VIOLAZIONE DEI DATI PERSONALI

Come intervenire e cosa prevede la nuova procedura telematica disposta dal Garante della Privacy

La violazione dei dati personali (data breach) costituisce una violazione della sicurezza che comporta accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati (art. 4 Regolamento UE n. 2016/679 – G.D.P.R.). Il data breach provoca quindi effetti negativi in termini di riservatezza, integrità o disponibilità dei dati personali. 

In linea generale, sono numerosi e di svariata natura gli eventi che possono provocare una violazione dei dati personali; alcuni casi pratici sono illustrati sul sito del Garante della privacy:

– accesso o acquisizione di dati da parte di terzi non autorizzati

– furto o perdita di dispositivi informatici contenenti dati personali

– deliberata alterazione di dati personali

– impossibilità di accedere ai dati per cause accidentali o per attacchi esterni (virus, malware, ecc.)

– perdita o distruzione di dati personali a causa di incidenti, eventi avversi, incendi o calamità

– divulgazione non autorizzata dii dati personali.

PROCEDURE DA SEGUIRE

Il G.D.P.R. indica la procedura per i Titolari del trattamento sia pubblici che privati qualora si verifichi una violazione dei dati personali. Il Titolare senza ingiustificato ritardo, possibilmente entro 72 ore dall’avvenuta conoscenza dell’incidente, deve notificare la violazione dei dati personali all’Autorità Garante per la protezione dei dati personali. Tuttavia, non è dovuta la notificazione se risulta improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche coinvolte.

È fondamentale intervenire in maniera tempestiva per accertare le dinamiche, le cause, la portata dell’incidente e bloccare o limitare gli effetti. È quindi preminente capire se l’incidente ha coinvolto dati personali. Analizzare tutti i profili serve per valutare se procedere o meno alla notificazione della violazione dei dati personali. Il Garante indica che è necessario notificare se la violazione può produrre “effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali”. In ogni caso, eventuali incidenti di sicurezza, anche qualora si valuti di non procedere con la notificazione, dovranno essere registrati internamente. Così facendo sarà agevole motivare le scelte in caso di controlli.

La violazione potrebbe essere rilevata da un Responsabile del trattamento dei dati (es. un fornitore di determinati servizi o un consulente aziendale). In questa ipotesi il Responsabile deve comunicare tempestivamente l’evento al Titolare del trattamento. Sarà infatti il Titolare a valutare la procedura da adottare.

Inoltre, il G.D.P.R. impone al Titolare del trattamento di effettuare un’opportuna ed idonea comunicazione alle persone fisiche coinvolte se la violazione comporta un rischio elevato per i loro diritti. La comunicazione agli interessati non è dovuta quando il Titolare ha adottato misure adeguate in grado di ridurne l’impatto.

Il Titolare del trattamento che viola quanto previsto in caso di data breach può incorrere in una gravosa sanzione amministrativa; il Regolamento UE n. 2016/679 prevede fino a 10 milioni di euro (o il 2% del fatturato annuo della società).

NUOVA PROCEDURA TELEMATICA SUL SITO DEL GARANTE

Sul sito dell’Autorità Garante per la protezione dei dati personali sarà operativa, a partire dal mese di luglio, una nuova procedura telematica per le notificazioni di violazione dei dati personali.

Al fine di agevolare l’indicazione di tutti gli elementi relativi ad un incidente di sicurezza, verranno segnalati automaticamente i campi ancora da completare nel corso della procedura. Si offrirà altresì la possibilità di caricare documenti esplicativi. Le notificazioni andranno in ogni caso firmate digitalmente ma il sito agevola la pratica con istruzioni aggiornate e modelli di autovalutazione utili. Il Garante si mostra quindi partecipe alle esigenze delle parti e coinvolto nel migliorare ed agevolare il flusso comunicativo dalle imprese private e pubbliche.

MISURE DI SICUREZZA E COMPORTAMENTI CORRETTI

In ambito privacy gli obblighi ed i profili da considerare sono numerosi, in quanto costituisce una materia particolarmente trasversale. La normativa impone ai Titolare ed ai Responsabili del trattamento di adottare e di dimostrare comportamenti proattivi e rafforzati, nell’ottica della responsabilizzazione di tutti i livelli coinvolti (accountability). Ai sensi del G.D.P.R. – art. 5 – Il trattamento dei dati personali deve infatti garantire un’adeguata sicurezza che comprende la protezione, mediante misure tecniche ed organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali.

