Privacy News: Consulenti Privacy in Milano

DPS: Documento programmatico sulla sicurezza - 31 marzo 2011

2011-03-26T04:22:00.000-07:00

Scade il 31 marzo il termine annuale per la redazione e l’aggiornamento del documento programmatico sulla sicurezza (DPS).

L’obbligo di redazione del DPS ricorre in caso di trattamento di dati personali, “sensibili” o giudiziari, con strumenti elettronici (ad esempio, mediante computer).

Dati sensibili: dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

Si elencano brevemente alcuni dei principali adempimenti previsti dalla normativa sulla privacy. Non adeguarsi alla normativa sulla privacy significa rischiare pesanti sanzioni.

Notificazione al Garante (se dovuta): Prima di iniziare il trattamento e valutare le relative autorizzazioni (D. Lgs. n. 196/03 art. 37).

DPS (Documento Programmatico sulla Sicurezza): all’interno del DPS deve essere previsto un “Piano di formazione per gli incaricati” che dovrà essere rivisto annualmente.

Adempimenti a cadenza almeno annuale:

aggiornare l’individuazione dell’ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
verificare la sussistenza delle condizioni per la conservazione delle autorizzazioni per l’acceso ai dati particolari per gli incaricati;
fornire istruzioni organizzative e tecniche affinché il salvataggio dei dati sia effettuato settimanalmente;
programmare interventi di formazione per gli incaricati del trattamento;
provvedere all’aggiornamento delle patch dei programmi per computer, nel caso di trattamento dei dati comuni (regola 17, Allegato B del D. Lgs n. 196/03).

Adempimenti a cadenza periodica:

Aggiornare i software antivirus, per tutti i tipi di dati (regola 16, Allegato B del D. Lgs n. 196/03);
Aggiornamento dei software, nel caso di trattamento di dati sensibili (regola 17, Allegato B del D. Lgs n. 196/03)
Salvataggio dei dati (regola 18, Allegato B del D. Lgs n. 196/03)
Aggiornare le password assegnate agli incaricati (regola 5, Allegato B del D. Lgs n. 196/03)

Il contenuto del DPS - documento programmatico sulla sicurezza:

elenco dei trattamenti di dati personali;
distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati;
analisi dei rischi che incombono sui dati;
misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché alla protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare; la formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;
descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al Codice della privacy, all’esterno della struttura del titolare;
per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, all’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato.

Semplificazione
Per i soggetti che trattano con strumenti elettronici soltanto dati personali “non sensibili” e come unici dati “sensibili” quelli costituiti dallo stato di salute o di malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall’adesione ad organizzazioni sindacali o a carattere sindacale, l’obbligo di redigere e aggiornare il DPS è sostituito da un’autocertificazione in cui si attesta di trattare solo tali dati in osservanza delle altre misure di sicurezza prescritte.
Modalità semplificate sono previste anche per i soggetti pubblici e privati che trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008).

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Amministratori di sistema

2009-05-21T09:37:00.000-07:00

Il Garante della privacy ha recentemente risposto ad una serie di quesiti posti da imprese e pubbliche amministrazioni sull'amministratore di sistema.

Una breve disamina sul ruolo degli amministratori di sistema potete trovarla qui:
Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Social Network e Privacy

2009-05-15T09:06:00.000-07:00

Riportiamo una breve guida predisposta dal garante privacy e che potete trovare insieme ad ulteriori commenti su www.garanteprivacy.it

Social Network e Privacy

View more documents from Studio panato Dottori commercialisti .

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Sanzioni Privacy: omessa o inidonea informativa all'interessato

2009-05-15T08:20:00.000-07:00

L' art. 161. modificato dalla legge 27 febbraio 2009, n. 14 di conversione, con modificazioni, del decreto-legge n. 207 del 30 dicembre 2008 recita:

Omessa o inidonea informativa all'interessato: La violazione delle disposizioni di cui all'articolo 13 ( relativo al dovere di corretta informativa sulla privacy) è punita con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro.

La norma passata relativamente in sordina è particolarmente vessatoria.

Siete sicuri che l'informativa sulla privacy contenuta nel vostro sito o relativa alla vostra newsletter sia corretta?

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

E-mail e fax indesiderati: stop del Garante

2009-05-09T02:32:00.000-07:00

Anche se i dati sono estratti dalle Pagine Gialle o dai registri pubblici, quando si usano sistemi automatizzati è obbligatorio acquisire prima il consenso dei destinatari. Continua l'azione del Garante contro lo spamming e il marketing disinvolto. L'Autorità ha vietato l'ulteriore trattamento illecito dei dati personali a cinque società che inviavano pubblicità tramite fax e posta elettronica senza il preventivo consenso degli interessati.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e libro-soci

2009-05-09T02:30:00.000-07:00

Gli azionisti di una società per azioni hanno diritto di conoscere l'indirizzo e i dati degli altri soci, al fine di contattarli e di poter tutelare i propri legittimi interessi. La legge sulla privacy non limita la conoscibilità da parte degli azionisti dei dati personali contenuti nel libro soci e non si pone in contrasto con la trasparenza dell'attività societaria.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy: DPS e Amministratori di sistema

2009-05-04T01:41:00.000-07:00

Gli "amministratori di sistema" sono figure essenziali per la sicurezza delle banche dati e la corretta gestione delle reti telematiche. Sono esperti chiamati a svolgere delicate funzioni che comportano la concreta capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad essi viene affidato spesso anche il compito di vigilare sul corretto utilizzo dei sistemi informatici di un'azienda o di una pubblica amministrazione.

