Social Network e Privacy

Riportiamo una breve guida predisposta dal garante privacy e che potete trovare insieme ad ulteriori commenti su www.garanteprivacy.it

Social Network e Privacy

View more documents from Studio panato Dottori commercialisti .

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Sanzioni Privacy: omessa o inidonea informativa all'interessato

L' art. 161. modificato dalla legge 27 febbraio 2009, n. 14 di conversione, con modificazioni, del decreto-legge n. 207 del 30 dicembre 2008 recita:

Omessa o inidonea informativa all'interessato: La violazione delle disposizioni di cui all'articolo 13 ( relativo al dovere di corretta informativa sulla privacy) è punita con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro.

La norma passata relativamente in sordina è particolarmente vessatoria.

Siete sicuri che l'informativa sulla privacy contenuta nel vostro sito o relativa alla vostra newsletter sia corretta?

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e libro-soci

Gli azionisti di una società per azioni hanno diritto di conoscere l'indirizzo e i dati degli altri soci, al fine di contattarli e di poter tutelare i propri legittimi interessi. La legge sulla privacy non limita la conoscibilità da parte degli azionisti dei dati personali contenuti nel libro soci e non si pone in contrasto con la trasparenza dell'attività societaria.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy: DPS e Amministratori di sistema

Gli "amministratori di sistema" sono figure essenziali per la sicurezza delle banche dati e la corretta gestione delle reti telematiche. Sono esperti chiamati a svolgere delicate funzioni che comportano la concreta capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad essi viene affidato spesso anche il compito di vigilare sul corretto utilizzo dei sistemi informatici di un'azienda o di una pubblica amministrazione.

Per questo il Garante ha prescritto l'adozione di specifiche misure tecniche ed organizzative che agevolino la verifica sulla sua attività da parte di chi ha la titolarità delle banche dati e dei sistemi informatici.

Registrazione degli accessi
Adozione di sistemi di controllo che consentano la registrazione degli accessi effettuate dagli amministratori di sistema ai sistemi di elaborazione e agli archivi elettronici.
Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

Verifica della attività
Verifica almeno annuale da parte dei titolari del trattamento sulla rispondenza dell'operato degli amministratori di sistema alle misure organizzative, tecniche e di sicurezza previste dalla legge per i trattamenti di dati personali.

Elenco degli amministratori di sistema e loro caratteristiche
Ciascuna azienda o soggetto pubblico dovrà inserire nel documento programmatico della sicurezza o in un documento interno (disponibile in caso di accertamenti da parte del Garante) gli estremi identificativi degli amministratori di sistema e l'elenco delle funzioni loro attribuite.

Dovranno infine essere valutate con attenzione esperienza, capacità, e affidabilità della persona chiamata a ricoprire il ruolo di amministratore di sistema, che deve essere in grado di garantire il pieno rispetto della normativa in materia di protezione dei dati personali, compreso il profilo della sicurezza.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

DPS Privacy: semplificazioni e nuovi obblighi

La circolare n. 20 del 28 aprile 2009 di Assonime analizza le novità in materia di privacy.
Tra le principali semplificazioni si segnala la possibilità di fornire anche solo oralmente le istruzioni ai dipendenti. Si ribadisce comunque l’opportunità di fornire istruzioni scritte ai fini probatori.

Si ricorda inoltre che entro il 30 giugno 2009 le imprese sono tenute a nominare un amministratore di sistema.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Vendite telefoniche autorizzate

Il Senato con il voto di fiducia ha approvato ieri il 'milleproroghe'. Il provvedimento prevede tra l’altro che le società di telemarketing potranno utilizzare i numeri di telefono acquisiti prima del 2005.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e sicurezza informatica

Il provvedimento 27 novembre 2008 del garante della privacy ha chiarito che gli amministratori di sistema devono avere requisiti di capacità e competenza professionale in materia informatica. Inoltre le loro attività devono essere tracciabili e monitorate per garantire l’adeguamento alla normativa in materia di privacy e sicurezza informatica.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy più facile per le PMI

Il decreto legge n. 112/2008 e il provvedimento del Garante del 27 novembre 2008 hanno ridotto gli adempimenti sulla privacy per le PMI ed i professionisti.

