutela dati personali quali:

  • le informazioni identificative e di contatto del dipendente;
  • i contatti di emergenza resi dal dipendente al proprio datore di lavoro;
  • le informazioni relative al dipendente, al coniuge o ad altri familiari fornite ai fini dell’accesso a determinati benefici occupazionali.

Non un nuovo GDPR

Benché la bozza non si ispiri propriamente al GDPR, esistono dei punti di contatto tra le due normative.

Entrambe, infatti, sanciscono ad esempio il principio di Privacy by Design – per il quale la tutela dei dati personali debba attuarsi sin dalla fase della progettazione di prodotti/servizi – così come la necessità che i dati siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (cd. minimizzazione dei dati).

Valutazioni essenzialmente simili sono effettuate anche per quanto riguarda i dati sensibili (o particolari): anche l’ADPPA riconosce particolare tutela a tutte quelle informazioni in grado di rivelare lo stato di salute – passato, presente e futuro – di un individuo, arrivando poi ad annoverare in tale categoria di dati anche le comunicazioni private di un individuo, come ad esempio sms o e-mail.

Trasferimenti UE – USA

Dal punto di vista di noi “osservatori europei” la questione indubbiamente più importante è quella relativa alla possibilità che, in seguito all’approvazione della bozza, possa tornarsi a parlare di trasferimenti di dati tra Unione e Stati Uniti.

Nell’era post Schrems II la domanda da un milione di dollari è: l’American Data Privacy & Protection Act sarà in grado di garantire un livello di tutela dei dati (dei cittadini americani, ma anche e soprattutto di quelli europei) ritenuto accettabile dal GDPR?

La risposta è delicata ed estremamente complicata, data la vigenza del FISA (Foreign Intelligence Surveillance Act) 702 che, di fatto, attribuisce alle autorità ampissimi poteri di controllo e di accesso ai dati presenti nel territorio statunitense.

In proposito, giova ricordare che sono ormai trascorsi oltre sei mesi dall’annuncio di un nuovo EU-US Privacy Framework, senza che vi siano stati ulteriori sviluppi concreti che aiutino gli operatori del settore: in questo senso, novità legislative oltreoceano (che comunque entrerebbero in vigore non prima del 2023 inoltrato) darebbero un grande aiuto.

Per ora non ci resta che aspettare, continuando a tenere gli occhi fissi oltre oceano.

_______________________________________________

Si ringrazia Gage Nelson via Unsplash per la foto di copertina

News #38: Google Analytics bocciato anche in Danimarca; focus su 231 e infortuni sul lavoro; concorrenza e GDPR si intrecciano in UE

/in , , , /da

Immagine di copertina di David Köhler grazie a Unsplash.

PRIVACY

DANIMARCA –  Datatilsynet, autorità danese in materia di protezione dei dati personali, si è allineata con una recentissima pronuncia alle posizioni di altre autorità europee (tra le altre quelle di Austria, Francia e Italia) propendendo per la #illegalità di Google Analytics alla luce dei trattamenti effettuati che comportano, costantemente, un trasferimento di dati personali verso paesi non adeguati. Anche le società danesi si trovano dunque al fatidico bivio: implementare misure aggiuntive, allo scopo di rendere “legale” lo strumento (come, ad esempio, la psedunimizzazione), o smettere definitivamente di utilizzarlo. In aggiunta, l’autorità si è soffermata anche sulle misure tecniche previste per GA4, sostenendo che a prima analisi esse siano comunque #inadeguate a garantire trattamenti corretti.

ELEZIONI – Il Garante per la protezione dei dati personali ha inviato una richiesta urgente di chiarimenti a Facebook in merito alle attività da questa intraprese in occasione delle elezioni politiche dello scorso 25 settembre. La piattaforma aveva infatti iniziato una campagna – nei confronti dei soli utenti maggiorenni – volta a disincentivare l’astensionismo ed invogliare i suoi utenti al voto. Tuttavia, memore della sanzione comminata per lo scandalo “Cambridge Analytica” e del progetto “Candidati” avviato per le scorse elezioni politiche del 2018, il Garante preferisce vederci chiaro: le informazioni relative agli  orientamenti politici, infatti, rientrano nel novero dei dati personali “particolari”di cui all’art. 9 GDPR.

PLENARIA EDPB – Durante l’ultima riunione plenaria, il Comitato Europeo per la Protezione dei Dati (EDPB) ha discusso e pubblicato tre interessanti documenti: (1) la lettera aperta sul rifiuto di approvazione del proprio budget 2023 da parte della Commissione (di cui abbiamo già dato conto nella newsletter #37); (2) uno statement sul “EU Police Cooperation Code” (molto critico e che richiede interventi); (3) un parere molto interessante sul “European Privacy Seal”, schema di certificazione inoltrato da un ente tedesco (tra l’altro, uno dei primissimi): l’EDPB non sembra particolarmente positivo sul sistema proposto, sollevando diversi punti critici e individuando numerosi aspetti da migliorare. Al garante locale – tedesco – l’ultima parola.

