Diritti interna

Doveri interna

ricerca avanzata

Newsletter 31/07/18 - Grandi database, istituti di credito, telemarketing nel piano ispettivo del Garante - Telemarketing aggressivo: 800 mila euro di sanzione a Vodafone 

SCHEDA


 

Grandi database, istituti di credito, telemarketing nel piano ispettivo del Garante
Intanto nel primo semestre 2018 le sanzioni riscosse sono aumentate fino a 4,5 milioni di euro

 

 

Approvato dal Garante per la protezione dei dati personali il piano ispettivo per il secondo semestre di quest'anno. Il piano, il primo ad essere varato dopo la piena applicazione del Regolamento Ue, vede al centro delle verifiche degli ispettori dell'Autorità i trattamenti di dati effettuati da aziende e pubbliche amministrazioni che gestiscono banche dati di grandi dimensioni, le misure di protezione dei dati negli istituti di credito (specie con riferimento a segnalazioni di data breach), i trattamenti di dati per attività di telemarketing [doc. web n. 9025338].

 

Le ispezioni verranno svolte anche in collaborazione con il Nucleo speciale tutela privacy e frodi telematiche della Guardia di Finanza sulla base del protocollo di intesa che ha rafforzato l´attività di collaborazione tra la Guardia di Finanza e il Garante.

 

I controlli verteranno sul rispetto degli obblighi di informativa, sull'acquisizione del consenso nei casi previsti, sul periodo di conservazione dei dati e sulle misure di sicurezza per la loro protezione, e terranno conto, in particolare, del rispetto degli obblighi in tema di tenuta del registro dei trattamenti, di valutazione d'impatto e di designazione del Responsabile della protezione dei dati. L'attività ispettiva riguarderà anche, come di prassi, le istruttorie avviate sulla base di segnalazioni o reclami presentati dai cittadini, con particolare attenzione alle violazioni più gravi.

 

Intanto, il bilancio dell´attività di accertamento svolta nel primo semestre 2018 indica un incremento delle sanzioni riscosse dall'erario per somme pari a oltre 4 milioni e 500 mila euro (con un aumento del 162% rispetto al corrispondente semestre 2017), in maggioranza riguardanti grandi gestori telefonici. Aumentate anche le sanzioni contestate salite a  647 (118% rispetto al primo semestre 2017). Stabili le segnalazioni all´Autorità giudiziaria per violazioni penali: 19, la  maggior parte delle quali relative a inosservanza dei provvedimenti del Garante, mancata adozione delle  misure minime di sicurezza, violazioni connesse al controllo a distanza dei lavoratori.

 

Gli accertamenti del primo semestre 2018, svolti anche con il contributo del Nucleo speciale privacy della Guardia di Finanza, si sono incentrati, per il settore pubblico, sui trattamenti di dati effettuati dalle Asl e poi trasferiti a terzi per fini di ricerca, sul rilascio dell´identità digitale ai cittadini italiani (Spid), sul sistema della fiscalità, con particolare attenzione alle misure di sicurezza e al sistema degli audit. Per quanto riguarda il settore privato l'attività ispettiva si è concentrata sulle società che si occupano di valutare il rischio e la solvibilità delle imprese e sull'attività di telemarketing.

 

 

 

Telemarketing aggressivo: 800 mila euro di sanzione a Vodafone 

 

 

Il Garante per la protezione dei dati personali ha ordinato a Vodafone il pagamento di una sanzione amministrativa di 800 mila euro per aver svolto attività di marketing in violazione della normativa antecedente al Regolamento europeo.

 

L'ingiunzione fa seguito ad un precedente provvedimento con il quale il Garante aveva vietato all'operatore telefonico l'invio di sms e l'effettuazione di chiamate per finalità di marketing a chi non avesse manifestato uno specifico consenso o avesse addirittura chiesto di non essere più disturbato con offerte commerciali. La decisione era stata adottata dal Garante all´esito di una complessa istruttoria e di accertamenti ispettivi – avviati sulla base di innumerevoli segnalazioni - dai quali era emerso che in meno di due anni  milioni di persone erano state contattate attraverso telefonate o sms senza il loro consenso. Le campagne promozionali avevano riguardato sia  clienti attuali, sia  quelli potenziali, sia quanti avevano cambiato compagnia [doc. web n. 9025351]. 