Per questo il Garante ha prescritto l'adozione di specifiche misure tecniche ed organizzative che agevolino la verifica sulla sua attività da parte di chi ha la titolarità delle banche dati e dei sistemi informatici.

Registrazione degli accessi
Adozione di sistemi di controllo che consentano la registrazione degli accessi effettuate dagli amministratori di sistema ai sistemi di elaborazione e agli archivi elettronici.
Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

Verifica della attività
Verifica almeno annuale da parte dei titolari del trattamento sulla rispondenza dell'operato degli amministratori di sistema alle misure organizzative, tecniche e di sicurezza previste dalla legge per i trattamenti di dati personali.

Elenco degli amministratori di sistema e loro caratteristiche
Ciascuna azienda o soggetto pubblico dovrà inserire nel documento programmatico della sicurezza o in un documento interno (disponibile in caso di accertamenti da parte del Garante) gli estremi identificativi degli amministratori di sistema e l'elenco delle funzioni loro attribuite.

Dovranno infine essere valutate con attenzione esperienza, capacità, e affidabilità della persona chiamata a ricoprire il ruolo di amministratore di sistema, che deve essere in grado di garantire il pieno rispetto della normativa in materia di protezione dei dati personali, compreso il profilo della sicurezza.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

DPS Privacy: semplificazioni e nuovi obblighi

2009-04-29T00:56:00.000-07:00

La circolare n. 20 del 28 aprile 2009 di Assonime analizza le novità in materia di privacy.
Tra le principali semplificazioni si segnala la possibilità di fornire anche solo oralmente le istruzioni ai dipendenti. Si ribadisce comunque l’opportunità di fornire istruzioni scritte ai fini probatori.

Si ricorda inoltre che entro il 30 giugno 2009 le imprese sono tenute a nominare un amministratore di sistema.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Telemarketing e privacy

2009-04-06T01:02:00.000-07:00

Pubblicato un provvedimento del Garante privacy mirato a porre delle limitazioni al marketing telefonico. Ci si aspettava una posizione più severa. Non potranno essere utilizzate banche dati create successivamente al 1 agosto 2005.
Obbligo di registrare immediatamente l’eventuale dissenso del chiamato e di cancellarlo dalla banca dati.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Guida gratuita DPS Documento programmatico sulla sicurezza: 31 marzo

2009-03-25T09:56:00.000-07:00

Il 31 marzo 2008 scade l’obbligo di redazione del documento programmatico sulla sicurezza (Codice in materia di protezione dei dati personali art. 34 e Allegato B, regola 19, del d.lg. 30 giugno 2003, n. 196)

Scarica la guida operativa dal sito del garante: Guida gratuita DPS privacy

Ricordiamo inoltre le semplificazioni per le PMI recentemente introdotte dal garante:
Privacy: guida alla privacy e DPS per le PMI

I consulenti-privacy per predisporre correttamente la bozza del documento DPS Privacy, hanno bisogno di una concreta e tangibile collaborazione dell'Azienda interessata, per rappresentare le informazioni relative all’organizzazione della Società, nonché delle possibili problematiche di sicurezza da gestire e delle misure di sicurezza del trattamento già applicate o da applicare.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Vendite telefoniche autorizzate

2009-02-15T03:33:00.000-08:00

Il Senato con il voto di fiducia ha approvato ieri il 'milleproroghe'. Il provvedimento prevede tra l’altro che le società di telemarketing potranno utilizzare i numeri di telefono acquisiti prima del 2005.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Ispezioni Privacy

2009-02-15T03:31:00.000-08:00

Con la newsletter n.319 dl 12 febbraio 2008, il Garante della Privacy ha illustrato il piano ispettivo per il primo semestre del 2009. L’ attività ispettiva sarà incentrata soprattutto su Fisco, banche e sanità.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e sicurezza informatica

2009-01-16T08:14:00.000-08:00

Il provvedimento 27 novembre 2008 del garante della privacy ha chiarito che gli amministratori di sistema devono avere requisiti di capacità e competenza professionale in materia informatica. Inoltre le loro attività devono essere tracciabili e monitorate per garantire l’adeguamento alla normativa in materia di privacy e sicurezza informatica.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy: guida alla privacy e DPS per le PMI

2009-01-08T02:23:00.000-08:00

il Garante ha adottato anche un provvedimento che semplifica alcuni adempimenti in materia di protezione dei dati personali.

