Alcuni provvedimenti del Garante Crema, novembre 2015.

Presentazione sul tema: "Alcuni provvedimenti del Garante Crema, novembre 2015."— Transcript della presentazione:

1 Alcuni provvedimenti del Garante Crema, novembre 2015

2 IL GARANTE il controllo della conformità dei trattamenti di dati personali a leggi e regolamenti e la segnalazione ai titolari o ai responsabili dei trattamenti delle modifiche da adottare per conseguire tale conformità; l’esame delle segnalazioni e dei reclami degli interessati, nonché dei ricorsi presentati ai sensi dell’art. 29 della legge; [...]

3 Google Street View: le auto dovranno essere riconoscibili - 15 ottobre 2010

4 GOOGLE STREET VIEW CONSIDERATO che al caso in esame risulta applicabile la disciplina relativa all'uso delle immagini e che quindi, in linea generale, non è necessario acquisire il consenso degli interessati quando la ripresa fotografica avviene in luogo pubblico[????], salve le limitazioni previste dalla legge, quali, ad esempio, il divieto di diffusione di fotografie quando ciò comporti pregiudizio all'onore, alla reputazione, al decoro della persona ripresa (art. 97, comma 2, della l. 22 aprile 1941, n. 633) o il divieto di diffusione di dati idonei a rivelare lo stato di salute (art. 26, comma 5 del Codice);

5 GOOGLE STREET VIEW RITENUTO che risulta necessario, comunque, che gli interessati siano informati in modo idoneo ai sensi dell'art. 13 del Codice in relazione all'acquisizione di immagini da parte di Google Inc., affinché costoro possano scegliere di sottrarsi alla "cattura" delle immagini, allontanandosi dal luogo oggetto di ripresa; RITENUTO, che, al riguardo, risulta opportuna la misura già adottata da Google Inc. di oscurare, prima della pubblicazione online, gli elementi che possono consentire un'identificazione diretta (ad esempio, i volti) o indiretta (ad esempio, le targhe dei veicoli) degli interessati;

6 GOOGLE STREET VIEW CONSIDERATO, tuttavia, che il rilascio dell'informativa a ciascun interessato oggetto di riprese da parte di Google Inc. comporterebbe un impiego di mezzi obiettivamente sproporzionati rispetto al diritto tutelato; […articolo?]

7 GOOGLE STREET VIEW RILEVATA, altresì, la necessità che Google Inc. fornisca idonea e preventiva informativa anche tramite la pubblicazione, sulla pagina di cronaca locale di almeno due quotidiani, di un avviso – per ogni regione visitata - che informi sui luoghi in cui circoleranno le vetture; RILEVATA la necessità che analogo avviso preventivo sia diffuso anche per il mezzo di almeno un'emittente radiofonica locale; RILEVATA, altresì, la necessità che Google Inc. predisponga, sulle vetture con le quali acquisisce le immagini fotografiche, cartelli o adesivi ben visibili che indichino, in modo inequivocabile, che si stanno acquisendo immagini fotografiche istantanee oggetto di pubblicazione online mediante il servizio Street View;

8 EFFICACIA Potrebbero essere ripresi soggetti che non vogliono essere ripresi…

9

10

11

12 L’offuscamento potrebbe non funzionare…

13

14

15

16

17

18

19

20

21 COME E’ FINITA? Google paga una multa da 1 milione di euro inflitta dal Garante privacy per il servizio Street View Google ha pagato una sanzione di 1 milione di euro applicata dal Garante privacy per il servizio Street View. I fatti contestati risalgono al 2010 quando le auto del colosso di Mountain View percorrevano le strade italiane senza essere perfettamente riconoscibili e non consentendo, in tal modo, alle persone presenti nei luoghi percorsi dalle "Google Cars" di decidere se sottrarsi o meno alla "cattura" delle immagini. Numerose erano state le segnalazioni all'Autorità da parte di persone che non desideravano comparire nelle foto pubblicate on line (che, peraltro, permangono in rete per un tempo considerevole e possono essere ingrandite).

22 IL FIGLIO STRAVAGANTE Vostro figlio, un adolecente come tanti va spesso in discoteca ed in giro con gli amici. Un giorno, viene da voi, molto preocupato; qualcuno, all'ingresso della discoteca lo ha ripreso con un cellulare, ed ha messo tutto su internet.

23

24

25

26 Videofonini: cautele per un uso legittimo - 20 gennaio 2005 - Provvedimenti a carattere generale. MMS: le regole anche per gli usi personali - Segnalazioni/Reclami - 12 marzo 2003.

