Pubblicato il

Chiarezza sulle certificazioni GDPR

La certificazione volontaria a tutela delle persone fisiche con riguardo al trattamento e la libera circolazione dei dati personali è un’importante innovazione introdotta dal GDPR. Tutto quello che c’è da sapere sull’istituto della certificazione, l’accreditamento, i requisiti aggiuntivi e i criteri approvati

C’è una cosa che forse ancora non è stata ben compresa del Il GDPR: non è la legge sulla privacy, ma disciplina la protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Chiarito questo, e compreso appieno l’importanza della certificazione e il valore dell’accreditamento, ogni lettura, interpretazione e applicazione, diverrà più fluida e si potrà leggere correttamente il ruolo che, il legislatore europeo, ha voluto attribuire al titolare del trattamento.

Il principio di responsabilizzazione

Con la definizione del “Principio di Responsabilizzazione” (artt. 5.2 e 24), il legislatore mette il titolare del trattamento nella condizione di dover essere sempre pronto a dimostrare di aver rispettato e di essersi conformato agli obblighi identificati nel regolamento.

Nei fatti, con quali strumenti il titolare potrà dimostrare di aver attuato quelle misure tecniche e organizzative adeguate?

Ed ancora, come potrà il titolare dimostrare che tale adeguatezza sia valida per tutta l’organizzazione e che le misure siano realmente riesaminate e aggiornate qualora necessario per garantire ed essere in grado di dimostrare che il trattamento sia effettuato conformemente al regolamento?

L’istituto della certificazione

Le risposte sono nell’art. 42.1 e nel considerando 100.

L’introduzione dell’istituto della certificazione consente di attestare pubblicamente il livello di conformità dell’azienda. L’organizzazione certificata relativamente ai processi, prodotti e servizi aziendali a cui è applicabile, fornisce garanzia verso le parti interessate dell’adozione di un metodo di analisi e controllo dei principi e delle norme di riferimento.

Il GDPR pertanto, ha assegnato un ruolo fondamentale a strumenti di regolamentazione volontaria, noti come “soft law”; questi non sono obbligatori ma nel momento in cui il Titolare o il Responsabile del trattamento decidono di adottarli, diverrà obbligatorio supportare l’Organismo di certificazione (CaBs) con tutte le informazioni necessarie (art.42.6).

Va detto inoltre che la certificazione di per sé non rappresenta la prova assoluta di conformità del titolare, ma costituisce un valido elemento di giudizio per supportare l’accountability dello stesso o del responsabile del trattamento.

A ben leggere l’articolo 42.1, risulta evidente come il GDPR attribuisca agli Stati membri, alle autorità di controllo, al comitato e alla commissione, in termini di certificazione, il solo ruolo di «incoraggiare» in particolare (anche se non in via esclusiva) – a livello EU – «meccanismi» di certificazione della protezione dei dati allo scopo di dimostrare la conformità al regolamento.

L’utilizzo del verbo «incoraggiare» inoltre – nella logica del legislatore europeo – potrebbe essere letto come la volontà di attuare misure di stimolo, nell’ambito delle rispettive competenze, indirizzate a tutti quei soggetti in grado di elaborare processi e schemi di certificazione nuovi e utili a coprire le esigenze introdotte dal nuovo regolamento, compresi gli scheme owner (cfr. WP29 n. 261)

Inoltre, con il termine meccanismo, usato nella sua forma plurale «meccanismi» (art. 4.1), il legislatore ha inteso introdurre un sistema basato su un’ampia pluralità di schemi, giustificando di fatto l’impiego della norma internazionale ISO/IEC 17065:2012, a vantaggio principalmente delle esigenze delle micro, piccole e medie imprese e di una specificità settoriale.

A tal proposito giova ricordare che, già nel settembre 2014, l’Autorità Garante Uk, ICO, chiese a tutti i soggetti interessati (ICO privacy seals project Framework criteria – draft consultation v.1.3) documentazione utile a produrre schemi di certificazione, «incoraggiando» di fatto quanto richiamato dall’art. 42.1

Più nel dettaglio, il documento richiamava alcuni “criteri” che, gli eventuali nuovi schemi di certificazione avrebbe dovuto soddisfare (pag. 5):

  • Essere un nuovo schema di certificazione protezione dei dati personali
  • Dover coprire il trattamento dei dati personali in Uk
  • Essere rivolto al consumatore, e promuovere la fiducia dei consumatori e la protezione dei dati dei consumatori
  • Essere basato sulla certificazione di prodotto, processo e servizio (EN-ISO/IEC 17065:2012),
L’accreditamento degli organismi di certificazione

L’accreditamento degli Organismi di certificazione (CaBs), come indicato dall’EU Reg. 679/2016, identifica in un ente indipendente che ne attesti competenza ed indipendenza di giudizio, la possibilità di essere accreditati.

Per quanto attiene il processo di accreditamento dell’organismo di certificazione, gli Stati membri hanno il compito di «garantire» che gli organismi di certificazione siano accreditati da uno o entrambe tra: l’Organismo nazionale di accreditamento (per l’Italia, Accredia) e l’Autorità di controllo competente (per l’Italia, il Garante) (art. 43.1, lett. a) e b)).

Un primo problema sembra nascere dalla lettura attenta dell’art. 2.11 Reg. 765/2008 ove viene specificato che l’Ente nazionale di accreditamento è “il solo ente”, in ogni stato membro, che possa effettuare l’accreditamento.

Questa definizione parrebbe in contrasto con quanto indicato dall’art. 43.1 del GDPR, in quanto viene attribuita all’Autorità di controllo, la stessa facoltà riguardo all’accreditamento dei CaBs.

L’indicazione fornita dal WP29 n. 261 è che l’art. 43.1 è lex specialis nei confronti dell’art. 2.11 del Reg. (CE) 765/2008.

Le linee guida WP29 n. 261 pertanto, ancorché non definitive, argomentavano già in modo esaustivo la questione, fornendo un autorevole parere su quale norma adottare e le ragioni per cui la scelta primaria dovesse ricadere sugli Organismi di Accreditamento.

Il testo dell’art. 43.1, fornisce infatti un margine di manovra: in linea di principio la funzione di accreditamento dell’autorità di controllo dovrebbe essere interpretata come compito soltanto ove applicabile.

Il ruolo di Accredia

L’Italia, fugando qualunque dubbio residuo, ed evitando evidenti conflitti d’interesse nell’espletamento dei propri ruoli istituzionali, attraverso il d.lgs. 101/2018 art. 2 septiesdecies, ha identificato nell’organismo nazionale di accreditamento (Accredia) designato in virtù del regolamento (CE) 765/2008, il soggetto che effettuerà l’accreditamento.

Rimane il potere al Garante di accreditare direttamente in alcune materie specifiche (es. Biometria, genetica, ecc.) o qualora l’Ente di accreditamento risulti inadempiente, mediante una deliberazione pubblicata in Gazzetta Ufficiale.

Pienamente condivisibile la scelta di delegare Accredia quale organismo deputato all’accreditamento, anche per quei settori che richiedono particolari e delicate esperienze da parte degli organismi di certificazione. Rimane il dubbio però circa le tempistiche necessarie ad acquisire le competenze utili a svolgere il ruolo di accreditamento nei settori ritenuti più ad alto rischio, ovvero la capacità di valutare pienamente le «competenze riguardo al contenuto della certificazione», in particolar modo degli auditor e dei Lead auditor (art. 43.2 lett. a) in quei settori delicati quali, appunto, la genetica e la biometria.

Da ultimo, così come è formulato l’art. 2 septiesdecies d.lgs. 101/2018, permane l’ulteriore dubbio su chi possa e debba dichiarare il grave inadempimento dell’Ente Unico Nazionale di accreditamento, tale da generare l’intervento correttivo dell’Autorità Garante.

Il ruolo a cui l’Ente nazionale di accreditamento è chiamato a rispondere, è particolarmente delicato in quanto dovrà gestire coerentemente con il GDPR, tutte le fasi di accreditamento e di mantenimento dello stesso da parte dei CaBs, compresa la capacità di questi ultimi di gestire con competenza professionale la fase di certificazione.