Con il provvedimento, inoltre, il Garante ha fornito a piccole e medie imprese, artigiani, liberi professioni, soggetti pubblici e privati che trattano dati solo a fini amministrativi e contabili, alcune indicazioni per la redazione di un documento programmatico per la sicurezza semplificato.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy più facile per le PMI

2008-12-29T02:21:00.000-08:00

Il decreto legge n. 112/2008 e il provvedimento del Garante del 27 novembre 2008 hanno ridotto gli adempimenti sulla privacy per le PMI ed i professionisti.

Obiettivo dell'Autorità è quello di mantenere un adeguato livello per le misure minime di sicurezza venendo però incontro alle esigenze prospettate da imprese, soprattutto di piccole dimensioni, volte a snellire le procedure, graduare le cautele a seconda della delicatezza dei trattamenti e a contenere i costi.

In base al provvedimento del Garante, le categorie interessate:

possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente,;
possono utilizzare per l'accesso ai sistemi informatici un qualsiasi sistema di autenticazione basato su un username e una password; lo username deve essere disattivato quando viene meno il diritto di accesso ai dati (es. non si opera più all'interno dell'organizzazione);
in caso di assenze prolungate o di impedimenti del dipendente possono mettere in atto procedure o modalità che consentano comunque l'operatività e la sicurezza del sistema ( ad es. l'invio automatico delle mail ad un altro recapito accessibile);
devono aggiornare i programmi di sicurezza (antivirus) almeno una volta l'anno, e effettuare backup dei dati almeno una volta al mese.

Con il provvedimento, inoltre, il Garante ha fornito a piccole e medie imprese, artigiani, liberi professioni, soggetti pubblici e privati che trattano dati solo a fini amministrativi e contabili, alcune indicazioni per la redazione di un documento programmatico per la sicurezza semplificato.
Procedure semplificate sono state indicate anche per chi tratta dati senza l'impiego di sistemi informatici.

Insieme a quello sulle misure minime di sicurezza, il Garante ha adottato anche un provvedimento che semplifica il modello utilizzato per effettuare le notificazioni, ossia le dichiarazioni da fare all'Autorità quando si avvia un trattamento di particolari tipi di dati (genetici, biometrici, procreazione assistita, ecc.).

Il provvedimento sulle misure di sicurezza è immediatamente applicabile senza necessità di istanze o comunicazioni al Garante, mentre quello sulla notificazione sarà operativo entro 60 giorni dalla pubblicazione in Gazzetta e non comporterà l'obbligo di notificare di nuovo o modificare le notificazioni a carico di chi lo abbia già fatto.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Pubblicato un nuovo articolo: liquidazione e OIC 5

2008-11-20T03:42:00.000-08:00

La collaborazione tra Studio Panato e Cesi Professionale prosegue con la pubblicazione sul mensile SINTESI - notiziario di informazione professionale dell’ articolo "I bilanci di liquidazione dopo l'approvazione dell'OIC n. 5".

L'articolo fa seguito alla lezione tenuta alla SAF - Università Bocconi (Scuola Alta Formazione) sulla liquidazione volontaria delle società di capitali.

I precedenti articoli sono a disposizione di tutti gli iscritti alla mailing list di http://www.studiopanato.it/

Privacy: perizie e risarcimento danno

2008-10-24T03:47:00.000-07:00

Il provvedimento del 18 settembre 2008 del Garante della Privacy chiarisce che le assicurazioni non possono negare l’accesso alle perizie al danneggiato se la causa è in corso.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e dichiarazioni on line

2008-09-17T02:50:00.000-07:00

E’ allo studio del Garante della privacy un provvedimento che garantirà un limite agli accessi e utilizzi indebiti delle informazioni conservate nell'anagrafe tributaria.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Marketing telefonico: vietato dal Garante

2008-09-09T04:40:00.000-07:00

Stop del Garante privacy al marketing selvaggio e alle telefonate promozionali indesiderate.

Ai provvedimenti inibitori [doc. web nn. 1544315, 1544326, 1544338] si è giunti dopo ripetuti richiami e ispezioni, effettuate sia presso le società che avevano formato i data base e venduto i dati sia presso operatori telefonici e aziende che li avevano acquistati e i call center che contattavano gli utenti. Numerosi sono stati gli abbonati che hanno segnalato al Garante la ricezione di chiamate promozionali indesiderate effettuate da e per conto di diversi operatori telefonici o aziende che promuovevano beni o servizi.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy per periti del tribunale

2008-08-01T05:58:00.000-07:00

Riportiamo il comunicato stampa - 31 luglio 2008

Giustizia: arrivano le regole per consulenti e periti dei magistrati
Arrivano le regole per i periti e i consulenti di giudici e pubblici ministeri. Nelle informative al magistrato solo dati necessari per adempiere all’incarico ricevuto; conservazione a tempo delle informazioni raccolte; incroci di dati solo su autorizzazione della magistratura; rigorose misure per evitare che i dati vengano indebitamente divulgati. Il Garante privacy ha adottato le linee guida, pubblicate oggi sulla Gazzetta Ufficiale, con le quali si danno indicazioni rigorose sulla gestione delle informazioni raccolte e degli archivi di questi professionisti, che, operando su incarico di autorità giudiziaria, talvolta più di una e per giudizi differenti, vengono a conoscenza e accumulano una grande quantità di dati personali.