 

Il Garante, quindi, ha contestato a Vodafone le violazioni previste dalla normativa privacy per  l'effettuazione delle telefonate promozionali e l'invio di sms a un rilevante numero di utenti di telefonia fissa e mobile senza il loro consenso, nonché quella per aver realizzato gli illeciti utilizzando banche dati di particolare rilevanza e dimensioni.

 

Il Garante, pur considerando in termini favorevoli l'atteggiamento della società che ha intrapreso una serie di misure volte a mettersi in regola, ha ritenuto che le violazioni commesse fossero di maggiore gravità rispetto a precedenti applicazioni di sanzioni della medesima specie, tenuto conto sia dell'elevatissimo numero di contatti realizzati in meno di due anni, sia dei differenti canali di contatto utilizzati (telefono fisso, mobile, sms) che hanno innalzato in modo esponenziale il livello di invasività delle campagne promozionali, sia la grandezza dell'operatore.

 

Per quanto riguarda la prima violazione Vodafone si è avvalsa del pagamento in misura ridotta ed ha definito subito la questione.

 

In merito alla seconda violazione, invece, per la quale non è possibile avvalersi di questa facoltà, l'Autorità ha applicato la sanzione prevista per i casi di violazioni commesse, anche in tempi diversi, in relazione a banche di dati di particolare rilevanza o dimensione, aumentata del quadruplo avendo ritenuto che in ragione delle condizioni economiche del contravventore la sanzione pecuniaria così determinata risultasse inefficace, come previsto dall'art. 164-bis, comma 4, del Codice; in virtù di tali circostanze, quindi, l'importo della sanzione è stato aumentato da € 200.000 a € 800.000. 

 


 

Flotte aziendali, sistemi GPS con privacy incorporata


 

 

La privacy va tutelata fin dalla fase di progettazione di un prodotto o di un servizio. L'Autorità, in applicazione del Regolamento Ue, ha ingiunto per la prima volta a un fornitore di servizi di geolocalizzazione, di incorporare il "diritto alla privacy" direttamente nelle funzionalità del prodotto, attenendosi al principio di minimizzazione dei dati e a quello di privacy by design e privacy by default. Il cliente potrà cosi usufruire di un sistema pienamente adattabile alle proprie esigenze organizzative e di sicurezza [doc. web n. 9023246].

 

Il servizio "standard" dovrà essere rimodulato con particolare riguardo agli intervalli temporali di rilevazione della posizione geografica dei veicoli (allo stato fissati, rispettivamente, tra i 30 e i 120 secondi) ed ai tempi di conservazione dei dati (ora stabiliti in 365 giorni) nonché alla memorizzazione e messa a disposizione delle mappe di tutti i percorsi effettuati. La società dovrà, inoltre, informare chiaramente i propri clienti circa la possibilità di adattare le caratteristiche del servizio alle concrete finalità perseguite. La funzione che consente la disattivazione del GPS dovrà essere resa disponibile per tutti i tipi di abbonamento al servizio senza eccessivi costi aggiuntivi. L'intervento del Garante ha preso l'avvio dalla segnalazione di un dipendente di una società che utilizza il servizio di localizzazione sulla propria flotta aziendale e si è reso necessario a causa della diffusione sul mercato del servizio le cui caratteristiche non sono risultate conformi alla normativa in materia di protezione dei dati e a quella sui controlli a distanza dei lavoratori.

 

Dagli accertamenti, svolti dall'Autorità anche con la collaborazione ispettiva della Guardia di Finanza,  è emerso, infatti, che il sistema, delle cui caratteristiche peraltro i dipendenti non erano stati informati, consentiva il monitoraggio continuo dell'attività del dipendente, in violazione dei principi di necessità e proporzionalità. Per di più, visto che le autovetture potevano essere utilizzate anche al di fuori dell'orario di lavoro e pure da congiunti dei dipendenti, tale sproporzionata attività di raccolta e conservazione dei dati tratti dalla geolocalizzazione del veicolo consentiva di fornire informazioni sul lavoratore non rilevanti rispetto allo svolgimento dell'attività lavorativa (in violazione di legge, in particolare dell'art. 8 dello Statuto dei lavoratori) nonché su terzi estranei.