L’accreditamento si riferisce quindi ad un’attestazione di terza parte (Accredia d.lgs. 101/2018) relativa ad un organismo di valutazione, che esprime una dimostrazione formale della sua competenza ad effettuare specifici compiti di valutazione di conformità (ISO 17011 – WP29 n.261).

L’accreditamento rappresenta pertanto il valore della credibilità sul mercato delle competenze di un CaB, richiesta dal GDPR.

Requisiti aggiuntivi (art. 43.3)

Riprendendo la definizione di cui al § 3.9 della EN-ISO/IEC 17065:2012 si può affermare che un sistema di certificazione è un sistema di valutazione della conformità e che pertanto, un sistema di certificazione per la protezione dei dati, è un sistema di certificazione che valuta la conformità al GDPR (standard di riferimento Art. 43 (1) WP29 linee guida n. 261).

Le considerazioni sulla norma di accreditamento da utilizzare, rappresentano un elemento dirimente, al fine di stabilire se e con quale standard di certificazione si possa valutare la conformità specifica e omnicomprensiva al GDPR e del perché siano eventualmente necessari requisiti aggiuntivi nella fase di accreditamento dei CaBs.

Va inoltre riportato quanto indicato dal WP29: «le linee guida non costituiscono un manuale di procedura per l’accreditamento di organismi di certificazione secondo quanto disposto dal GDPR, esse infatti, non definiscono un nuovo standard tecnico per l’accreditamento dei CaBs nell’ambito del GDPR» (WP29 n. 261),

Pertanto, ai sensi del d.lgs. 101/2018 Accredia, accrediterà i CaBs per le certificazioni volontarie dei sistemi di protezione dei dati personali secondo la ISO/IEC 17065:2012 e nel processo di accreditamento applicherà anche “i requisiti aggiuntivi” che verranno forniti dalle autorità di controllo competente ai sensi degli artt. 55 e 56 (art.43.1 lett. b) (WP29 n.261).

Un CaBs attualmente accreditato sulla base della ISO/IEC 17065:2012 per uno schema di certificazione non relativo al GDPR, che desideri estendere l’ambito del proprio accreditamento per compiere certificazioni rilasciate ai sensi del GDPR, dovrà rispondere ai requisiti aggiuntivi definiti dalla autorità di controllo se l’accreditamento è gestito dall’ente nazionale di accreditamento.

Se al contrario l’accreditamento in tali stati viene affidato alle autorità di controllo, un CaBs che si sottopone a un accreditamento dovrà rispondere ai requisiti della relativa autorità di controllo (WP29 n. 261 §4.3).

In Italia Accredia, sulla scia dell’opinion WP29 n.173, ha introdotto l’accreditamento dei CaBs, in “ambito volontario” per la certificazione dei processi, prodotti e servizi, “applicabile a tutte le tipologie di organizzazioni soggette alle norme vigenti in tema di tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati» (circolare Accredia rif. DC2017SSV369 del 14/12/2017).

Un CaBs che, allo stato attuale, risulti essere già accreditato da Accredia sulla base della norma ISO/IEC 17065:2012 per uno schema di certificazione in ambito volontario, per la valutazione della conformità al trattamento dei dati personali, ma non la «conformità al GDPR ai sensi degli artt. 42 e 43» e che desideri estendere l’ambito del proprio accreditamento per coprire le certificazioni rilasciate ai sensi del GDPR, dovrà integrare i “requisiti aggiuntivi” definiti dalle autorità di controllo (WP29 n. 261 §4.3) (cfr. comunicato Accredia Garante 18 luglio 2017).

Da quanto sin qui esposto, non risulta evidente e non viene chiarito neanche dalle linee guida, perché si renda necessario promuovere da parte delle singole autorità di controllo, ai sensi dell’art. 43.1 lett. b), ulteriori requisiti aggiuntivi (WP29 n.261).

Lo standard ISO/IEC 17065:2012

Il quesito trova una ipotesi di risposta nella struttura del richiamato standard di accreditamento, la ISO/IEC 17065:2012.

La ISO/IEC 17065:2012 per sua natura può prevedere l’accreditamento di CaBs che non operino nell’ambito della protezione dei dati personali ma semplicemente nel processo di certificazione di prodotti. In aggiunta, ai fini dell’accreditamento, non è possibile accreditare con la menzionata norma, senza uno schema di riferimento. A tal proposito il GDPR non fornisce alcuna indicazione circa uno schema di certificazione di riferimento anzi, nell’art. 42.1, viene suggerita la necessaria pluralità di meccanismi.

Pertanto, in questa specifica circostanza, il legislatore europeo ha dovuto prevedere ancor prima di “incoraggiare” eventuali schemi di riferimento, la necessaria condizione per l’accreditamento mediante la definizione di criteri autonomi da parte delle autorità.

Alla luce dell’esperienza fatta anche sulla base di quanto indicato dal gruppo WP29 nella opinion 3/2010 sul principio di responsabilizzazione (WP29 n.173 – 13 luglio 2010 paragrafo 69-71) circa l’importanza delle certificazioni e dei recenti risultati di ricerche internazionali (studio Università di Tilburg per conto della Commissione europea), nasce il dubbio sulla reale necessità di ulteriori requisiti aggiuntivi, oltre quelli già indicati nella ISO/IEC 17065:2012.

Il GDPR all’art. 43.2 lett. a-e) indica elementi importanti ma non esaustivi ai fini di valutare la competenza di un CaBs nell’ambito della protezione dei dati personali. A tal proposito lo stesso gruppo WP29 riporta come sia elevato il livello di attenzione nel garantire che gli organismi di certificazione abbiano un «livello appropriato di esperienza nella protezione dei dati personali», in conformità all’art. 43.1.

Il gruppo WP29, nota come sia necessaria una specifica esperienza nel settore della protezione dei dati personali, oltre ai requisiti ISO/IEC 17065:2012 indicati dal GDPR, ad esempio nel caso di altri organismi esterni, come “Laboratori” o anche “Auditor”, che vengano richiamati e/o impiegati nell’ambito di una certificazione.

Criteri di certificazione approvati (art. 42.5)

La formulazione dell’art. 42.5 del GDPR prevede la possibilità di rilasciare da parte di Organismi di certificazione, le certificazioni in base a «criteri approvati» da parte, sia della singola Autorità di controllo competente (art. 58.3), sia del comitato (art. 63).

Il richiamo dell’art. 42.5 circa i poteri dell’autorità di controllo competente (art. 58.3) o dal comitato (art. 63) di approvare i criteri di certificazione, porta a concludere che il GDPR assegna alle autorità di controllo, il compito esclusivo di autorizzare ma non di “sviluppare” i criteri (EDPB 1/2018 pag. 8). In aggiunta, «al fine di poter approvare i criteri ai sensi dell’art. 42.5 ogni autorità di controllo dovrebbe avere una chiara comprensione di cosa aspettarsi, particolarmente riguardo all’ambito e ai contenuti per dimostrare la conformità al GDPR e riguardo ai propri compiti di monitorare e di far valere l’applicazione del regolamento» (Linee guida 1/2018 EDPB).

Ne consegue che, secondo quanto chiarito dalle linee guida EDPB 1/2018 (pag. 5), «(…) i CaBs nella stesura e revisione dei criteri di certificazione, prima dell’invio per l’approvazione alla competente autorità di controllo ai sensi dell’art. 42.5, dovranno tenere in debito conto le indicazioni contenute nelle linee guida compresi gli annex previsti».

Inoltre, «l’approvazione si effettua sulla base del fatto che i criteri di certificazione riflettano pienamente il requisito del GDPR secondo il quale un meccanismo di certificazione permetta a titolari e responsabili di dimostrare la conformità al GDPR» (Linee guida 1/2018 EDPB pag. 10).

Lo sviluppo di criteri di certificazione non deve considerare soltanto quanto richiesto dal mercato ma, per ottenere un’approvazione, dovrebbe tenere in debito conto anche: “la verificabilità”, “la significatività” e la “capacità” dei criteri di certificazione di dimostrare la conformità al Regolamento.

I criteri devono essere formulati per essere chiari, comprensibili e da consentirne un’applicazione pratica.