Solo dati necessari
Il consulente e il perito, nominati dal giudice o dal pubblico ministero nell'ambito di procedimenti civili, penali e amministrativi, possono raccogliere e trattare lecitamente dati personali nei limiti in cui è necessario per adempiere all'incarico ricevuto e solo nell'ambito dell'accertamento demandato. Le relazioni e le informative fornite al magistrato ed eventualmente alle parti non devono né riportare dati, "specie se di natura sensibile o di carattere giudiziario o comunque di particolare delicatezza", non pertinenti all'oggetto della perizia, né contenere informazioni personali di soggetti estranei al procedimento.
L'eventuale utilizzo incrociato di dati è consentito se chiaramente collegato alle indagini che sono state delegate e se autorizzato dalle singole autorità giudiziarie interessate.

Conservazione e cancellazione dei dati
Una volta espletato l'incarico, l'ausiliario dei giudice deve consegnare per il deposito agli atti del procedimento non solo la propria relazione, ma anche la documentazione fornitagli dal magistrato e quella ulteriore acquisita nel corso dell'attività svolta. Al di fuori delle ipotesi stabilite per legge o da specifiche autorizzazioni del magistrato, il consulente e il perito non possono, quindi, conservare, in originale o in copia, in formato elettronico o su carta, le informazioni personali raccolte nel corso dell'incarico.

Comunicazione delle informazioni
Le informazioni acquisite nel corso dell'accertamento possono essere comunicate alle parti con le modalità e nel rispetto dei limiti fissati dalle norme sulla segretezza e riservatezza degli atti processuali. Eventuali comunicazioni di dati a terzi, se ritenute indispensabili per le finalità dell'indagine, devono rispettare quanto stabilito per legge o essere preventivamente autorizzate dal magistrato.

Misure di sicurezza
Fino al momento della consegna al giudice o al pubblico ministero delle risultanze dell'attività svolta, consulenti e periti sono obbligati ad adottare misure tecniche ed organizzative per evitare una indebita divulgazione delle informazioni o alla loro perdita o distruzione.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

DPS Privacy: esoneri e semplificazioni.

2008-07-24T01:17:00.001-07:00

L'emendamento governativo al dl 112/08 esonera dal Dps i datori di lavoro che trattano dati sanitari e sindacali. Vengono così ridotti gli adempimenti per l’adeguamento alla normativa sulla privacy.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy: rinnovate le autorizzazioni al trattamento dei dati.

2008-07-24T01:16:00.000-07:00

Le principali autorizzazioni al trattamento dei dati sensibili sono state rinnovate per tutto il 2009 e pubblicate nella G.U. n.169 del 21 luglio 2008.

In particolar modo si segnalano: trattamento dei dati sensibili nei rapporti di lavoro, dei dati idonei a rilevare lo stato di salute o la vita sessuale, dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni, dei dati sensibili da parte dei liberi professionisti, trattamento dei dati sensibili da parte di diverse categorie di titolari e investigatori privati e dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy, semplificazioni manovra TREMONTI

2008-07-13T05:49:00.000-07:00

Semplificazione degli adempimenti previsti in materia di privacy a favore dei soggetti che trattano dati personali non sensibili e l’unico dato sensibile è costituito dallo stato di salute o malattia dei propri dipendenti, senza indicazione della relativa diagnosi.

Per tali soggetti viene meno l’obbligo di tenuta del Documento Programmatico sulla Sicurezza (DPS), in sostituzione del quale è sufficiente stilare un’autocertificazione del titolare del trattamento dei dati, attestante l’osservanza delle misure di sicurezza richieste dal Codice della privacy.

È inoltre prevista l’emanazione di un apposito decreto per l’introduzione di ulteriori semplificazioni per la redazione del DPS ai fini amministrativo-contabili.
Sono state semplificate anche le informazioni contenute nella notificazione dei trattamenti di dati personali al Garante, che deve essere trasmessa attraverso il sito del Garante stesso, in luogo della trasmissione telematica mediante firma digitale, utilizzando l’apposito modello (che sarà adeguato alle nuove prescrizioni).

Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy, e-mail e Marketing

2008-07-07T07:55:00.000-07:00

Il Garante della Privacy con il provvedimento 19 giugno 2008 ha chiarito che chi ha venduto un prodotto o reso un servizio può utilizzare i recapiti di posta cartacea forniti dall'interessato per l'invio di materiale pubblicitario. L'acquirente può comunque chiedere la cancellazione dalla mailing-list.

Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e marketing: informativa snella

2008-07-07T07:54:00.000-07:00

Il Garante Privacy, con provvedimento 19 giugno 2008, snellisce gli adempimenti relativi all’informativa.
Le aziende vedono ridursi i casi in cui chiedere il consenso al cliente o potenziale tale.
Il provvedimento, inoltre, riassume altre semplificazioni degli adempimenti.

Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy, newsletter e marketing

2008-07-02T07:01:00.000-07:00

Il provvedimento del 19 giugno 2008 del Garante privacy ha chiarito che chi ha venduto un prodotto o reso un servizio può utilizare l'indirizzo di posta cartacea del cliente per l'invio di materiale pubblicitario o per ricerche di mercato, salvo opposizioni del cliente stesso, che può richiedere la cancellazione dalla lista.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

PRIVACY: Illegittimo pubblicare i redditi on line

2008-05-07T04:19:00.000-07:00

L'Autorità Garante per la privacy ha concluso l'istruttoria avviata sulla diffusione, tramite il sito web dell'Agenzia delle entrate, dei dati relativi alle dichiarazioni dei redditi dei contribuenti italiani. Il Collegio (composto da Francesco Pizzetti, Giuseppe Chiaravalloti, Mauro Paissan, Giuseppe Fortunato), nel ribadire quanto già sostenuto nel provvedimento con il quale aveva immediatamente invitato a sospendere la pubblicazione on line, ha stabilito che la modalità utilizzata dall'Agenzia è illegittima.

L'Agenzia delle entrate dovrà quindi far cessare definitivamente l'indiscriminata consultabilità, tramite il sito, dei dati relativi alle dichiarazioni dei redditi per l'anno 2005.
La decisione dell'Agenzia contrasta con la normativa in materia. In primo luogo, perché il Dpr n.600/1973 stabilisce che al direttore dell'Agenzia delle entrate spetta solo il compito di fissare annualmente le modalità di formazione degli elenchi delle dichiarazioni dei redditi, non le modalità della loro pubblicazione, che rimangono prerogativa del legislatore. Attualmente, per le dichiarazioni ai fini dell'imposta sui redditi, la legge prevede unicamente la distribuzione degli elenchi ai soli uffici territoriali dell'Agenzia e la loro trasmissione ai soli comuni interessati e sempre con riferimento ai contribuenti residenti nei singoli ambiti territoriali.
L'inserimento dei dati in Internet, inoltre, appare di per sé non proporzionato rispetto alla finalità della conoscibilità di questi dati.

L'uso di uno strumento come Internet rende indispensabili rigorose garanzie a tutela dei cittadini. L'immissione in rete generalizzata e non protetta dei dati di tutti i contribuenti italiani (non sono stati previsti "filtri" per la consultazione on line) da parte dell'Agenzia delle entrate ha comportato una serie di conseguenze: la centralizzazione della consultazione a livello nazionale ha consentito, in poche ore, a numerosissimi utenti, non solo in Italia ma in ogni parte del mondo, di accedere a innumerevoli dati, di estrarne copia, di formare archivi, modificare ed elaborare i dati stessi, di creare liste di profilazione e immettere ulteriormente dati in circolazione, ponendo a rischio la loro stessa esattezza. Tale modalità ha, inoltre, dilatato senza limiti il periodo di conoscibilità di dati che la legge stabilisce invece in un anno.
L'Autorità ha poi rilevato che non è stato chiesto al Garante il parere preventivo prescritto per legge.

L'Autorità ha altresì specificato che va ritenuta illecita anche l'eventuale ulteriore diffusione dei dati dei contribuenti da parte di chiunque li abbia acquisiti, anche indirettamente, dal sito Internet dell'Agenzia. Tale ulteriore diffusione può esporre a conseguenze di carattere civile e penale.
Resta fermo il diritto-dovere dei mezzi di informazione di rendere noti i dati delle posizioni di persone che, per il ruolo svolto, sono o possono essere di sicuro interesse pubblico, purché tali dati vengano estratti secondo le modalità attualmente previste dalla legge.

L'Autorità sottolinea, sin d'ora, che, qualora il Parlamento e il Governo intendessero porre mano ad una revisione della normativa alla luce del mutato scenario tecnologico, si porrà l'esigenza di individuare, sentita l'Autorità, soluzioni che consentano un giusto equilibrio tra forme proporzionate di conoscenza dei dati dei contribuenti e la tutela dei diritti degli interessati.
Il Garante ha stabilito, infine, di contestare all'Agenzia, con separato provvedimento, l'assenza di un'idonea informativa ai contribuenti riguardo alla forma adottata per la diffusione dei loro dati, anche al fine di determinare la relativa sanzione amministrativa.
Per dare la massima conoscibilità al provvedimento e anche per consentire a tutti di avere maggiore consapevolezza che la ulteriore messa in circolazione dei dati è un fatto illecito che può avere anche rilevanza penale, l'Autorità ha disposto la pubblicazione del provvedimento sulla Gazzetta Ufficiale.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy: Redditi on line

2008-05-02T07:08:00.000-07:00

Il Garante: stop agli elenchi dei contribuenti in Internet
Nella riunione odierna il Garante privacy ha svolto una prima valutazione sulla diffusione in Internet dei dati delle dichiarazioni dei redditi dei contribuenti a cura dell'Agenzia delle entrate.
L'Autorità, anche richiamando le sue diverse pronunce in materia, rileva che per tale forma di diffusione sussistono allo stato evidenti e rilevanti problemi di conformità con il quadro normativo in materia.