Le misure vanno accuratamente progettate (a monte) per i diversi trattamenti tenendo conto di tutti gli aspetti coinvolti e, soprattutto, vanno monitorate e mantenute adeguate nel tempo. In relazione ad esempio, alla realtà dell’Organizzazione, al contesto ed agli strumenti, alle finalità di trattamento, alla natura, quantità e tipologia dei dati personali ed alle caratteristiche degli interessati, si potranno scegliere le misure di sicurezza. In caso di violazione dei dati personali, dimostrare l’adeguatezza delle misure adottate rappresenta un elemento basilare per le valutazioni dell’autorità di controllo.

Al fine di gestire un data breach è quindi necessario definire chiaramente ruoli e responsabilità, prevedere una buona organizzazione delle risorse, adottare procedure concrete e lineari e misure tecniche ed informatiche adeguate e controllate. Diffondere una sensibilità ed una cultura della sicurezza dei dati da proteggere rappresenta un punto fondamentale sul quale far leva. La sicurezza in molti casi è infatti strettamente legata dalla percezione del rischio da parte di ciascuno di noi.

Fonte: https://www.garanteprivacy.it/regolamentoue/databreach 

Responsabilità amministrativa degli Enti

Come intervenire per evitare le sanzioni ed essere compliat

IL Decreto Legislativo n. 231 del 2001 ha compiuto 20 anni. La responsabilità amministrativa diretta degli enti, ossia delle società e associazioni anche prive di personalità giuridiche, è prevista in caso di commissione di determinati reati da parte di persone che ricoprono posizioni apicali e/o sottoposte, nell’interesse od a vantaggio dell’ente.

La responsabilità amministrativa degli enti sussiste per le fattispecie espressamente previste dal Decreto e va ad aggiungersi alla responsabilità penale dell’autore del reato. Nel novero dei delitti vi rientrano, a titolo esemplificativo, reati in materia di salute e sicurezza sul lavoro, reati contro la pubblica amministrazione, in materia ambientale, reati informatici, in materia di diritto d’autore, abusi di mercato, reati societari, di carattere transfrontaliero, in materia di immigrazione clandestina, e di recente i reati tributari e fiscali introdotti nel 2020.

Sono elevate le sanzioni pecuniarie ed interdittive previste; senza dimenticare che in caso di sentenza di condanna all’ente è sempre disposta la confisca del prezzo o del profitto del reato. Tuttavia, l’ente può evitare le sanzioni se si è dotato di un efficace Modello di Organizzazione, Gestione e Controllo (MOG).

L’azienda può esimersi dalla responsabilità amministrativa se dimostra:

• di aver adottato ed efficacemente attuato un Modello di Organizzazione e Gestione, unitamente ad un sistema etico-comportamentale ed un meccanismo disciplinare adeguati
• di aver affidato il monitoraggio e l’aggiornamento del Modello ad un organismo di Vigilanza (ODV) dotato di autonomi poteri di iniziativa e di controllo
• il reato è stato commesso eludendo fraudolentemente il Modello, ossia come indicato dalla giurisprudenza, aggirando le “misure di sicurezza” in modo tale da forzarne l’efficacia.

L’Impresa che intende adottare un Modello conforme al Decreto deve effettuare un’approfondita analisi (Risk Assessment) sui reati presupposto che potrebbero essere commessi, individuando le aree esposte ai rischi, al fine di predisporre i presidi di controllo per prevenire la commissione dei reati.

Linee Guida di Confindustria ed aggiornamenti

La normativa sulla responsabilità delle imprese richiede numerosi interventi di compliance di diversa natura che vanno calati nelle singole realtà aziendali. In tale contesto si inseriscono le recenti Linee Guida di Confindutria; attraverso un’approfondita analisi sulla materia, sulla base dei maggiori orientamenti dottrinali e giurisprudenziali degli ultimi 7 anni (al 20014 risalgono le precedenti linee guida), si delinea un importante documento dotato di linearità e significativo taglio pratico. L’obiettivo è di individuare le migliori prassi in ambito 231, per agevolare le diverse realtà imprenditoriali ad orientarsi nella realizzazione di Modelli di Organizzazione e Gestione concreti.

Tra le principali novità si segnalano quelle relative al Whistleblowing, con indicazioni che recepiscono le ultime normative sulle modalità di effettuazione e gestione delle segnalazioni. Viene ribadito il ruolo dell’Organismo di Vigilanza quale destinatario delle segnalazioni ed il corretto rapporto con le figure aziendali eventualmente coinvolte nel flusso delle segnalazioni, in modo da non sottrarre al monitoraggio dell’OdV il flusso informativo originato dal meccanismo di whistleblowing. Viene affrontato in maniera approfondita il tema sui nuovi reati fiscali, la cui corretta mitigazione dei rischi si integra con il concetto dei sistemi di gestione integrati.