Tutto ciò constatato e constatato che i criteri debbano solo essere approvati dalle autorità di controllo e che il CaB o lo Scheme Owner di una certificazione debbano definire gli stessi, quali caratteristiche dovrebbero avere questi criteri?

L’ipotesi basata su requisiti di indirizzo generale, potrebbe prevedere, ad esempio:

  • Competenza territoriale
  • Competenza generale o settoriale
  • Identificazione chiara delle norme di riferimento
  • Classificazione delle norme di riferimento
  • Approccio per processi
  • Accessibilità economica
  • Requisiti chiari, logici e facili da seguire anche per i consulenti che decidano di utilizzarlo come guida operativa
  • Modalità di annotazione dei requisiti
  • Accuratezza
  • Completezza dei controlli ma non complessità
  • Metrica di misurazione coerente applicabile in tutti i contesti
  • Comprensibilità e semplicità nell’uso

Inoltre, sulla base della necessaria capacità di dimostrare la conformità al Regolamento dovranno considerare:

  • Protezione dei diritti
  • Controllo delle discriminazioni
  • Protezione delle persone fisiche
  • Facilitare il controllo delle persone sui loro dati
  • Servire o altrimenti non compromettere la certezza del diritto
  • Prevedere limitazioni dei diritti in linea con le norme indicate
  • Approccio tecnologico neutrale e non invasivo
  • Rispetto dei principi di protezione dei dati
Quali certificazioni possibili

Va detto che il GDPR non dà una definizione di certificazione ai sensi della ISO /IEC 17065. Dobbiamo rifarci all’ISO (International Standards Organistion), la quale definisce la certificazione come, «la fornitura da parte di un ente indipendente di una assicurazione scritta che il prodotto, servizio o sistema in oggetto risponda a requisiti specifici». La certificazione quindi è nota come una valutazione di conformità di terza parte (EN-ISO/IEC 17000).

Al fine di migliorare la trasparenza e il rispetto del regolamento, dovrebbe essere incoraggiata l’istituzione di meccanismi di certificazione anche per consentire agli interessati di valutare rapidamente il livello di protezione dei relativi prodotti e servizi (considerando 100).

Gli Stati membri, le autorità di controllo, il comitato e la Commissione, avranno pertanto esclusivamente un ruolo di stimolo, incentivando l’istituzione di meccanismi di certificazione.

Va ricordato inoltre che, «la certificazione è volontaria e accessibile tramite una procedura trasparente» (art. 42.3) ma, «[…] non riduce la responsabilità del titolare del trattamento o del responsabile del trattamento riguardo alla conformità al presente regolamento e lascia impregiudicati i compiti e i poteri delle autorità di controllo competenti a norma degli artt. 55 o 56».

Spunto ulteriore di comprensione del processo di certificazione richiamato, lo fornisce l’art. 43.1 lett. b) in cui vengono chiaramente indicati gli standard richiesti per l’accreditamento dei CaBs, anche alla luce del d.lgs. 101/2018.

Tale lettura rende evidenti i vincoli entro cui è necessario sviluppare lo “schema di certificazione specifico”, al fine di dimostrare la compatibilità al GDPR.

All’interno del GDPR, vengono richiamati diversi standard internazionali di certificazione utili a valutare la conformità a singoli processi operativi.

Per tale ragione è necessario classificare i meccanismi di certificazione compatibili con il GDPR in due macro-categorie:

  • Schemi di certificazione aspecifici

sono schemi che, rifacendosi a standard internazionali ISO, sono ampiamente richiamati all’interno di singoli articoli del GDPR stesso. Coprono processi singoli di messa in sicurezza ai sensi del GDPR, ma esclusivamente in forma indiretta, come strumenti di «buona pratica operativa» . Possono essere schemi internazionali o nazionali ovvero linee guida emanate da Agenzie governative (ad es. AgID e altri). A titolo d’esempio all’art. 5.1) lett. d) per dimostrare l’esattezza e l’aggiornamento dei dati, è possibile utilizzare la norma ISO 28590:2017, la ISO 25024, SGCMF10002 ed altre ulteriori norme di settore specifiche; all’art. 5 (1) lett. f) sicuramente va ricordata la norma ISO 27001.

Valutando gli aspetti meramente relativi alla sicurezza del trattamento, richiamati nell’art. 32, abbiamo la possibilità di operare con un maggiore numero di norme tecniche. L’art. 32 rappresenta infatti, il baricentro della sicurezza tecnica e tecnologica, compresa la valutazione dei rischi ed è proprio qui che possiamo concentrare l’utilizzo (a seconda del trattamento che il Titolare o il Responsabile intendano effettuare) delle possibili prassi internazionali o standard ISO.

Ricordiamo a titolo d’esempio, all’art. 32 (1) lett. b) la ISO 27001, la ISO 27002, all’art. 32 (1) lett. c) la ISO 22301 e più in generale la ISO 27018, la ISO 31000, la ISO 29134.

  • Schemi di certificazione specifici

sono schemi di certificazione che sono determinati partendo dall’insieme delle disposizioni del GDPR e che seguono le obbligazioni previste dalla EN-ISO/IEC 17065:2012 relativamente alla certificazione dei prodotti, processi e servizi.

Questi schemi devono “trasdurre” (ndr. esattamente come avviene nei processi cellulari di creazione dei potenziali elettrici) le disposizioni legali previste dagli articoli e dai considerando del GDPR in criteri omogenei e omnicomprensivi di certificazione, comprendendo naturalmente anche gli aspetti legati alla riservatezza, integrità e disponibilità, oltre che della resilienza, dei trattamenti.

Possiamo dunque concludere che, mentre uno schema aspecifico certifica la conformità di un singolo processo dell’impianto privacy, lo schema specifico certifica la conformità dell’intero impianto privacy.

Appare infine evidente che, un impiego di standard internazionali cd. “aspecifici” per valutare la conformità al GDPR, non risulterebbe compatibile con la normativa di riferimento, in relazione alla norma indicata dall’art. 43.1 per l’accreditamento (ISO/IEC 17065:2012 Prodotto, processo e servizio e non ISO/IEC 17021:2012 Sistemi di gestione).

La certificazione ai sensi del GDPR può essere rilasciata solo a seguito di una valutazione indipendente di evidenza da un ente di certificazione accreditato (per l’Italia da Accredia), che dichiari che i criteri di certificazione sono stati soddisfatti (EDPB 1/2018).

Schemi accreditati

Nel 2010, esprimendosi sul principio di “responsabilizzazione”, il WP29 con l’opinion n. 173, sottolineò come un meccanismo di certificazione poteva senz’altro contribuire a provare che il titolare avesse ottemperato alle previsioni (DIR 95/46/CE) e quindi che avesse correttamente definito e implementato le misure appropriate.

Questa valutazione anticipa quanto poi introdotto con il GDPR.

Accredia ha accreditato uno schema di certificazione su base volontaria (art. 4.1 reg. UE 765/2008), ISDP©10003, per la certificazione delle organizzazioni soggette alle norme vigenti in tema di tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati. Lo schema di certificazione specifica ai “Titolari” e “Responsabili” del trattamento, soggetti ai vincoli normativi vigenti nel territorio dell’EU, i requisiti necessari per la corretta valutazione della conformità alle norme (Accredia circolare rif.DC2017SSV369 del 14/12/2017).

Come da precedente distinguo è uno schema specifico e globale, che sottopone l’intero impianto privacy aziendale a certificazione di conformità.

Può inoltre essere applicato ai Titolari o Responsabili di trattamenti di dati non soggetti ai vincoli

normativi dell’EU, che necessitano di dimostrare la previsione di garanzie adeguate circa la conformità alle norme sul trattamento dei dati personali.

Lo schema valuta l’assenza di inadeguatezze procedurali che possano creare diseguaglianze o

discriminazione negli individui oggetto del trattamento secondo i principi espressi dall’art. 8 paragrafo 1 della Carta dei diritti fondamentali dell’EU e l’art. 16 paragrafo 1 del Trattato di Lisbona.

Tale condizione deve passare attraverso il riordino dell’intero patrimonio informativo dell’organizzazione, supportato da una approfondita valutazione dei rischi e laddove necessario, conseguente valutazione d’impatto che il trattamento dei dati personali può comportare per i soggetti interessati.