Il Garante ha quindi deciso di chiedere formalmente e con urgenza ulteriori delucidazioni all'Agenzia e l'ha invitata a sospendere nel frattempo la diffusione dei dati in Internet.
L'Autorità ha invitato, altresì, i mezzi di informazione a non divulgare i dati estratti dagli elenchi resi disponibili in Internet dall'Agenzia con le predette modalità.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy, aumentano i controlli

2008-04-08T07:05:00.000-07:00

Con la newsletter n.304 del 7 aprile 2008, il garante della privacy ha illustrato le nuove modalità di controllo e vigilanza.

Saranno sottoposti a maggiori verifiche e controlli:
- anagrafe tributaria,
- istituti di credito,
- consulenti e periti,
- sistemi di videosorveglianza.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Pravacy e paziente: la privacy nella sanità italiana

2008-03-25T06:06:00.000-07:00

Il Garante della privacy ha pubblicato un depliant che si intitola "La protezione dei dati personali: dalla parte del paziente" ed è pensato per far conoscere ai cittadini il valore dei cosiddetti "dati sensibili", quelle delicate informazioni che rivelano lo stato di salute delle persone. E che devono essere protette per garantire la più assoluta riservatezza e il rispetto della dignità ai cittadini che entrano in contatto con medici, strutture sanitarie, laboratori di analisi.

Il depliant intende anche di fornire agli assistiti sintetiche indicazioni su quali sono i loro diritti e su come fare per rispettarli.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy e internet

2008-03-17T10:07:00.000-07:00

Le società private non possono svolgere attività di monitoraggio sistematico per individuare gli utenti che si scambiano file musicali o giochi su Internet.

La direttiva europea sulle comunicazioni elettroniche vieta ai privati di poter effettuare monitoraggi, ossia trattamenti di dati massivi, capillari e prolungati nei riguardi di un numero elevato di soggetti. É stato, poi, violato il principio di finalità: le reti P2P sono finalizzate allo scambio tra utenti di dati e file per scopi personali. L'utilizzo dei dati dell'utente può avvenire, dunque, soltanto per queste finalità.

Infine non sono stati rispettati i principi di trasparenza e correttezza, perché i dati sono stati raccolti ad insaputa sia degli interessati sia di abbonati che non erano necessariamente coinvolti nello scambio di file.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Documento programmatico sulla sicurezza (DPS privacy)

2008-03-06T01:56:00.000-08:00

Il 31 marzo 2008 scade l’obbligo di redazione del documento programmatico sulla sicurezza (Codice in materia di protezione dei dati personali art. 34 e Allegato B, regola 19, del d.lg. 30 giugno 2003, n. 196)

I consulenti-privacy per predisporre correttamente la bozza del documento DPS Privacy, hanno bisogno di una concreta e tangibile collaborazione dell'Azienda interessata, per rappresentare le informazioni relative all’organizzazione della Società, nonché delle possibili problematiche di sicurezza da gestire e delle misure di sicurezza del trattamento già applicate o da applicare.

Nel documento programmatico devono essere definiti i compiti e le responsabilità in materia di sicurezza e descritti i criteri utilizzati per la valutazione dei rischi, al fine di adottare un piano di interventi per la tutela e la protezione.

Link: Consulenti privacy Milano

Privacy: fax indesiderati

2008-03-03T09:05:00.000-08:00

Il Garante della privacy è intervenuto nuovamente sul fenomeno dei fax indesiderati

Per poter inviare fax commerciali o promozionali occorre prima aver ottenuto il preventivo e specifico consenso del destinatario, anche se il numero di telefono viene estratto da elenchi telefonici cosiddetti "categorici”, quali Pagine Gialle, da registri pubblici o da banche dati online. Il Garante ha ricordato che tale garanzia non può essere elusa inviando un primo fax che, nel richiedere il consenso, abbia già un contenuto promozionale o pubblicitario.

Il Garante ha spiegato, invece, che quando si utilizzano sistemi automatizzati, oppure posta elettronica, sms o fax, anche se si tratta di elenchi categorici è necessario ottenere prima il consenso del destinatario, mediante contatto telefonico.

Link: Consulenza privacy e DPS in Milano

Documento programmatico sulla sicurezza

2008-02-13T10:46:00.000-08:00

Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:

l'elenco dei trattamenti di dati personali;
la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;
l'analisi dei rischi che incombono sui dati;
le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonchè la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;
la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare;
per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy: modalità del trattamento dei dati

2008-02-13T10:43:00.000-08:00

Secondo la vigente normativa sulla Privacy, I dati personali oggetto di trattamento devono essere:

trattati in modo lecito e secondo correttezza;
raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;
esatti e, se necessario, aggiornati;
pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Redazione DPS Privacy

2008-02-12T05:48:00.000-08:00

Si ricorda che, ai sensi di quanto previsto dal punto 19 dell’allegato B, del D.Lgs. 196/2003, TESTO UNICO SULLA PRIVACY - entro il 31 marzo 2008 il titolare di un trattamento di dati sensibili o di dati giudiziari dovrà redigere o aggiornare il DOCUMENTO PROGRAMMATICO SULLA SICUREZZA - DPS.

Ogni azienda dovrà quindi analizzare con attenzione la propria situazione per capire se è possibile confermare le misure minime di sicurezza dei dati indicate nel Documento Programmatico per la Sicurezza, oppure se quest’ultime necessitano di una revisione.