 

Il Garante, quindi, ha vietato l'ulteriore trattamento dei dati alla società che ha installato il sistema ed ha altresì prescritto al fornitore di adeguare il sistema alla disciplina europea sulla protezione dei dati.

 

 

 

Sistan e ricerca scientifica: ok accesso ai dati elementari ma con più tutele

 

 

Il Garante privacy ha dato via libera allo schema di Linee guida del Comitato di indirizzo e coordinamento dell'informazione statistica (Comstat) per l'accesso a fini scientifici ai dati elementari del Sistema statistico nazionale (Sistan),  ma ha previsto misure che innalzano le tutele sui dati personali trattati [doc. web n. 9023239].

 

Le linee guida si sono rese necessarie per tutelare i dati elementari, quelli che si riferiscono ad un'unità statistica (es. una persona fisica, una persona giuridica, un'istituzione, un evento) che, raccolti per finalità statistiche, vengono messi a disposizione della ricerca scientifica con appropriate cautele volte a scongiurarne un uso incompatibile con la ricerca stessa e a garantirne la sicurezza.

 

L'Autorità ha reso parere favorevole sulle Linee Guida a condizione che le postazioni esterne da cui si effettua l'accesso ai dati elementari da remoto siano collocate in locali dedicati e che i dati siano consultabili solo da ricercatori autorizzati con la registrazione degli accessi fisici. 

 

Il parere è stato reso su uno schema di Linee guida che recepisce le indicazioni fornite dal Garante per assicurare che i trattamenti di dati personali siano conformi al nuovo Regolamento europeo, con particolare riferimento all'individuazione di misure adeguate a garantire la sicurezza dei dati trattati, quali  la tracciabilità delle operazioni e la separazione tra il desktop virtuale e la postazione fisica del ricercatore, in modo tale da evitare scambi di file tra i due ambienti e disabilitare la funzione di stampa dello schermo. 

 

In base al richiamato decreto, inoltre, i ricercatori autorizzati all'accesso dovranno appartenere ad un ente riconosciuto dal Comstat all'esito di una specifica procedura come ente di ricerca (università, istituzioni pubbliche o private ecc.) o rientrante nell'elenco degli enti di ricerca dell'Eurostat (l'Ufficio Statistico dell'Unione Europea).

 

Per l'accesso ai dati, tali enti dovranno presentare un'apposita proposta di ricerca per cui risulti necessario ricorrere a dati elementari e i ricercatori dovranno sottoscrivere una dichiarazione individuale di riservatezza. Anche l'organizzazione richiedente dovrà garantire, infine, specifiche misure per la sicurezza dei dati. 

 

 

 

 

 

 

 

 

 

 

L´ATTIVITÁ DEL GARANTE - PER CHI VUOLE SAPERNE DI PIÚ
Gli interventi e i provvedimenti più importanti recentemente adottati dall´Autorità

 

Violenza sessuale a Piacenza: Garante privacy ai media, no a dettagli che rendono identificabile la vittima - Comunicato del 20 luglio 2018

 

e-state in privacy - Informazioni utili su selfie e foto, protezione di smartphone e tablet, acquisti on line, uso di app, chat e social network quando si è in vacanza - Comunicato del 19 luglio 2018

 

Relazione sull'attività svolta nel 2017 e Discorso del Presidente Antonello Soro - 10 luglio 2018

 

 

 

 

NEWSLETTER
del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n. 654 del 28 novembre 2002).
Direttore responsabile: Baldo Meo.
Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n. 121 - 00186 Roma.
Tel: 06.69677.2752 - Fax: 06.69677.3755
Newsletter è consultabile sul sito Internet www.garanteprivacy.it