Obiettivo dell'Autorità è quello di mantenere un adeguato livello per le misure minime di sicurezza venendo però incontro alle esigenze prospettate da imprese, soprattutto di piccole dimensioni, volte a snellire le procedure, graduare le cautele a seconda della delicatezza dei trattamenti e a contenere i costi.

In base al provvedimento del Garante, le categorie interessate:

• possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente,;
• possono utilizzare per l'accesso ai sistemi informatici un qualsiasi sistema di autenticazione basato su un username e una password; lo username deve essere disattivato quando viene meno il diritto di accesso ai dati (es. non si opera più all'interno dell'organizzazione);
• in caso di assenze prolungate o di impedimenti del dipendente possono mettere in atto procedure o modalità che consentano comunque l'operatività e la sicurezza del sistema ( ad es. l'invio automatico delle mail ad un altro recapito accessibile);
• devono aggiornare i programmi di sicurezza (antivirus) almeno una volta l'anno, e effettuare backup dei dati almeno una volta al mese.

Con il provvedimento, inoltre, il Garante ha fornito a piccole e medie imprese, artigiani, liberi professioni, soggetti pubblici e privati che trattano dati solo a fini amministrativi e contabili, alcune indicazioni per la redazione di un documento programmatico per la sicurezza semplificato.
Procedure semplificate sono state indicate anche per chi tratta dati senza l'impiego di sistemi informatici.

Insieme a quello sulle misure minime di sicurezza, il Garante ha adottato anche un provvedimento che semplifica il modello utilizzato per effettuare le notificazioni, ossia le dichiarazioni da fare all'Autorità quando si avvia un trattamento di particolari tipi di dati (genetici, biometrici, procreazione assistita, ecc.).

Il provvedimento sulle misure di sicurezza è immediatamente applicabile senza necessità di istanze o comunicazioni al Garante, mentre quello sulla notificazione sarà operativo entro 60 giorni dalla pubblicazione in Gazzetta e non comporterà l'obbligo di notificare di nuovo o modificare le notificazioni a carico di chi lo abbia già fatto.

Link: Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy e marketing: informativa snella

Il Garante Privacy, con provvedimento 19 giugno 2008, snellisce gli adempimenti relativi all’informativa.
Le aziende vedono ridursi i casi in cui chiedere il consenso al cliente o potenziale tale.
Il provvedimento, inoltre, riassume altre semplificazioni degli adempimenti.

Per restare aggiornato iscriviti alla nostra Newsletter!

Privacy, newsletter e marketing

Il provvedimento del 19 giugno 2008 del Garante privacy ha chiarito che chi ha venduto un prodotto o reso un servizio può utilizare l'indirizzo di posta cartacea del cliente per l'invio di materiale pubblicitario o per ricerche di mercato, salvo opposizioni del cliente stesso, che può richiedere la cancellazione dalla lista.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy: Redditi on line

Il Garante: stop agli elenchi dei contribuenti in Internet
Nella riunione odierna il Garante privacy ha svolto una prima valutazione sulla diffusione in Internet dei dati delle dichiarazioni dei redditi dei contribuenti a cura dell'Agenzia delle entrate.
L'Autorità, anche richiamando le sue diverse pronunce in materia, rileva che per tale forma di diffusione sussistono allo stato evidenti e rilevanti problemi di conformità con il quadro normativo in materia.