Il DPS ed i suoi aggiornamenti successivi sono documenti obbligatori ma non devono essere trasmessi a terzi (Autorità Garante per la Privacy) ma dovranno essere esibiti a richiesta in caso di accertamenti dal parte della Guardia di Finanza.

E' obbligatorio per gli Amministratori menzionare in maniera esplicita, nella relazione accompagnatoria al bilancio di esercizio di società di capitali, dell’avvenuta redazione o aggiornamento del DPS.

Link: Per restare aggiornato scriviti alla nostra Newsletter!
Link: Consulenti privacy Milano - Redazione DPS

Privacy e fidelity card: interviene il Garante

2008-02-12T02:56:00.000-08:00

Il Garante privacy ha dichiarato che in molti casi sono troppi i dati raccolti per i programmi di fidelizzazione, moduli poco chiari e con informazioni incomplete, impossibilità di esprimere liberamente il consenso per i trattamenti di dati a fini di marketing.

Prosegue anche con l'ausilio della Guardia di finanza, l'azione del Garante a tutela dei consumatori.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Link: Consulenti privacy Milano - Redazione DPS (Documento programmatico sulla Sicurezza)

DPS Privacy - Consulenti Privacy Milano

2008-02-05T02:40:00.000-08:00

Il DPS (Documento Programmatico sulla Sicurezza) è un documento in cui sono descritti i trattamenti dei dati personali gestiti in azienda, l’organizzazione di sicurezza e l’analisi dei rischi.

Il DPS (Documento Programmatico sulla Sicurezza), secondo quanto previsto nell’Allegato B “Disciplinare tecnico in materia di misure minime di sicurezza” (del D. Lgs. n. 196/03), deve essere redatto e aggiornato dal titolare dei dati, o da un responsabile designato entro il 31 marzo di ogni anno e deve essere menzionato nella relazione accompagnatoria del bilancio d'esercizio .

Link: Consulenti privacy Milano - redazione DPS

Internet: vanno cancellate le informazioni sulla navigazione

2008-01-25T04:36:00.000-08:00

Ad alcuni dei maggiori gestori di servizi telefonici e telematici è stata imposta dal Garante la cancellazione di informazioni, illegittimamente conservate, riguardanti i siti Internet visitati dagli utenti.

"Questi provvedimenti – commenta Mauro Paissan, componente del Garante – affermano un principio innovativo e importante: va tutelata la riservatezza anche della navigazione in Internet e dell'uso dei motori di ricerca. I gestori telefonici non possono dunque conservare questi dati, nemmeno per ragioni di giustizia. Entro due mesi queste informazioni dovranno ora scomparire. Viene in questo modo riaffermata l'estrema delicatezza delle visite e delle ricerche in Internet".

I gestori devono conservare esclusivamente i dati di traffico telematico funzionali alla fornitura e alla fatturazione del servizio di connessione e non quei dati di traffico apparentemente "esterni" alla comunicazione (pagine web visitate o gli indirizzi Ip di destinazione), che possono coincidere di fatto con il "contenuto" della comunicazione, consentendo di ricostruire relazioni personali e sociali, convinzioni religiose, orientamenti politici, abitudini sessuali e stato di salute.

Link: Consulenti privacy Milano

Privacy: E-mail, Spam e risarcimento danni

2008-01-12T05:42:00.000-08:00

Non si possono inviare e-mail per pubblicizzare un prodotto o un servizio senza aver prima ottenuto il consenso del destinatario, ed è necessario ottenerlo prima di effettuare qualunque uso dell'indirizzo di posta elettronica.

Il destinatario di fax, e-mail, sms e mms indesiderati può rivolgersi al giudice civile e chiedere un risarcimento per la lesione dei propri diritti.

Lo ha affermato in un recente provvedimento il Garante che prosegue in questo modo nell'azione di contrasto allo spam. L'Autorità ha vietato l'uso illecito di dati personali a fini di marketing ad una società che inviava in modo sistematico e ad una molteplicità di persone, materiale pubblicitario e comunicazioni commerciali senza il consenso dei destinatari.

Altri Precedenti:

In un caso il Garante [doc. web n. 1424068], in seguito alla segnalazione di un utente che lamentava la ricezione di e-mail pubblicitarie indesiderate, ha vietato il trattamento dei dati ad un sito Internet che promuoveva libri.
In altri due casi [doc. web nn. 1433939, 1433896], invece, i segnalanti lamentavano la ricezione di pubblicità indesiderata via fax da parte di aziende che promuovevano servizi. Di fronte all'Autorità, le società hanno dichiarato che i messaggi pubblicitari erano rivolti a soggetti economici presenti negli elenchi "categorici" (es. pagine gialle) e non a consumatori e, quindi, ritenevano di potersi avvalere di una disposizione di carattere generale del Codice della privacy che permette di prescindere dal consenso degli interessati, quando il trattamento riguarda informazioni relative allo svolgimento di attività economiche. Tuttavia, secondo quanto affermato dai segnalanti, i dati personali erano presenti solo su elenchi telefonici ordinari e utilizzabili quindi solo per comunicazioni interpersonali, non avendo fornito alcun consenso per il loro uso a fini di marketing. Né, dalla documentazione è risultato che sia stato richiesto un successivo consenso dei destinatari.