Va precisato pertanto che l’Accreditamento rilasciato da Accredia è da intendersi volontario, e non regolamentato ai sensi degli artt. 42 e 43 dell’EU Reg. 679/2016.

In conclusione, in attesa dell’approvazione dei criteri e dei requisiti aggiuntivi per l’accreditamento, la certificazione accreditata può: « (…) costituire una garanzia e atto di diligenza verso le parti interessate dell’adozione volontaria di un sistema di analisi e controllo dei principi e delle norme di riferimento».

Fonte:

Gdpr, certificazione e accreditamento: che c’è da sapere

Pubblicato il

Privacy, imprese a “lezione” sulla Legge sammarinese 29 gennaio 9,30 c/o Sala Montelupo di Domagnano – Dott.ssa Gloriamaria Paci e Dott. Giuseppe Giuliano, Funzionario del Dipartimento attività ispettive e sanzioni del Garante per la protezione dei dati personali italiano

Studio Paci per ANIS San Marino: Privacy, imprese a “lezione” sulla Legge sammarinese

La Legge 21 Dicembre 2018 n. 171 “Protezione delle persone fisiche con riguardo al trattamento dei dati personali”) è entrata in vigore lo scorso 5 gennaio, definendo “il quadro normativo relativo alla protezione dei dati personali sul territorio sammarinese”. Commentando da ANIS. “Abbiamo ritenuto opportuno, pertanto, organizzare un appuntamento di approfondimento della nuova legge sammarinese per martedì 29 gennaio dalle ore 9:30 presso la Sala Montelupo di Domagnano (e non nella sede ANIS, come annunciato in precedenza), con l’obiettivo anche di porla a confronto con il Regolamento Europeo 2016/679”.

Relatori del momento di approfondimento saranno il Dott. Giuseppe Giuliano, Funzionario del Dipartimento attività ispettive e sanzioni del Garante per la protezione dei dati personali italiano, e la Dott.ssa Gloriamaria Paci, consulente in materia di privacy. “Durante l’incontro”, spiegano da ANIS, “verranno quindi illustrati i contenuti della 171/2018 nonché le linee di continuità e le differenze delle due normative avendo a riguardo agli adempimenti, ai diritti degli interessati e all’impianto sanzionatorio”. L’incontro è riservato ai soli soci ANIS ed è gratuito, previa iscrizione tramite il modulo inviato via email o telefonando alla segreteria ANIS al numero 0549/873911.

Anche San Marino, come detto, ha finalmente la sua Legge sulla Privacy. E’ stato infatti approvato in Consiglio Grande e Generale il Progetto di Legge “Protezione delle persone fisiche con riguardo al trattamento dei dati personali”. La Segreteria di Stato per gli Affari Interni e il Governo, opportunamente sollecitati dalle categorie economiche in particolare ANIS, avevano intrapreso da mesi un percorso volto all’approvazione di una proposta di legge in materia di protezione dei dati personali, al fine di realizzare l’adeguamento dell’attuale impianto normativo sammarinese al Regolamento UE n. 679 emanato dal Parlamento Europeo nel 2016, direttamente applicabile anche nei confronti degli Stati Terzi all’UE, e quindi anche alla Repubblica di San Marino, a decorrere dal 25 maggio 2018. “La Repubblica”, si legge in una nota della Segreteria agli Interni, “ha fatto propria l’esigenza di dotarsi di una normativa efficace in materia di protezione dei dati personali: solo con una forte tutela dei dati e delle informazioni personali, infatti, si costruisce una società dell’eguaglianza, senza discriminazioni e si difende la società della libertà”. “L’approvazione della norma”, ha poi avvertito Zanotti, “non esaurisce certamente le questioni legate a tale tema; saranno necessari ulteriori interventi per nominare i membri dell’Autorità Garante della protezione dei dati personali e per l’avvio del funzionamento dell’Autorità, medesima nonché del relativo Ufficio, che dovranno essere impostati anche dal punto di vista organizzativo e – prosegue il Segretario Zanotti – l’impegno è ad accelerare questa seconda fase”. Anche per questo il convegno ideato da ANIS servirà per definire ancora meglio i prossimi e successivi passi in avanti, sia a livello normativo, sia di piena operatività con i paesi UE e in particolare con l’Italia.

Fonte: http://www.sanmarinofixing.com/smfixing/fixing/archivio-fixing/28858-privacy-imprese-a-lezione-sulla-legge-sammarinese.html

Pubblicato il

Ebook “Fatturazione Elettronica e Gdpr”

Sarà disponibile a partire dal p.v. 28 gennaio, il libro digitale “Fatturazione Elettronica e Gdpr” edito da Wolters Kluwer e scritto dalla Dott.ssa Gloriamaria Paci in collaborazione con Luca Di Leo.

Un ebook che illustra in maniera chiara e sintetica i provvedimenti del Garante rispetto alla fatturazione elettronica attuativa dal 1 gennaio 2019.

L’ebook si può prenotare al seguente link:

https://shop.wki.it/Ipsoa/eBook/eBook_Fatturazione_Elettronica_e_Gdpr_s684922.aspx

Pubblicato il

Ancora sanzioni ai Comuni che non rispettano le regole ed i tempi di pubblicazione degli atti all’albo pretorio, e nell’area trasparenza.

1) Ordinanza ingiunzione nei confronti di Comune di Buccino – 7 novembre 2018

Registro dei provvedimenti
n. 479 del 7 novembre 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO  che l’Ufficio del Garante per la protezione  dei dati personali (si seguito Garante), con la nota n. 15656 del 23 maggio 2018, ha definito il procedimento amministrativo relativo a una segnalazione, accertando che il Comune di Buccino C. Fisc.: 82003670658, con sede in Buccino (Sa), piazza Municipio n.  1, in persona del legale rappresentante pro-tempore,  ha diffuso on line dati personali sul sito web istituzionale http://www.comune.buccino.sa.it mediante la pubblicazione  della nota n. 3645 del 23 maggio 2016, contenente  “l’elenco non residenti a Buccino  – Cancellazione  liste  elettorali” , in assenza  di un  idoneo  presupposto  normativo  in violazione dell’art. 19, comma 3 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n.  196 – nel seguito, “Codice”). Ciò, anche tenendo conto di quanto acquisito in atti nell’ambito dell’istruttoria e formalizzato nella nota n. 15656 del 23 maggio 2018 dal Dipartimento libertà pubblica e sanità del Garante circa il fatto che  “(…) la normativa statale  in materia di trasparenza (d. lgs. n. 33 del 24/3/2013) non prevede  l ‘obbligo di pubblicazioni  dei dati personali oggetto della segnalazione  (…) “;

VISTO il verbale n. 20683/103633 del 10 luglio 2018 con cui è stata contestata dall’Ufficio del Garante al Comune di Buccino, in persona del legale rappresentante pro-tempore la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice, in relazione all’art. 19, comma 3, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell’Ufficio del Garante predisposto ai sensi  dell’art.  17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

CONSIDERATO che la parte non risulta essersi avvalsa delle facoltà previste dall’art. 18 della legge n. 689/1981 (non presentando all’Autorità scritti difensivi né chiedendo di essere ascoltata);

RILEVATO, pertanto, che il Comune di Buccino, ha diffuso on line dati personali sul sito web istituzionale http://www.comune.buccino.sa.it mediante la pubblicazione della nota n. 3645 del 23 maggio 2018, contenente “l’elenco non residenti a Buccino – Cancellazione liste elettorali” , in assenza di un idoneo presupposto normativo in violazione dell’art. 19, comma 3 del Codice;

VISTO l’art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quelle di cui all’artt. 19, comma 3, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso in esame, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell’ammontare della  sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria per la violazione dell’art. 162, comma 2-bis del Codice in combinato disposto con l’art. 164-bis, comma 1, nella misura di euro 4.000,00 (quattromila);

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni; VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la della prof.ssa Licia Califano;

ORDINA

al Comune di Buccino C. Fisc.: 82003670658, con sede in Buccino (Sa), piazza Municipio n. 1, in  persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione dell’art. 162, comma 2-bis, indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 novembre 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia

 

2) Ordinanza ingiunzione nei confronti di Comune di Castel Maggiore – 7 novembre 2018

Registro dei provvedimenti
n. 480 del 7 novembre 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che l’Ufficio del Garante, con atto n. 17786/114844 del 12 giugno 2018 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente riportato, ha contestato il Comune di Castel Maggiore, con sede legale in Castel Maggiore (BO), via Matteotti n. 10, C.F. 00524081205, la violazione prevista dagli artt. 19, comma 3, 162, comma 2-bis, e 167 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”, nella formulazione antecedente alle modifiche introdotte dal d. lg. n. 4 settembre 2018, n. 101 in vigore dal 19 settembre 2018);

RILEVATO che dall’esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

– il Garante ha adottato un provvedimento, n. 292 del 16 maggio 2018, nei confronti del Comune di Castel Maggiore, che qui si intende integralmente richiamato;

– nel provvedimento si rappresenta che, a seguito di una segnalazione, è stato accertato che il Comune ha pubblicato sul proprio sito web istituzionale la Determinazione del Settore Ufficio del Segretario Generale n. 1 del 18 maggio 2015, avente ad oggetto “obbligo di astensione del Responsabile del Settore Gestione del Territorio per parziale conflitto di interessi”;

– la Determinazione stabiliva, su richiesta dello stesso Responsabile pro-tempore del Settore Gestione del Territorio, l’obbligo del medesimo di astenersi dalla valutazione di una dipendente, per potenziale conflitto di interessi poiché propria consorte;

– la Determinazione, che riportava in chiaro i dati identificativi del Responsabile del settore e della dipendente oltre che informazioni sull’esistenza di un rapporto di lavoro presso l’ente e di un potenziale conflitto di interessi nell’anno 2014, era accessibile sia dall’area dedicata all’Albo Pretorio, alla sezione denominata “Accesso agli atti amministrativi”, che dall’area “Amministrazione trasparente”, alla sezione “Provvedimenti” “Determine dirigenziali”. L’atto risultava pubblicato da circa tre anni e, quindi, per un periodo superiore ai quindici giorni previsti dalla normativa di settore (art. 124, comma 1, d. lg. n. 267/2000);

– sulla scorta di quanto accertato con il richiamato provvedimento, l’Ufficio ha contestato al Comune, quale titolare del trattamento, la violazione di cui agli artt. 19 e 162, comma 2-bis, del Codice, per aver effettuato una diffusione di dati personali in assenza di un idoneo presupposto normativo ai sensi dell’art. 19, comma 3, del Codice;

RILEVATO che con il citato atto del 12 giugno 2018 è stata contestata al Comune la sopra richiamata violazione;

PRESO ATTO che il Comune non ha provveduto al pagamento in misura ridotta, come evidenziato dal rapporto redatto ai sensi dell’art. 17 della legge n. 689/1981;

LETTI gli scritti difensivi del 12 luglio 2018, nei quali si rappresenta che:

– la determina del Comune di Castel Maggiore del 18 maggio 2015 soggiace agli obblighi di pubblicazione previsti dall’art. 12 del d. lg. 33/2013, che impone la pubblicazione di qualsiasi atto adottato dall’ente pubblico, che dispone in generale sull’organizzazione, sui procedimenti, ivi comprese le misure integrative di prevenzione alla corruzione di cui all’art. 1, comma 2-bis della legge 190/2012;

– la pubblicazione di atti relativi a situazioni di conflitti di interesse rientra nel novero delle misure di prevenzione anti-corruzione e al riguardo devono evidenziarsi i contenuti del Piano nazionale anticorruzione (richiamato dalla citata legge n. 190/2012) nelle parti in cui si stabilisce che la trasparenza è uno degli assi portanti della politica anticorruzione ed è fondata su obblighi di pubblicazione previsti dalla legge ma anche su ulteriori misure di trasparenza, individuate da ciascun ente in ragione delle proprie caratteristiche funzionali;

– il piano anticorruzione adottato dall’Anac, aggiornato in base alla determinazione n. 12/2015, indica che le misure di prevenzione debbano avere un carattere organizzativo e consentano di adottare interventi volti a interessare anche singoli processi/procedimenti tesi a ridurre le condizioni operative che favoriscono la corruzione, misure che riguardano l’imparzialità oggettiva e soggettiva del funzionario;

– in questo senso, deve considerarsi che la pubblicazione della determina oggetto di contestazione risponde ad una duplice ratio con riferimento al rispetto della trasparenza intesa come accessibilità totale e partecipazione all’attività dell’ente, nonché alla prevenzione di fenomeni corruttivi nella pubblica amministrazione;

– la pubblicazione è comunque anche consentita dall’art. 7-bis del d. lg. n. 33/2013, laddove si prevede che le amministrazioni possano disporre la pubblicazione nel proprio sito istituzionale, per la durata di anni cinque, di informazioni e documenti che le stesse non hanno l’obbligo di pubblicare in base a quanto previsto dal decreto o da altre disposizioni di legge o regolamento;

– sotto questo profilo il Piano territoriale anticorruzione del Comune di Castel Maggiore prevede la pubblicazione sul proprio sito istituzionale di direttive, circolari, programmi, istruzioni e ogni atto che dispone in generale sulla organizzazione, sulle funzioni, sugli obiettivi e sui procedimenti e prevede altresì che i responsabili dei settori possano pubblicare ulteriori dati e informazioni che ritengono necessari per assicurare la migliore trasparenza sostanziale dell’azione amministrativa;

– sussistono pertanto, per la diffusione dei dati dei soggetti citati nella determina in argomento, le condizioni richieste dall’art. 19, comma 3, del Codice, ossia l’esistenza di una norma di legge (art. 12 o art. 7-bis del d. lg. n. 33/2013) che consente tale diffusione per un periodo superiore ai 15 giorni indicato nell’art. 124 del d. lg. n. 267/2000;

RITENUTO che le argomentazioni addotte dal Comune non sono idonee a determinare l’archiviazione del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa per le seguenti ragioni:

– sulla base della prima argomentazione difensiva, l’obbligo di pubblicazione della determina oggetto di contestazione risiederebbe nell’art. 12 del d. lg. n. 33/2013, laddove dispone che sia pubblicato “ogni atto, previsto dalla legge o comunque adottato, che dispone in generale sulla organizzazione, sulle funzioni, sugli obiettivi, sui procedimenti ovvero nei quali si determina l’interpretazione di norme giuridiche che le riguardano o si dettano disposizioni per l’applicazione di esse, ivi compresi i codici di condotta, le misure integrative di prevenzione della corruzione individuate ai sensi dell’articolo 1, comma 2-bis, della legge n. 190 del 2012, i documenti di programmazione strategico-gestionale e gli atti degli organismi indipendenti di valutazione”;

– l’art. 1, comma 2-bis, della legge n. 190/2012 chiarisce che le misure integrative di prevenzione della corruzione sono individuate nel piano nazionale anticorruzione, atto di indirizzo per tutte le amministrazioni pubbliche, adottato con cadenza triennale e aggiornamento annuale, dall’Autorità nazione anticorruzione (ANAC);

– nella ricognizione effettuata dalla difesa delle indicazioni contenute nel Piano nazionale anticorruzione e nei relativi aggiornamenti non si ravvedono riferimenti a disposizioni di legge che siano idonee a soddisfare il requisito previsto dall’art. 19, comma 3, del Codice e che, pertanto, consentano, direttamente e specificamente, la diffusione, da parte di soggetti pubblici, di dati personali di dipendenti raggiunti da un provvedimento che dispone la loro astensione dalla trattazione di determinati procedimenti;

– alla considerazione circa la liceità della predetta diffusione la difesa perviene, infatti, solo attraverso ricostruzioni interpretative di diverse disposizioni, non soltanto di rango primario, in base alle quali sarebbe consentita alle pubbliche amministrazioni, in ragione di generiche esigenze di trasparenza e prevenzione dalla corruzione, una ampia e indiscriminata possibilità di diffusione dei dati personali contenuti nella generalità degli atti dalle stesse adottate;