RIFORMA PROCESSO PENALE – Il Garante per la protezione dei dati personali ha recentemente dato il proprio via libera alla riforma del processo penale (cd. #riformaCartabia), fornendo al contempo importanti suggerimenti in materia di protezione dei dati personali. In ragione della natura dei dati coinvolti – trattasi infatti di dati giudiziari, dunque particolari ex art. 9 GDPR – si è resa evidente la necessità di maggiori tutele. Tra i suggerimenti, la sottrazione delle notificazioni avvenute tramite annunci su internet alla indicizzazione sui motori di ricerca (con relativa fissazione del termine massimo di presenza del contenuto online) e due nuove forme di diritto all’oblio: la prima, che agisce in maniera preventiva, finalizzata a garantire la deindicizzazione dei provvedimenti giudiziari in modo tale da impedire – a monte – che nomi di imputati e indagati siano  oggetto di ricerca, e la seconda, che agisce invece ex post, consentirebbe ai soggetti coinvolti di richiedere la deindicizzazione dei propri dati personali dai provvedimenti.  

DATA RETENTION – Lo scorso 20 settembre la Corte di Giustizie dell’Unione Europea (CGUE) ha emesso la propria decisione nelle cause riunite C-793/19 e C-794/19 (rispettivamente SpaceNet e Telekom Deutschland). Con la sentenza la Corte ha ribadito che non è consentita, alla luce della legge dell’Unione, una conservazione generalizzata e indiscriminata dei dei dati relativi al traffico e all’ubicazione delle telecomunicazioni dei clienti, salvo che in caso di grave minaccia alla sicurezza nazionale. La decisione pare dunque mettere il bastone tra le ruote alla #TKG, la legge tedesca in materia di telecomunicazioni, che prescrive proprio tale obbligo agli operatori del settore della comunicazione elettronica.

  • 231

INFORTUNISTICA – Con la sentenza n. 33976 (consultabile gratuitamente per gli iscritti all’associazione AODV231) la Corte di Cassazione è tornata a pronunciarsi in materia di morte e lesioni del lavoratore. Nel caso sottoposto all’attenzione della Corte, un lavoratore aveva riportato gravi lesioni in seguito ad una scivolata causata dal pavimento bagnato (cadendo aveva infatti inserito la mano all’interno di una vasca di raccolta dell’uva, priva della prescritta griglia di protezione). Respingendo il ricorso presentato dalla società e dal suo presidente e confermando le condanna nei loro confronti, i giudici di piazza Cavour hanno stabilito che ai fini dell’esclusione del vantaggio non rileva che il risparmio di spesa sia esiguo rispetto alla capacità patrimoniale della società. Infatti, sebbene un esiguo risparmio di spesa può in via generale escludere la responsabilità dell’ente, si richiede che tale risparmio di spesa non  insista su un’area di rischio di rilievo.

INFORTUNISTICA/2 – Con la sentenza n. 34943 dello scorso 21 settembre la Corte di Cassazione ha stabilito che una società non risponde del reato di lesioni colpose commesso dal soggetto responsabile del servizio di prevenzione e protezione aziendale.  La scriminante opera nei confronti dell’ente alla duplice condizione che (i) il fatto sia imputabile ad una figura sottoposta alla direzione dei vertici, e che (ii) l’ente abbia in precedenza adottato un modello di organizzazione, gestione e controllo (cd. MOGC). Infatti, quando una fattispecie criminosa sia ascrivibile ad un soggetto sottoposto, l’adozione di un modello libera la società da ogni responsabilità 231 anche nel caso in cui il reato si sia reso possibile dalla violazione degli obblighi di direzione che gravano sui vertici.

AUTORICICLAGGIO – Affinché possa configurarsi il reato di autoriciclaggio è necessario che la condotta, nell’esatto momento della sua esecuzione, sia concretamente idonea a ostacolare la provenienza illecita dei beni. In tal senso si è pronunciata la Corte di Cassazione con sentenza n. 32571 (consultabile gratuitamente per gli iscritti all’associazione AODV231). Il criterio da seguire, dunque, per una corretta individuazione della condotta dissimulatoria è quella della idoneità ex ante.

  • MERCATI DIGITALI

CONCORRENZA E GDPR – Lo scorso 20 settembre l’avvocato generale della Corte di Giustizia dell’Unione, Athanasios Rantos, ha emesso un importantissimo parere circa la possibilità che una Autorità garante della concorrenza possa legittimamente pronunciarsi in merito al rispetto o alla violazione del GDPR. Il parere, che si inserisce in un contesto più ampio – la causa intentata da Meta Platforms Inc. nei confronti della Bundeskartellamt, autorità per la concorrenza tedesca – stabilisce che sebbene non sia compito di un’autorità garante della concorrenza pronunciarsi sul rispetto del GDPR, è sua facoltà (seppur in via meramente incidentale) valutare se le pratiche commerciali poste in essere dagli operatori del settore siano compatibili col Regolamento. Secondo l’avvocato generale, infatti, il fatto che una pratica sia conforme o meno al GDPR è un importante indizio per stabilire se la pratica in questione costituisca una violazione delle regole della concorrenza.