Il Garante ha quindi deciso di chiedere formalmente e con urgenza ulteriori delucidazioni all'Agenzia e l'ha invitata a sospendere nel frattempo la diffusione dei dati in Internet.
L'Autorità ha invitato, altresì, i mezzi di informazione a non divulgare i dati estratti dagli elenchi resi disponibili in Internet dall'Agenzia con le predette modalità.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Pravacy e paziente: la privacy nella sanità italiana

Il Garante della privacy ha pubblicato un depliant che si intitola "La protezione dei dati personali: dalla parte del paziente" ed è pensato per far conoscere ai cittadini il valore dei cosiddetti "dati sensibili", quelle delicate informazioni che rivelano lo stato di salute delle persone. E che devono essere protette per garantire la più assoluta riservatezza e il rispetto della dignità ai cittadini che entrano in contatto con medici, strutture sanitarie, laboratori di analisi.

Il depliant intende anche di fornire agli assistiti sintetiche indicazioni su quali sono i loro diritti e su come fare per rispettarli.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy e internet

Le società private non possono svolgere attività di monitoraggio sistematico per individuare gli utenti che si scambiano file musicali o giochi su Internet.

La direttiva europea sulle comunicazioni elettroniche vieta ai privati di poter effettuare monitoraggi, ossia trattamenti di dati massivi, capillari e prolungati nei riguardi di un numero elevato di soggetti. É stato, poi, violato il principio di finalità: le reti P2P sono finalizzate allo scambio tra utenti di dati e file per scopi personali. L'utilizzo dei dati dell'utente può avvenire, dunque, soltanto per queste finalità.

Infine non sono stati rispettati i principi di trasparenza e correttezza, perché i dati sono stati raccolti ad insaputa sia degli interessati sia di abbonati che non erano necessariamente coinvolti nello scambio di file.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Documento programmatico sulla sicurezza (DPS privacy)

Il 31 marzo 2008 scade l’obbligo di redazione del documento programmatico sulla sicurezza (Codice in materia di protezione dei dati personali art. 34 e Allegato B, regola 19, del d.lg. 30 giugno 2003, n. 196)

I consulenti-privacy per predisporre correttamente la bozza del documento DPS Privacy, hanno bisogno di una concreta e tangibile collaborazione dell'Azienda interessata, per rappresentare le informazioni relative all’organizzazione della Società, nonché delle possibili problematiche di sicurezza da gestire e delle misure di sicurezza del trattamento già applicate o da applicare.

Nel documento programmatico devono essere definiti i compiti e le responsabilità in materia di sicurezza e descritti i criteri utilizzati per la valutazione dei rischi, al fine di adottare un piano di interventi per la tutela e la protezione.

Link: Consulenti privacy Milano

Privacy: fax indesiderati

Il Garante della privacy è intervenuto nuovamente sul fenomeno dei fax indesiderati

Per poter inviare fax commerciali o promozionali occorre prima aver ottenuto il preventivo e specifico consenso del destinatario, anche se il numero di telefono viene estratto da elenchi telefonici cosiddetti "categorici”, quali Pagine Gialle, da registri pubblici o da banche dati online. Il Garante ha ricordato che tale garanzia non può essere elusa inviando un primo fax che, nel richiedere il consenso, abbia già un contenuto promozionale o pubblicitario.

Il Garante ha spiegato, invece, che quando si utilizzano sistemi automatizzati, oppure posta elettronica, sms o fax, anche se si tratta di elenchi categorici è necessario ottenere prima il consenso del destinatario, mediante contatto telefonico.

Link: Consulenza privacy e DPS in Milano

Documento programmatico sulla sicurezza

Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:

• l'elenco dei trattamenti di dati personali;
• la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;
• l'analisi dei rischi che incombono sui dati;
• le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonchè la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
• la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
• la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;
• la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare;
• per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

Privacy: modalità del trattamento dei dati

Secondo la vigente normativa sulla Privacy, I dati personali oggetto di trattamento devono essere:

1. trattati in modo lecito e secondo correttezza;
2. raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;
3. esatti e, se necessario, aggiornati;
4. pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
5. conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Link: Per restare aggiornato scriviti alla nostra Newsletter!