– al contrario, sulla base di quanto evidenziato nelle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”, adottate dal Garante il 15 maggio 2014, la diffusione dei dati personali da parte di soggetti pubblici viene vincolata a stringenti condizioni ed “è ammessa unicamente quando la stessa è prevista da una specifica norma di legge o di regolamento […]. Pertanto, in relazione all´operazione di diffusione, occorre che le pubbliche amministrazioni, prima di mettere a disposizione sui propri siti web istituzionali informazioni, atti e documenti amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, verifichino che la normativa in materia di trasparenza preveda tale obbligo […]”. Peraltro “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni. I soggetti pubblici, infatti, in conformità ai principi di protezione dei dati, sono tenuti a ridurre al minimo l´utilizzazione di dati personali e di dati identificativi  ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità […]. Pertanto, anche in presenza degli obblighi di pubblicazione di atti o documenti contenuti nel d. lgs. n. 33/2013, i soggetti chiamati a darvi attuazione non possono comunque “rendere […] intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione”[…];

– il tema dell’obbligo di astensione del dipendente pubblico in caso di conflitto di interessi trova specifica disciplina nell’art. 6-bis della legge n. 241/1990 (introdotto dall’art. 1, comma 41, della legge n. 190/2012) e nell’art. 7 del d.P.R. n. 62/2013 recante il “Codice di comportamento dei dipendenti pubblici”, disposizioni che nulla prevedono in ordine alla pubblicazione di eventuali determinazioni al riguardo assunte da parte delle pubbliche amministrazioni;

– tali determinazioni, peraltro, in base allo schema delineato dalle sopra richiamate norme, interverrebbero soltanto a seguito di segnalazione da parte del dipendente su cui grava l’obbligo di astensione, come risulta sia avvenuto anche nel caso in argomento, per cui, in un’ottica di puntuale e corretto adempimento delle predette norme, alcuna misura integrativa di prevenzione alla corruzione pare rendersi necessaria;

– in buona sostanza, la determina che dispone l’astensione di un dipendente pubblico rispetto alla trattazione di un determinato procedimento, sulla base della segnalazione del medesimo dipendente, non può connotarsi, di per sé, come una misura organizzativa adottata dall’amministrazione al fine di prevenire eventuali episodi corruttivi, ma come l’ordinaria definizione e presa d’atto di un processo innestato proprio su impulso del dipendente in adempimento di specifici obblighi di legge;

– nei confronti di tale atto, pertanto, non incombe alcun obbligo di pubblicazione per periodi di tempo ulteriori rispetto a quelli stabiliti dall’art. 124 del d. lg. n. 267/2000 in materia di albo pretorio on line;

– quanto al secondo profilo difensivo, concernente la facoltà dell’ente di procedere comunque alla pubblicazione della determina in argomento in base a quanto previsto dall’art. 7-bis del d. lg. n. 33/2013, deve evidenziarsi che tale norma, al comma 3, consente agli enti “la pubblicazione nel proprio sito istituzionale di dati, informazioni e documenti che non hanno l’obbligo di pubblicare ai sensi del presente decreto o sulla base di specifica previsione di legge o regolamento […] procedendo alla indicazione in forma anonima dei dati personali eventualmente presenti”;

– la disposizione non consente margini di discrezionalità da parte dell’amministrazione che intende procedere alla pubblicazione, cosicché appare inconferente l’assunto difensivo in base al quale, nel caso della determina pubblicata dal comune di Castel Maggiore, “non sarebbe stato possibile procedere ad anonimizzare o minimizzare il trattamento dei dati personali dei due interessati” poiché “i predetti dati costituiscono l’essenza dell’informazione stessa”: tale considerazione dovrebbe essere astrattamente valida per ogni atto idoneo ad incidere sulla sfera individuale di un interessato, snaturando l’obbligo di anonimizzazione contenuto nella norma;

– per tali ragioni, deve confermarsi la responsabilità del Comune in ordine alla violazione contestata;

RILEVATO, quindi, che il Comune di Castel Maggiore, sulla base degli atti e delle considerazioni di cui sopra, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice (nella formulazione vigente all’epoca dei fatti), la violazione indicata nell’atto di contestazione n. 19270/121919 del 26 giugno 2018;

VISTO l’art. 162, comma 2-bis, del Codice (nella formulazione vigente all’epoca dei fatti) che punisce le violazioni delle disposizioni indicate nell’art. 167 del Codice, fra le quali figura anche l’art. 19, con la sanzione amministrativa del pagamento di una somma da euro 10.000 ad euro 120.000;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a. in ordine all’aspetto della gravità, con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, le violazioni non risultano connotate da profili di gravità;

b. ai fini della valutazione dell’opera svolta dall’agente, deve rilevarsi il Comune ha provveduto alla rimozione della determinazione oggetto di contestazione;

c. circa la personalità dell’autore della violazione, deve essere considerata la circostanza che il Comune non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

RITENUTO che, nel caso in esame, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della L. n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000 (diecimila) per la violazione di cui all’art. 162, comma 2-bis, del Codice e che, nel caso in argomento, può essere applicata la diminuente di cui all’art. 164-bis, comma 1, in ragione della lieve entità della violazione, costituita dalla pubblicazione della sola determina oggetto di contestazione;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Comune di Castel Maggiore, con sede legale in Castel Maggiore (BO), via Matteotti n. 10, C.F. 00524081205, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al predetto Ente di pagare la somma di euro 4.000 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 novembre 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia

 

Fonte:

1) https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9074879

2) https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9074891

Pubblicato il

Carta di identità elettronica: Italia verso il “bollino” europeo, fra i primi Paesi Ue

Mancano ancora 450 Comuni all’appello e molti sono nel caos, eppure la nostra card è considerata una best practice internazionale. E secondo quanto risulta a CorCom entro gennaio sarà effettuata la notifica per candidarla a documento di accesso ai servizi Ue con il massimo livello di sicurezza. A dimostrazione che l’ostacolo sul cammino nazionale non è tecnologico ma di inefficienza burocratica.

La carta di identità elettronica italiana punta ad essere accreditata in qualità di sistema di identità digitale per l’accesso ai servizi a livello Ue. Dopo Spid, dunque, è l’ora della Cie. E secondo quanto risulta a CorCom la notifica per candidare il documento sulla base delle specifiche Eidas (Electronic IDentification Authentication and Signature) – ossia del regolamento europeo 910/2014 sull’identità digitale – sarà effettuata entro questo mese di gennaio.

Nonostante i lunghi tempi di attesa in molti Comuni, per ottenere il nuovo documento e nonostante la roadmap dell’installazione e delle attivazioni non sia ancora stata completata – mancano all’appello circa 450 amministrazioni su 7.956, fra cui la città di Palermo, a dispetto della circolare 7/2018 del Ministero dell’interno che fissava ad agosto 2018 la deadline per garantire il pieno funzionamento del sistema a partire dal 2019 – nonostante dunque gli ostacoli sul cammino nazionale, a livello internazionale la Cie italiana si pone come una best practice, un’eccellenza al punto da essere considerata per molti Paesi un modello a cui ispirarsi. Un vero e propro paradosso che però dimostra da un lato la bontà dello strumento e dall’altro, in non pochi casi, la malagestione delle amministrazioni italiane.

“È un peccato che la questione dei ritardi offuschi le tante caratteristiche innovative della Cie, che peraltro è fra i pochi documenti di identità in Europa ad essere già pienamente conforme alla nuova proposta di Regolamento Ue che punta a uniformare le specifiche di sicurezza nell’identificazione in tutta Europa da qui a 5 anni”, spiega a CorCom Stefano Imperatori, Direttore Sviluppo Soluzioni Integrate del Poligrafico e Zecca dello Stato, che insieme con il Ministero dell’interno, Ministero degli affari esteri e della cooperazione internazionale, Ministero dell’economica e delle finanze, Funzione pubblica, Anci, Agid e Team Digitale è coinvolto nella partita Cie e non solo nel ruolo di “stampatore” delle card visto che al Poligrafico fanno capo anche le attività di dispiegamento delle postazioni presso i Comuni, di realizzazione del sistema di emissione del documento e di formazione del personale.