CYBERSECURITY – Per contrastare il numero sempre in crescita di attacchi hacker – soprattutto nei confronti di istituzioni statali – il D.L. n.115/22 (cd. Decreto Aiuti) ha introdotto  la possibilità di compiere operazioni cibernetiche offensive. La possibilità di ricorrere a tale strumento, previsto come extrema ratio, è attribuita esclusivamente al corpo dei servizi segreti e a due condizioni: che ci si trovi in una situazione di crisi o emergenza (con potenziali risvolti sulla sicurezza nazionale) e che, appunto, non sia possibile fronteggiare diversamente la situazione, ad esempio attraverso azioni di mera resilienza.

  • NEWS DAL MONDO

STATE OF PRIVACY ’22 – Ha avuto risonanza mondiale l’evento organizzato dal Garante italiano a Napoli, in cui si sono riuniti i principali stakeholder in materia di protezione dei dati, organizzati in tavoli tematici dedicati alle più importanti sfide del presente e del futuro di questo settore. Si attende ora, dopo gli annunci di comunicazione, la pubblicazione dei lavori e dei risultati di questi incontri, al di là delle immagini dei partecipanti.

FATCA e GDPR – Fabien Lehagre, presidente della Association des Américans Accidentels il cui scopo è difendere i cittadini (americani non) dagli effetti dannosi derivanti dalla extraterritorialità della legge americana, ha recentemente inoltrato una lettera al presidente dell’EDPB con lo scopo sollecitare i Garanti europei ad effettuare una valutazione di compatibilità tra gli accordi sottoscritti dagli stati membri con gli Stati Uniti – c.d. FATCA (Foreign Account Tax Compliance Act) – e il GDPR. Tali accordi, finalizzati a identificare tutte le persone soggette all’imposizione fiscale statunitense che detengono conti in Europa, inevitabilmente comportano un trasferimento di dati. Indispensabile, dunque, valutare caso per caso la compatibilità del FATCA, soprattutto a fronte delle ormai note complicazioni in materia di trasferimenti di dati verso gli USA. Al momento,tuttavia, solamente il garante slovacco ha effettuato una seria valutazione, finendo per dichiarare l’accordo non adeguato alle garanzie richieste dall’art. 46 GDPR. 

GERMANIA – L’ufficio federale tedesco per la sicurezza delle informazioni (“BSI”) ha pubblicato una guida per la gestione della cybersecurity da parte delle piccole e medie imprese, destinato a supportare con un approccio “easy-to-use” il miglioramento delle infrastrutture e l’organizzazione a tutela verso attacchi dall’esterno.

ROMANIA – Il Garante rumeno (ANSPDCP) ha irrogato una sanzione di circa 40mila lei (equivalenti a 8 mila euro) un responsabile del trattamento gestore di una piattaforma immobiliare per divulgazione non autorizzata di dati personali riconducibili a quasi 200mila interessati. Alla base della sanzione, dunque, la mancata implementazione da parte del responsabile delle misure tecniche ed organizzative necessarie per garantire un adeguato livello di sicurezza dei dati personali.

HONG KONG – Il Garante per la protezione dei dati personali di Hong Kong (PCPD) ha recentemente annunciato di aver effettuato un arresto nei confronti di un sospettato del reato di doxxing. Secondo le informazioni attualmente a disposizione, l’imputato – per lungo tempo dipendente e collaboratore del denunciante – avrebbe diffuso illecitamente informazioni personali dell’ex socio, anche a mezzo di manifesti affissi sui muri dell’edificio degli uffici. L’imputato, attualmente in custodia, rischia una multa di 1 milione di HKD (parti a poco più di 120 mila euro) e la reclusione per cinque anni: il reato di doxxing – ossia la diffusione pubblica di dati personali e privati al fine di arrecare un danno all’interessato – è infatti considerato (a buona ragione) particolarmente grave. 

BERLINO – Il Commissario di Berlino, autorità locale in materia privacy, ha inflitto una sanzione di oltre 500 mila euro ad una società per violazione del GDPR, riferisce DataGuidance. La sanzione si ricollega al conflitto di interessi emerso in seguito alla nomina del responsabile della protezione dei dati personali: dalle indagini è infatti emerso che il responsabile della protezione dei dati già ricopriva il ruolo di amministratore di due società del medesimo gruppo – società che, in concreto, aveva il compito di trattare dati personali proprio per conto della società sanzionata, nella quale l’amministratore era chiamato a svolgere le funzioni di DPO.