DPS Privacy - Consulenti Privacy Milano

Il DPS (Documento Programmatico sulla Sicurezza) è un documento in cui sono descritti i trattamenti dei dati personali gestiti in azienda, l’organizzazione di sicurezza e l’analisi dei rischi.

Il DPS (Documento Programmatico sulla Sicurezza), secondo quanto previsto nell’Allegato B “Disciplinare tecnico in materia di misure minime di sicurezza” (del D. Lgs. n. 196/03), deve essere redatto e aggiornato dal titolare dei dati, o da un responsabile designato entro il 31 marzo di ogni anno e deve essere menzionato nella relazione accompagnatoria del bilancio d'esercizio.

Link: Consulenti privacy Milano - redazione DPS

Leggere le e-mail dei dipendenti: per la Cassazione il datore di lavoro è autorizzato in presenza di un accordo scritto

la Corte di Cassazione che ha deciso di assolvere un dirigente aziendale accusato di aver controllato la casella email di un dipendente.

La V Sezione penale della Corte di Cassazione si è espressa in tal modo esistendo un accordo aziendale sottoscritto dal dipendente con il proprio datore di lavoro nel quale si dichiarava che il PC deve essere utilizzato esclusivamente per svolgere la propria attività lavorativa, e come tale può essere sottoposto al controllo dei propri superiori.

La Suprema Corte ha sostanzialmente recepito quanto disposto dal Garante della privacy il 1° Marzo 2007: «i servizi di posta elettronica sono suscettibili di controlli che possono giungere fino alla conoscenza da parte dell'imprenditore del contenuto della corrispondenza».

Link: Consulenza privacy alle imprese

Il Garante contro lo spamming

Nuovi interventi del Garante contro l'invio di e-mail e fax pubblicitari indesiderati. L'Autorità ha vietato l'uso illecito di dati personali a fini di marketing a tre società che operavano senza consenso dei destinatari. Nel primo caso il Garante [doc. web n. 1424068], in seguito alla segnalazione di un utente che lamentava la ricezione di e-mail pubblicitarie indesiderate, ha vietato il trattamento dei dati ad un sito Internet che promuoveva libri. Chiamata a dar conto del proprio operato l'azienda dichiarava di utilizzare una mailing list per l'invio mensile di un messaggio "memo" relativo ai libri presentati sul sito e, ritenendolo lecito, inviava ai nuovi utenti, reperiti in rete, un messaggio pubblicitario, insieme alla richiesta del consenso.

Nel vietare il trattamento dei dati il Garante ha ribadito non si possono inviare e-mail per pubblicizzare un prodotto o un servizio senza aver prima ottenuto il consenso del destinatario, e che è necessario ottenerlo prima di effettuare qualunque uso dell'indirizzo di posta elettronica. Negli altri due casi [doc. web nn. 1433939, 1433896], invece, i segnalanti lamentavano la ricezione di pubblicità indesiderata via fax da parte di aziende che promuovevano servizi. Di fronte all'Autorità, le società hanno dichiarato che i messaggi pubblicitari erano rivolti a soggetti economici presenti negli elenchi "categorici" (es. pagine gialle) e non a consumatori e, quindi, ritenevano di potersi avvalere di una disposizione di carattere generale del Codice della privacy che permette di prescindere dal consenso degli interessati, quando il trattamento riguarda informazioni relative allo svolgimento di attività economiche.

Tuttavia, secondo quanto affermato dai segnalanti, i dati personali erano presenti solo su elenchi telefonici ordinari e utilizzabili quindi solo per comunicazioni interpersonali, non avendo fornito alcun consenso per il loro uso a fini di marketing. Né, dalla documentazione è risultato che sia stato richiesto un successivo consenso dei destinatari.

Link: Consulenti Privacy in Milano