Tornando alla proposta europea tanto per fare un esempio la Cie tedesca – la Germania è fra i Paesi pionieri sul fronte dell’adozione dell’identità digitale – non sarebbe pienamente conforme ai nuovi dettami Ue. Non solo: la Cie italiana è già predisposta per l’attivazione di una serie di servizi “in tempi rapidissimi a costi estremamente contenuti”, continua Imperatori. “Basti pensare che la Cie può diventare il documento di accesso ai tornelli per l’identificazione del personale, ma anche strumento di accesso ai varchi delle metropolitane o degli stadi, solo per fare qualche esempio. Tutte funzioni che fanno della Cie molto più che un mero documento di riconoscimento. La Cie, inoltre, è importante sottolinearlo, può essere utilizzata alla stregua del passaporto per l’accesso ai varchi di riconoscimento elettronici negli aeroporti dell’area Schengen nonché di quelli dei Paesi oggetto di accordi bilaterali. E come strumento di identità digitale di massimo livello di sicurezza costituisce lo strumento più sicuro per l’accesso ai servizi della PA e dei privati anche in mobilità”, puntualizza Imperatori.

Che il 2019 sarà un anno chiave per passare dai piccoli numeri ai grandi numeri è fuori dubbio: “Il 2019 da sempre è stato identificato come l’anno spartiacque, con tutti i Comuni operativi e un aumento dell’erogazione delle nuove carte – continua Imperatori -. E peraltro abbattere le lungaggini è fondamentale per arrivare puntuali all’appuntamento dei 5 anni fissato dalla Commissione Ue, quando tutti i documenti in circolazione dovranno essere elettronici”. E 5 anni non sono affatto molti se si considera che al momento sono circa 7 milioni le Cie attive e che bisognerà arrivare ad un volume di circa 60 milioni. “A ottobre 2017 le carte erogate erano circa 1 milione, in un anno si sono sestuplicati i numeri a dimostrazione che il sistema è più che rodato. Il tasso di emissione giornaliera si attesta attorno alle 32mila card, insomma possiamo dirci a regime”, evidenzia Imperatori.

I Comuni, in particolare quelli di grandi dimensioni, dovranno però abbattere il più possibile le liste d’attesa. Roma in pole position dove si registrano le maggiori lungaggini pur se la situazione appare migliorata negli ultimi mesi. Stando ai dati resi noti dall’amministrazione comunale i tempi di attesa sarebbero diminuiti in media del 50%; da 114 giorni di luglio 2018 si è passati a 58 giorni al 30 novembre, con un incremento della produttività media giornaliera di carte d’identità elettroniche per postazione pari a + 35% rispetto al mese di settembre.

“Si tratta chiaramente di un risultato intermedio all’interno di un piano di azione organico che necessita di una prospettiva temporale più ampia per poter essere portato a compimento ma al quale l’Amministrazione è costantemente al lavoro con l’obiettivo di mitigare le criticità esistenti”, ha sottolineato l’assessora all’Innovazione del Comune di Roma Flavia Marzano al momento della presentazione dei dati. Nei primi mesi del 2019 – questo il Piano del Comune – si punta ad aumentare a 145 (dalle attuali 125) le postazioni per il rilascio della carta nonché ad aumentare del 30% i dipendenti addetti al rilascio assegnati alle strutture. Previsto anche l’obbligo di almeno 5 postazioni esclusivamente dedicate alla carta d’identità elettronica per ciascun Municipio nonché l’apertura pomeridiana degli sportelli nelle giornate di martedì e giovedì.

Fonte:

Carta di identità elettronica: Italia verso il “bollino” europeo, fra i primi Paesi Ue

Pubblicato il

Antonello Soro: “Nell’economia digitale è l’etica la vera rivoluzione” Il Garante della Privacy afferma la necessità di proteggere i dati e le persone, attuando regole e rendendo consapevoli i cittadini: solo così il mondo digitale sarà etico e sostenibile


Intervista ad Antonello Soro, Presidente del Garante per la protezione dei dati personali
(di Andrea Ballocchi, “wisesociety.it”, 18 dicembre 2018)

I dati sono l’oro del mondo moderno. Se ne generano miliardi, i cosiddetti Big Data, autentiche miniere da cui ricavare informazioni da trasformare in servizi. È nata così l’economia digitale, «la principale forma economica oggi», afferma Antonello Soro, presidente dell’Autorità garante per la protezione dei dati personali. “L’economia digitale è la cornice entro cui si sviluppano tutte le attività dell’umanità intera. Il digitale, quindi, è una dimensione della vita, assolutamente reale per quanto immateriale sia nella quale tutti noi ci troviamo, per comunicare nelle diverse forme”. Pensiamo ai 42 miliardi di messaggi su Whatsapp, ai 150 miliardi di email, ai 66 miliardi di foto su Instagram inviati ogni giorno nel mondo. Tutti dati personali, sensibili, di cui in Rete resta tutto, con tutti i pro e i contro.

Da qui la necessità di porre attenzione alle “Persone in rete”, titolo quanto mai azzeccato del libro di Antonello Soro, presidente dell’Autorità garante della protezione dei dati personali. Infatti, c’è una componente fisica nel mondo virtuale che contribuiamo a creare anche noi con le nostre storie. Ma spesso senza rendercene conto, dando in pasto alle grandi piattaforme digitali la nostra vita. Ecco perché, scrive Soro, occorre impostare un’etica per l’algoritmo.

Presidente Soro, quanto sono importanti oggi i dati?

Sono i protagonisti della rivoluzione digitale, ma sconosciuti dai legittimi possessori. Tendiamo, infatti, a immaginarli come una pura sequenza di numeri che attraverso oscuri canali vengono trattati da alcuni esperti. Ma i dati sono la proiezione digitale della nostra stessa vita. Ogni volta che facciamo un “click” consegniamo a questa dimensione e ai soggetti che li raccoglieranno una tessera della nostra esistenza che, confluendo nei server, verranno ricomposti per formare il mosaico dell’identità. Questo avverrà sempre di più per tutta una serie di dati che hanno a che fare con la materialità della nostra persona. Per esempio, se noi affidiamo al fascicolo sanitario elettronico i dati relativi alla nostra salute c’è un luogo dedicato alla loro conservazione e alla pronta reperibilità per il medico che se ne servirà per prestare le necessarie cure. Sono informazioni vitali, la cui manipolazione però potrebbe avere effetti devastanti per noi. Ecco perché la protezione dei dati è un presupposto fondamentale per la nostra sicurezza anche fisica.

Nel suo libro si evidenzia la necessità di un’etica per l’algoritmo. Come si riesce a delinearla in un mondo finora spesso anarchico?

Attraverso due vie: la prima passa dalla consapevolezza dell’utente. Deve sapere che l’algoritmo non è neutro, ma è un programma informatico ideato da un uomo con tutti i suoi pregiudizi ed esperienze pregresse e come tale può essere un prodotto capace di avere effetti importanti una volta utilizzato. Per questo non si deve delegare alla macchina in modo ideologico e generalizzato. L’altra via passa dall’attuazione delle regole. In questa direzione va il GDPR, regolamento europeo per la protezione dei dati personali. Un provvedimento di grande importanza in quanto ha stabilito per la prima volta che nessuna decisione esclusivamente automatizzata può essere adottata senza che l’interessato possa contestarla.

Consapevolezza e regolamentazione possono costituire le basi per restituire un ruolo alla persona e in questo sta una nuova etica: non pensare che la delega all’algoritmo, alla macchina, all’innovazione sostituisca la responsabilità che sta in capo alla persona, a chi fa uso delle tecnologie, che non deve essere usato.

In questa rivoluzione digitale che ha prodotto un’economia, c’è bisogno di sostenibilità, in termini di tutela della libertà della persona?

Certo. Nella società digitale dobbiamo introdurre una regolazione che sia all’altezza della storia del diritto così come l’abbiamo maturato nei secoli nella dimensione fisica. Dobbiamo accrescere la tutela dei diritti, sapendo che la protezione del dato riguarda la tutela della persona, ma anche una tutela della nuova economia e dell’organizzazione sociale, in assenza della quale si rischia di vivere in un mondo oscuro dove la vita dell’uomo è destinata a peggiorare.