Link: Consulenza privacy Milano

Leggere le e-mail dei dipendenti: per la Cassazione il datore di lavoro è autorizzato in presenza di un accordo scritto

2007-12-21T06:44:00.000-08:00

la Corte di Cassazione che ha deciso di assolvere un dirigente aziendale accusato di aver controllato la casella email di un dipendente.

La V Sezione penale della Corte di Cassazione si è espressa in tal modo esistendo un accordo aziendale sottoscritto dal dipendente con il proprio datore di lavoro nel quale si dichiarava che il PC deve essere utilizzato esclusivamente per svolgere la propria attività lavorativa, e come tale può essere sottoposto al controllo dei propri superiori.

La Suprema Corte ha sostanzialmente recepito quanto disposto dal Garante della privacy il 1° Marzo 2007: «i servizi di posta elettronica sono suscettibili di controlli che possono giungere fino alla conoscenza da parte dell'imprenditore del contenuto della corrispondenza».

Link: Consulenza privacy alle imprese

Il Garante contro lo spamming

2007-12-21T05:03:00.000-08:00

Nuovi interventi del Garante contro l'invio di e-mail e fax pubblicitari indesiderati. L'Autorità ha vietato l'uso illecito di dati personali a fini di marketing a tre società che operavano senza consenso dei destinatari. Nel primo caso il Garante [doc. web n. 1424068], in seguito alla segnalazione di un utente che lamentava la ricezione di e-mail pubblicitarie indesiderate, ha vietato il trattamento dei dati ad un sito Internet che promuoveva libri. Chiamata a dar conto del proprio operato l'azienda dichiarava di utilizzare una mailing list per l'invio mensile di un messaggio "memo" relativo ai libri presentati sul sito e, ritenendolo lecito, inviava ai nuovi utenti, reperiti in rete, un messaggio pubblicitario, insieme alla richiesta del consenso.

Nel vietare il trattamento dei dati il Garante ha ribadito non si possono inviare e-mail per pubblicizzare un prodotto o un servizio senza aver prima ottenuto il consenso del destinatario, e che è necessario ottenerlo prima di effettuare qualunque uso dell'indirizzo di posta elettronica. Negli altri due casi [doc. web nn. 1433939, 1433896], invece, i segnalanti lamentavano la ricezione di pubblicità indesiderata via fax da parte di aziende che promuovevano servizi. Di fronte all'Autorità, le società hanno dichiarato che i messaggi pubblicitari erano rivolti a soggetti economici presenti negli elenchi "categorici" (es. pagine gialle) e non a consumatori e, quindi, ritenevano di potersi avvalere di una disposizione di carattere generale del Codice della privacy che permette di prescindere dal consenso degli interessati, quando il trattamento riguarda informazioni relative allo svolgimento di attività economiche.

Tuttavia, secondo quanto affermato dai segnalanti, i dati personali erano presenti solo su elenchi telefonici ordinari e utilizzabili quindi solo per comunicazioni interpersonali, non avendo fornito alcun consenso per il loro uso a fini di marketing. Né, dalla documentazione è risultato che sia stato richiesto un successivo consenso dei destinatari.

Link: Consulenti Privacy in Milano

Regole per un corretto invio delle e-mail pubblicitarie

2007-12-21T04:59:00.000-08:00

In occasione delle feste ricordiamo che il garante della privacy si è espresso molto chiaramente in merito alle regole da usare per le email pubblicitarie senza rischiare di fare spamming

Link: consulenza privacy ed e-mail pubblicitarie

1 Gennaio: adeguamento annuale privacy

2007-12-17T10:26:00.000-08:00

Il D. Lgs. n. 196/03, oltre all’enunciazione di principi generali, impone una serie di verifiche e controlli da effettuare con cadenza periodica

1° gennaio di ogni anno (adempimenti per i quali il Codice sulla Privacy prevede una cadenza almeno annuale):

aggiornare l’individuazione dell’ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
verificare la sussistenza delle condizioni per la conservazione delle autorizzazioni per l’acceso ai dati particolari per gli incaricati;
fornire istruzioni organizzative e tecniche affinché il salvataggio dei dati sia effettuato settimanalmente;
programmare interventi di formazione per gli incaricati del trattamento;
provvedere all’aggiornamento delle patch dei programmi per computer, nel caso di trattamento dei dati comuni (regola 17, Allegato B del D. Lgs n. 196/03).

Per maggiori dettagli: Consulenza Privacy Milano

La Guida sulla Privacy

2007-09-23T01:55:00.000-07:00

Studio Panato, al fine di sviluppare la cultura aziendale, pubblica le guide redatte dal Garante della privacy per la predisposizione del DPS (documento programmatico sulla sicurezza) e sulla tutela della privacy nelle piccole e medie imprese

Visita il sito e scarica le guide sulla privacy e sulla redazione del DPS