27 IL FIGLIO STRAVAGANTE “Come per gli mms, le videochiamate possono avvenire e circolare tra alcune persone fisiche per fini esclusivamente personali”. “In questi casi, se i dati non sono diffusi o comunicati sistematicamente a terzi, il complesso normativo del Codice in materia di protezione dei dati non è (ndr integralmente) applicabile ”. E' fatto salvo il principio del risarcimento del danno.

28 IL FIGLIO STRAVAGANTE “Le immagini e i suoni ripresi per uso personale potrebbero riguardare terzi ed essere comunicati sistematicamente, oppure diffusi, ad esempio attraverso Internet, anche mediante un proprio sito web personale”. “Ciò comporta il dovere di informare preventivamente gli interessati (art. 13 del Codice), di raccogliere il loro consenso libero, preventivo e informato”.

29 IL FIGLIO STRAVAGANTE “In applicazione anche del principio di necessità di cui all'art. 3 del Codice, va segnalata a imprese produttrici o impegnate nella realizzazione di sistemi informativi e programmi informatici l'opportunità di dotare i futuri apparecchi di telefonia di segnali, in particolare luminosi, che contribuiscano a rendere meglio evidente a terzi che il videotelefono è in funzione, come pure funzioni di agevole blocco della trasmissione dell'immagine senza che si interrompa necessariamente la conversazione”.

30 IL FIGLIO STRAVAGANTE Altri profili: a) l’indebita raccolta, la rivelazione e la diffusione di immagini attinenti alla vita privata che si svolgono in abitazioni altrui o in altri luoghi di privata dimora (art. 615- bis codice penale); b) il possibile reato di ingiurie, in caso di particolari messaggi inviati per offendere l’onore o il decoro del destinatario (art. 594 codice penale); c) le pubblicazioni oscene (art. 528 codice penale); d) la tutela dei minori riguardo al materiale pornografico (artt. 600-ter codice penale; legge 3 agosto 1998, n. 269).

31 IL FIGLIO STRAVAGANTE Art. 10 c.c. - Abuso dell'immagine altrui “Qualora l'immagine di una persona o dei genitori, del coniuge o dei figli sia stata esposta o pubblicata fuori dei casi in cui l'esposizione o la pubblicazione e dalla legge consentita, ovvero con pregiudizio al decoro o alla reputazione della persona stessa o dei detti congiunti, l'autorità giudiziaria, su richiesta dell'interessato, può disporre che cessi l'abuso, salvo il risarcimento dei danni”.

32 IL FIGLIO STRAVAGANTE Rovinare la ex su Facebook non conviene Un ragazzo australiano condannato a sei mesi per aver pubblicato le foto della ex nuda… Fonte: Punto Informatico http://punto-informatico.it/3503968/PI/News/rovinare-ex-facebook-non-conviene.aspx

33 IL DIPENDENTE DECONCENTRATO Il dipendente lavora come centralinista presso la vostra azienda. I dirigenti lo sorprendono, più volte, a visitare siti a carattere pornografico. Numerosi computer vengono infettati da virus dopo aver ricevuto file dal computer del dipendente. L'amministratore delegato viene da voi, dicendo che vuole licenziarlo. Ha bisogno di prove: il dipendente, infatti ha negato ogni addebito.

34 IL DIPENDENTE DECONCENTRATO Per contestare l'indebito utilizzo di beni aziendali,(...) sarebbe stato in questo caso sufficiente verificare gli avvenuti accessi a Internet e i tempi di connessione senza indagare sui contenuti dei siti. Insomma, altri tipi di controlli sarebbero stati proporzionati rispetto alla verifica del comportamento del dipendente. (…) Va rilevato sotto altro profilo che non risulta che il ricorrente avesse necessità di accedere ad Internet per svolgere le proprie prestazioni. La resistente avrebbe potuto quindi dimostrare l'illiceità del suo comportamento in rapporto al corretto uso degli strumenti affidati sul luogo di lavoro limitandosi a provare in altro modo l'esistenza di accessi indebiti alla rete e i relativi tempi di collegamento. La società ha invece operato un trattamento diffuso di numerose altre informazioni indicative anche degli specifici "contenuti" degli accessi dei singoli siti web visitati nel corso delle varie navigazioni, operando -in modo peraltro non trasparente- un trattamento di dati eccedente rispetto alle finalità perseguite”