Sistemi integrati di gestione: strumento da non sottovalutare

Le aziende per essere conformi alle numerose normative che le riguardano possono trovare nell’adozione di sistemi di gestione integrati un importante strumento. Tale approccio come indicato nelle Linee Guida, può fornire diversi vantaggi, quali la razionalizzazione delle attività, la migliore efficacia ed efficienza delle attività di compliance e la più agevole condivisione delle informazioni in tutti i processi.

Organizzare adeguatamente le risorse – umane, fiscali, strumentali, documentali ed informative – ottimizza l’implementazione di procedure, modalità operative e presidi di prevenzione tali da non creare sovrapposizioni e finalizzate alla mitigazione di numerosi rischi, nell’ottica di una buona suddivisione dei ruoli e delle responsabilità interne.

Per quanto riguarda la salute e sicurezza sul lavoro la trasversalità delle materie coinvolte emerge chiaramente. Il D.Lgs n. 81/2008 (art. 30) rimanda all’importante ruolo esimente (ossia, la possibilità di non incorrere nelle sanzioni amministrative dipendenti da reato) dei modelli di organizzazione e gestione, ove adottati ed efficacemente attuati nel rispetto della normativa di cui al D.Lgs 231/2001. Un sistema di gestione aziendale adottato sulla base delle normative di adesione volontaria, come la UNI 45001, si presume in grado di evitare di incorrere nella responsabilità da reato dell’ente. Tuttavia, come sottolinea Confindustria, l’ottenimento delle certificazioni sui sistemi di gestione non è di per sé sufficiente ad escludere la responsabilità amministrativa dell’impresa per infortuni o malattie professionali.

La presunzione di conformità dei sistemi di gestione è da intendersi in termini astratti, in quanto il Modello idoneo ai seni della 231 deve essere non solo adottato ma anche efficacemente attuato. L’efficace attuazione del modello 231 non può essere valutata preventivamente in concreto ma solo ed eventualmente successivamente, ad opera del giudice penale: logica che si estende a tutti i sistemi di gestione aziendale. Sono numerose le normative di adesione volontaria, tra le principali ricordiamo quelle in materia antinfortunistica (OHSAS 18001 o ISO 45001), di qualità (ISO 9001), ambientale (ISO14001), di sicurezza informatica (ISO 27001) e anticorruzione (ISO 37001).

Le logiche e gli scopi dei sistemi di gestione non sono perfettamente sovrapponibili a quanto richiede il D.Lgs 231/2001; In ogni caso, adottare o implementare un sistema di gestione certificato indica la volontà e la sensibilità dell’Azienda a diffondere il rispetto delle norme e può a tutti gli effetti costituire la base per adottare Modelli 231 che si rivelino idonei. Soltanto l’adozione e l’efficace attuazione di un Modello di Organizzazione e Gestione costituiscono il presupposto per poter beneficiare dell’esimente normativo ed evitare le gravose sanzioni.

Fonti

“Giurisprudenza penale”: LG-231-Confindustria-6-2021.pdf (giurisprudenzapenale.com)

Attenzione a diffondere il QR Code del Green Pass

L’avvertimento del Garante Privacy per un utilizzo consapevole e senza rischi

Pubblicare il proprio QR Code del Green Pass sui social è particolarmente rischioso per la protezione e la riservatezza dei dati personali. È questo l’avvertimento che è stato diffuso dal Garante della Privacy.

Nelle ultime settimane sono molti i cittadini che hanno scaricato il Green Pass personale generato dal sistema nazionale istituito dal Governo. Le certificazioni dal primo luglio entreranno in vigore in tutta l’Unione Europea con lo scopo di superare le limitazioni ed i problemi prodotti dalla pandemia.

Com’era prevedibile sui social si sono diffusi con leggerezza svariati post con il QR Code ottenuto, senza preoccupazioni sul fatto che nel Certificato sono presenti non solo dati anagrafici dell’interessato ma anche quelli relativi alla salute, la situazione vaccinale se e quando si è stati vaccinati, con che tipo di vaccino, oppure se si è guariti dall’infezione, o l’esito di un recente tampone o test molecolare.