Come si rende consapevole il cittadino in tutto questo?

Con un’educazione altrettanto digitale.

Fonte:

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9068705

Pubblicato il

Fatturazione elettronica: niente banca dati dell’Agenzia delle entrate. Esentate le fatture per prestazioni sanitarie

Niente banca dati delle fatture dell’Agenzia delle entrate, memorizzati solo i dati fiscali necessari per i controlli automatizzati, no alla fatturazione elettronica per le prestazioni sanitarie. L’Agenzia potrà archiviare le fatture solo su richiesta dei contribuenti che avranno necessità di consultarle.

Con un articolato provvedimento, il Garante per la protezione dei dati personali – preso atto delle modifiche apportate all’impianto originario della fatturazione elettronica e delle ulteriori rassicurazioni fornite dall’Agenzia delle entrate – ha individuato i presupposti e le condizioni perché la stessa Agenzia possa avviare dal 1 gennaio 2019 i trattamenti di dati connessi al nuovo obbligo.

Nelle settimane scorse era stato costituito un tavolo di lavoro tecnico, con l’Agenzia delle entrate e il Mef, per esaminare congiuntamente le criticità rilevate dal Garante e che ha visto coinvolti anche l’Agid, il Consiglio nazionale dei dottori commercialisti e degli esperti contabili, il Consiglio nazionale dell’ordine dei consulenti del lavoro e l’associazione dei produttori di software gestionale e fiscale (AssoSoftware).

La fatturazione elettronica, così come originariamente prefigurata dall’Agenzia, presentava rilevanti criticità in ordine alla compatibilità con la normativa in materia di protezione dei dati personali. L’Agenzia, infatti, oltre a recapitare le fatture ai contribuenti attraverso il sistema di interscambio (SDI), avrebbe anche archiviato integralmente tutti i file delle fatture elettroniche (2,1 miliardi nel 2017) che contengono di per sé informazioni di dettaglio, anche non rilevanti a fini fiscali, sui beni e servizi acquistati, come le abitudini e le tipologie di consumo, legate alla fornitura di servizi energetici, di telecomunicazione o trasporto (es. regolarità nei pagamenti, pedaggi autostradali, biglietti aerei, pernottamenti), o addirittura l’indicazione puntuale delle prestazioni legali (es. numero procedimento penale) o sanitarie (es. percorso diagnostico neuropsichiatrico infantile).

Il nuovo sistema di e-fattura prevede invece che l’Agenzia si limiti a memorizzare solo i dati fiscali necessari per i controlli automatizzati (es., incongruenze tra dati dichiarati e quelli a disposizione dell’Agenzia), con l’esclusione della descrizione del bene o servizio oggetto di fattura. Dopo il periodo transitorio indispensabile a modificare il sistema, nuovi servizi di consultazione delle fatture saranno resi disponibili solo su specifica richiesta del contribuente, sulla base di accordi che saranno esaminati dall’Autorità.

I soggetti che erogano prestazioni sanitarie non dovranno emettere fattura elettronica.

Per quanto riguarda il rischio di usi impropri dei dati, il Garante, con l’istituto dell’avvertimento, ha messo in guardia tutti gli operatori (soggetti Iva e intermediari, anche tecnici) che alcune clausole contrattuali, predisposte dalle società di software, possono violare il Regolamento ed espongono a sanzioni.

Ulteriori sforzi sono richiesti all’Agenzia delle entrate per implementare la cifratura dei dati (utile soprattutto in caso di utilizzo della pec), per minimizzare i dati da memorizzare e per conformarsi agli obblighi di trasparenza e correttezza nei confronti degli interessati riguardo ai controlli fiscali effettuati attraverso trattamenti automatizzati o con l’acquisizione delle fatture per le quali il contribuente usufruisce dei servizi di consultazione e conservazione.

Tutto ciò in vista di una nuova valutazione d’impatto, prevista dalla normativa sula protezione dei dati, che l’Agenzia dovrà produrre entro il 15 aprile 2019.

Roma, 20 dicembre 2018

Fonte:

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9069057

Pubblicato il

EU-US Privacy Shield

L’accordo sulla Privacy Shield UE-USA è stata adottata il 12 luglio 2016 e  diventata operativa il 1 ° agosto 2016. Tale patto protegge i diritti fondamentali di chiunque nell’UE i cui dati personali sono trasferiti negli Stati Uniti a fini commerciali. Il quadro apporta inoltre chiarezza giuridica alle aziende che fanno affidamento sui trasferimenti

Il nuovo accordo include:

–       forti obblighi di protezione dei dati per le società che ricevono dati personali dall’UE

–       garanzie sull’accesso ai dati da parte del governo degli Stati Uniti

–       protezione e risarcimento efficaci per le persone

–       una revisione congiunta annuale da parte di UE e USA per monitorare la corretta applicazione dell’accordo.

Fonte:

https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/eu-us-privacy-shield_en

Pubblicato il

Preso l’Arsenio Lupin del web, spiava 900 aziende: frodata anche la Toyota

Laureato alla Sorbona, è riuscito a rubare 800 mila euro. Ogni anno 14 milioni di truffe informatiche alle aziende nella sola Emilia-Romagna

BOLOGNA – Una mail molto circostanziata, quindi assai credibile. Alla quale i manager di Toyota Italia, che ha sede a Bologna, hanno risposto con sollecitudine, provvedendo al pagamento di 249 mila euro, come prima tranche per un’operazione dal valore complessivo di un milioni di euro. La cattiva notizia è che si trattava di una truffa informatica, quella buona che gli stessi manager si sono accorti subito dell’inganno e con l’aiuto della polizia postale sono riusciti a bloccare l’invio di denaro. Di tentate frodi ai danni delle aziende, comprese quelle più strutturate, se ne registrano ogni giorno, anche in Emilia-Romagna e a Bologna. La polizia postale, nella sua attività di contrasto ai crimini informatici, sotto le due torri ha arrestato un ‘pirata’ del web che era riuscito a rubare ben 800 mila euro: sul tablet di questo bandito 4.0, laureato alla Sorbona, hanno scovato report su 900 società italiane, con i recapiti, gli account e dati di spesa di 6.500 tra presidenti e manager.

Eppure, quello dei reati informatici è “un fenomeno ancora molto sottovalutato dalle imprese”, avverte il presidente di Confindustria Emilia, Alberto Vacchi, che oggi ha sottoscritto a nome dell’associazione un protocollo d’intesa con la polizia postale per la difesa del sistema delle imprese dagli attacchi telematici. La polizia delle telecomunicazioni tra il 2017 e il 2018 a Bologna ha registrato frodi informatiche per 14 milioni di euro ed è riuscita a recuperare circa 8,5 milioni di euro, comprese somme già trasferite su conti esteri. Non solo. Come ha spiegato Geo Ceccaroli, dirigente del compartimento di polizia postale dell’Emilia-Romagna, a fronte delle truffe scoperte sono stati avviati 88 procedimenti, con 25 denunce e un arresto (quello pirata con laurea nel prestigioso ateneo parigino).

Il nuovo contesto tecnologico “mette le Imprese di fronte a problemi che non avevano mai affrontato. Il protocollo è importante per dare supporto alle imprese, ma anche per far toccare con mano il fenomeno, divenuto un problema da affrontare un maniera strutturale”, avverte Vacchi. “Dopo 20 anni continuiamo a perdere. Continuiamo a investire in sicurezza, ma i crimini informatici aumentano. Bisogna cambiare approccio”, suggerisce Michele Colajanni dell’Università di Modena e Reggio.

Innanzittutto, le aziende devono trovare il coraggio di denunciare. “Abbiamo sventato una frode che aveva superato le attività controllo”, conferma Giorgio Polonio, manager di Toyota Italia. “Bisogna avere il coraggio di denunciare”, sprona Roberto Sgalla, direttore centrale della polizia stradale, ferroviaria, delle comunicazioni e per i reparti speciali.

 

Fonte:

https://bologna.repubblica.it/cronaca/2018/12/10/news/preso_l_arsenio_lupin_del_web_spiava_900_aziende_frodata_anche_la_toyota-213926076/amp/