35 IL DIPENDENTE DECONCENTRATO (…)Per ciò che concerne il merito va rilevato che la società, (...) ha esperito dettagliati accertamenti in assenza di una previa informativa all'interessato relativa al trattamento dei dati personali, nonché in difformità dall'art. 11 del Codice nella parte in cui prevede che i dati siano trattati in modo lecito e secondo correttezza, nel rispetto dei principi di pertinenza e non eccedenza rispetto alle finalità perseguite.” l'Autorità dispone quindi, ai sensi dell'art. 150, comma 2, del Codice, quale misura a tutela dei diritti dell'interessato, il divieto per la società resistente di trattare ulteriormente i dati personali raccolti nei modi contestati con il ricorso

36 IL DIPENDENTE DECONCENTRATO Illecito spiare il contenuto della navigazione in internet del dipendente" Il Garante: "L'uso indebito del computer può essere contestato senza indagare sui siti visitati" - (Comunicato stampa - 14 febbraio 2006)

37 Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008 (G.U. n. 300 del 24 dicembre 2008) (così modificato in base al provvedimento del 25 giugno 2009) AMMINISTRATORE DI SISTEMA

38 ADMIN Con la definizione di "amministratore di sistema" si individuano generalmente, in ambito informatico, figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti. Ai fini del presente provvedimento vengono però considerate tali anche altre figure equiparabili dal punto di vista dei rischi relativi alla protezione dei dati, quali gli amministratori di basi di dati, gli amministratori di reti e di apparati di sicurezza e gli amministratori di sistemi software complessi. Gli amministratori di sistema così ampiamente individuati, pur non essendo preposti ordinariamente a operazioni che implicano una comprensione del dominio applicativo (significato dei dati, formato delle rappresentazioni e semantica delle funzioni), nelle loro consuete attività sono, in molti casi, concretamente "responsabili" di specifiche fasi lavorative che possono comportare elevate criticità rispetto alla protezione dei dati.

39 ADMIN La rilevanza, la specificità e la particolare criticità del ruolo dell'amministratore di sistema sono state considerate anche dal legislatore il quale ha individuato, con diversa denominazione, particolari funzioni tecniche che, se svolte da chi commette un determinato reato, integrano ad esempio una circostanza aggravante. Ci si riferisce, in particolare, all'abuso della qualità di operatore di sistema prevista dal codice penale per le fattispecie di accesso abusivo a sistema informatico o telematico (art. 615 ter) e di frode informatica (art. 640 ter), nonché per le fattispecie di danneggiamento di informazioni, dati e programmi informatici (artt. 635 bis e ter) e di danneggiamento di sistemi informatici e telematici (artt. 635 quater e quinques) di recente modifica (???)

40 ADMIN Valutazione delle caratteristiche soggettive L'attribuzione delle funzioni di amministratore di sistema deve avvenire previa valutazione dell'esperienza, della capacità e dell'affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento ivi compreso il profilo relativo alla sicurezza. Anche quando le funzioni di amministratore di sistema o assimilate sono attribuite solo nel quadro di una designazione quale incaricato del trattamento ai sensi dell'art. 30 del Codice, il titolare e il responsabile devono attenersi comunque a criteri di valutazione equipollenti a quelli richiesti per la designazione dei responsabili ai sensi dell'art. 29.

41 ADMIN Designazioni individuali La designazione quale amministratore di sistema deve essere in ogni caso individuale e recare l'elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato.

42 ADMIN Elenco degli amministratori di sistema Gli estremi identificativi delle persone fisiche amministratori di sistema, con l'elenco delle funzioni ad essi attribuite, devono essere riportati in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti anche da parte del Garante. Qualora l'attività degli amministratori di sistema riguardi anche indirettamente servizi o sistemi che trattano o che permettono il trattamento di informazioni di carattere personale di lavoratori, i titolari pubblici e privati nella qualità di datori di lavoro sono tenuti a rendere nota o conoscibile l'identità degli amministratori di sistema nell'ambito delle proprie organizzazioni (…). Nel caso di servizi di amministrazione di sistema affidati in outsourcing il titolare o il responsabile del trattamento devono conservare direttamente e specificamente, per ogni eventuale evenienza, gli estremi identificativi delle persone fisiche preposte quali amministratori di sistema.

43 ADMIN Verifica delle attività L'operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un'attività di verifica da parte dei titolari o dei responsabili del trattamento, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dalle norme vigenti.

44 ADMIN Registrazione degli accessi Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo di verifica per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

45 ADMIN Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi;

46 DA APPROFONDIRE NUOVO PROVVEDIMENTO SUL MARKETING APP E MONITORAGGIO DEL DIPENDENTE