Green Pass e protezione dei dati personali: quali tutele

La normativa privacy mediante il GDPR (Regolamento UE 2016/679) inserisce i dati sanitari delle persone fisiche nella categoria dei dati particolari, c.d. sensibili, ossia informazioni che attengono alla sfera più delicata della persona, il cui utilizzo improprio o illegittimo può esporre a conseguenze gravi tali da compromettere i diritti e libertà fondamentali dell’interessato (a titolo esemplificativo, rischi di discriminazione, di frode, di furto d’identità).  Il trattamento dei dati di natura particolare deve avvenire esclusivamente se vi sono le basi giuridiche che ne rendono lecito il trattamento. Le organizzazioni pubbliche e private che trattano questi dati in qualità di Titolari o Responsabili del trattamento devono inoltre adottare misure tecniche ed organizzative per garantire un livello di sicurezza adeguato ai rischi che derivano relativamente alla distruzione, alla perdita, alla modifica, alla divulgazione non autorizzata o all’accesso non consentito.

Nello specifico, il Governo con DPCM 17 giugno 2021 ha regolamentato l’utilizzo della piattaforma per i Certificati Covid-19 ed ha stabilito i vincoli per le organizzazioni pubbliche e le imprese private che possono effettuare i relativi controlli. Le imprese coinvolte dovranno individuare gli addetti alla verifica dei Green Pass mediante delega, istruire gli stessi e controllare che le operazioni di trattamento dei dati rispettino le istruzioni. Il DPCM (art. 13) stabilisce che l’attività di verifica delle Certificazioni non comporta, in alcun caso, la raccolta dei dati dell’intestatario in qualunque forma. Sono solo le imprese individuate dalla normativa a poter effettuare le verifiche dei Certificati, esclusivamente mediante l’App gratuita istituita dal Governo – VerificaC19. Trattasi, in linea generale di imprese, gestori, titolari o responsabili di luoghi ai quali si può accedere se si possiede il Green Pass.

Quali sono i comportamenti rischiosi

La protezione dei dati personali rappresenta un diritto fondamentale in tutti gli Stati Membri, pertanto in questa fase di delicata gestione dei Green Pass l’intervento del Garante del 24 giugno è stato chiaro ed incisivo.

L’Autorità ammonisce che diffondere nel web e sui canali social il QR Code del Green Pass espone a numerosi pericoli, quali:

• La possibilità per chiunque di accedere alle informazioni ed utilizzarle per scopi malevoli, anche di profilazione
• Correre il rischio di non poter accedere a determinati luoghi o di vedersi discriminati per cause illecite
• La diffusione massiccia dei dati potrebbe compromettere lo scopo del Green Pass con rischio elevato di contraffazioni dei certificati

Il Garante ribadisce che il QR code va esibito solo alle forze dell’ordine ed alle organizzazioni pubbliche o private autorizzate, esclusivamente per l’esercizio delle attività individuate dalla normativa e solamente con l’ausilio degli strumenti predisposti dal Governo. L’utilizzo consapevole e prudente dei Certificati potrà così evitare di incorrere in una serie di pericoli che non si erano preventivamente considerati. In una realtà sempre più digitale e caratterizzata da reti di informazioni ed infrastrutture è pertanto necessario il giusto coinvolgimento di tutte pe parti coinvolte.

Fonti

Spostamenti nell’Unione Europea, al via le facilitazioni

RIAPERTURA DAL PRIMO GIUGNO PER LA RISTORAZIONE

Come adeguare le attività per evitare sanzioni

In zona gialla dal primo giugno 2021 potranno riaprire i ristoranti al chiuso e si potrà tornare a consumare al bancone dei bar.

Per garantire le riaperture in sicurezza, gli esercenti dovranno adottare specifici Protocolli anti-contagio aggiornati, nel rispetto di quanto previsto dal Protocollo Nazionale condiviso dalle parti sociali il 06 aprile 2021.

Come stabilito inoltre dalle linee guida adottate dalla conferenza Stato – Regioni, i ristoranti e le attività di somministrazione alimenti, tra le principali disposizioni dovranno:

1. Esporre cartelli informativi che riportino chiaramente le regole su:
   • distanziamento interpersonale di almeno 1 metro;
   • disinfezione delle mani con i gel messi a disposizione in diversi punti del locale;
   • utilizzo obbligatorio della mascherina da parte dei clienti quando si alzano dai tavoli.
2. Adottare misure adeguate per evitare assembramenti (vengono in ausilio i cartelli / catenelle per differenziare le zone / segnaletica a terra;
3. Vanno privilegiate le prenotazioni e va mantenuto il relativo registro per 14 giorni, nel rispetto delle disposizioni in materia privacy;
4. I tavoli devono essere organizzati in modo da assicurare 1 metro di distanza tra i posti a sedere; 
5. I menù possono essere consultabili on line oppure su carta plastificata da disinfettare dopo l’uso oppure ancora con menù cartacei a perdere;
6. Se non si dispone di posti a sedere l’accesso va limitato ad un numero di clienti per volta in base alle caratteristiche del locale, in modo da assicurare la distanza di un metro;
7. La consumazione al banco deve avvenire mantenendo la distanza di un metro tra clienti;
8. Nei buffet la somministrazione deve avvenire da parte degli operatori, si deve quindi escludere per i clienti la possibilità di toccare i prodotti ed in ogni caso permane obbligo della mascherina e del distanziamento di 1 metro
9. Nei servizi self service si devono utilizzare esclusivamente prodotti confezionati singolarmente garantendo sempre il distanziamento interpersonale tra le persone
10. Il personale deve indossare la mascherina chirurgica durante tutto il servizio e deve procedere ad igienizzarsi le mani con frequenza
11. Garantire la frequente pulizia di tutti gli ambienti con regolare disinfezione delle superfici toccate con maggiore frequenza;
12. È obbligatorio provvedere al ricircolo costante e frequente dell’aria, mantenendo aperte, a meno che le condizioni meteorologiche o altre situazioni di necessità non lo consentano, porte, finestre e vetrate al fine di favorire il ricambio d’aria naturale negli ambienti interni. In ragione dell’affollamento e del tempo di permanenza degli occupanti, dovrà essere verificata l’efficacia degli impianti.

Per maggiori informazioni contattaci al 0171 260239 oppure invia una e-mail a formazione@studioquality.it.

PROTOCOLLO COVID: NUOVE REGOLE PER LA RIAMMISSIONE

La nota del Ministero della Salute indica nuove regole per la riammissione in comunità dei lavoratori.

Il Ministero della Salute con nota n 22746 – 21/05/2021 “Aggiornamento sulla definizione di caso COVID-19 sospetto per variante VOC 202012/01 e sulle misure di quarantena e di isolamento raccomandate alla luce della diffusione in Italia delle nuove varianti SARS-CoV-2”, precisa le modalità per il rientro dei soggetti che hanno contratto la variante indiana (variante diversa da VOC  202012/01). Sulla base, infatti, delle indagini  di  prevalenza  delle  varianti  VOC  (Variant  of  concern) il Ministero ha aggiornato le definizioni e le indicazioni sulla durata e sul termine delle misure di quarantena e di isolamento.

Si riportano di seguito le indicazioni attuali per le riammissioni a seguito di contatti  con casi  COVID-19  (sospetti  o  confermati)  per infezione da varianti.

Quarantena

I contatti stretti asintomatici (ad alto rischio) di casi COVID-19 compresi casi da variante VOC  202012/01 (c.d. variante inglese) e  varianti  diverse  da VOC  202012/01, possono rientrare in comunità  dopo la quarantena di almeno 10 giorni dall’ultima esposizione al caso, al termine è necessario un test antigenico o molecolare con risultato negativo.

Contatti asintomatici a (basso rischio) di casi COVID-19 con varianti VOC diverse da VOC 202012/01 (sospetta o confermata) possono  rientrare  in  comunità  dopo  la quarantena di almeno 10 giorni dall’ultima esposizione al caso, al termine del quale risulti eseguito un test molecolare o antigenico con risultato negativo. Tuttavia, nel caso in cui tale contatto sia avvenuto in ambito sanitario o  persone  che  forniscono  assistenza diretta ad un caso COVID-19 oppure personale di laboratorio addetto alla manipolazione di campioni di un caso COVID-19, provvisto dei DPI raccomandati, non si applicala misura della quarantena bensì la sorveglianza sanitaria.

Infine, le persone risultate positive al SARS-CoV-2, con tampone negativo a fine isolamento, se le condizioni abitative permettono di mantenere un adeguato isolamento dai conviventi, non devono essere poste in quarantena.

Isolamento

Le persone asintomatiche positive (anche nel caso di varianti) possono rientrare in comunità dopo un periodo di isolamento di almeno 10 giorni dalla comparsa della positività (di cui, se sintomatiche, almeno gli ultimi 3 giorni senza sintomi), al termine del quale è necessario un test antigenico o molecolare con risultato negativo.

Casi positivi a lungo termine. Le  persone  che continuano  a  risultare  positive  al  test  molecolare o  antigenico per  SARS-CoV-2,in caso di assenza di sintomatologia da almeno 7 giorni (fatta eccezione per ageusia/disgeusia e anosmia), potranno interrompere l’isolamento al termine del 21°giorno. Tuttavia, i  casi  positivi  a  lungo  termine di varianti  diverse  da  VOC202012/01 (sospetta  o  confermata) potranno interrompere l’isolamento solo dopo l’avvenuta negativizzazione al test molecolare.

Per maggiori informazioni contattaci al 0171 260239 oppure invia una e-mail a formazione@studioquality.it.