logo

Tag : regolamento europeo

24 Lug 2018

Il titolare e il responsabile del trattamento dei dati, devono mettere in atto una serie di misure tecniche che garantiscono un livello di sicurezza adeguato al rischio, misure valutate e applicate in base alla tipologia di azienda e alla tipologia di dati che tratta.

 


Il corpus normativo del GDPR è molto complesso e articolato e va a modificare radicalmente quello che è il concetto attuale di privacy. Basandosi sul principio di Accountability, l’approccio che hanno avuto le aziende è stato abbastanza complesso, in quanto la chiave di lettura sembra essere personale, anche se così ovviamente non è.

Bisogna  capire da quali rischi bisogna proteggere i dati che vengono trattati e quali e  quanti dati proteggere in base a livelli di priorità.

Uno degli elementi importanti è la protezione degli accessi in quanto la cifratura dei dati è una tra le minacce possibili contro le infrastrutture. Possono esserci accessi non autorizzati  che possono provocare, se non tenuti a bada, danni gravi e anche irreparabili.


Ma cosa si intende per controllo Accessi?

Si intende un sottosistema di sicurezza che si occupa di controllare varchi e porte, attraverso l’uso di apparati elettronici chiamati lettori di badge o lettori biometrici. Tale elemento non si intrinseca solo con la sicurezza ma viene anche utilizzato per verificare l’ora di ingresso e di uscita dei dipendenti.
Viene abitualmente utilizzato per proteggere le aree dove sono installate le “macchine” e dove i dipendenti lavorano.Ovvio che a tale sistema, vanno sempre aggiunti impianti di antintrusione, antifurto e videosorveglianza.
Ricordiamoci che il GDPR, in fase di controlli e ispezioni, prevede che venga dimostrato che tali elementi sono in utilizzo.

Prima di iniziare ad utilizzare un sistema di controllo di accessi dobbiamo porci delle domande:

  • Quali sono i luoghi in cui si effettua il trattamento (CED, archivi cartacei e digitali etc…)
  • Quali sono i varchi e il loro perimetro
  • Chi sono coloro che transitano in tali zone ( dipendenti, clienti, fornitori etc…)

Come funziona il controllo accessi

Ad ogni dipendente/utente viene assegnata una credenziale tipo:

  • Pin
  • Card
  • Transponder
  • Altro

Vengono quindi associati dei diritti di accesso, dove può accedere e quando. Se l’esito è positivo l’utente passa e raggiunge il luogo desiderato e ogni passo viene regolarmente memorizzato, ciò permette di avere storicità che potrebbe essere utilizzata in caso di violazioni.

Tenendo conto del Regolamento, bisogna dire che un sistema elettronico di questo tipo contiene e tratta dati personali quindi deve essere GDPR compliance.

Vengono infatti conservate informazioni anagrafiche e spesso dati sensibili, inoltre essendo spesso utilizzato anche per la rilevazione delle presenze di lavoro e la gestione del personale stesso, alcuni dati sono anche sensibili.

Il dubbio che quindi viene è.

  1. E’ necessario il consenso da parte dei dipendenti/utenti?

No, in quanto il trattamento dei dati avviene nell’ambito del rapporto di lavoro ( Risposta ampiamente contenuta nell’Art.6 pag 83 del link)

https://www.garanteprivacy.it/documents/10160/0/Regolamento+UE+2016+679.+Con+riferimenti+ai+considerando


Molto spesso i sistemi di controllo di accesso, sfruttano la biometria per identificare il personale e foto. 

  1. Possono questi dati essere oggetto di trattamento?

Si può utilizzare la biometria secondo le prescrizioni impartite dal Garante ( opportunità, proporzionalità etc…)

( Risposta ampiamente contenuta nell art. 9 c. 2 lett. b pag 86  ) “Trattamento di categorie particolari di dati personali”

https://www.garanteprivacy.it/documents/10160/0/Regolamento+UE+2016+679.+Con+riferimenti+ai+considerando

20 Giu 2018

Per poter comprendere a fondo il Regolamento Europeo 679/2016 bisognerebbe analizzare e discutere  tutti gli articoli che lo compongono.

Tra i tanti,l’Articolo 20, introduce il nuovo diritto alla portabilità dei dati.

E’ strettamente connesso al diritto di accesso ma il diritto alla portabilità dei dati permette agli interessati di ricevere i dati personali da loro forniti al titolare del trattamento in modalità facilmente leggibile e di poterli trasmetterli ad un diverso titolare.

Lo scopo è quello di dare il pieno controllo degli interessati dei propri dati personali e da ciò ne consegue anche la libera circolazione dei dati personali nell’EU e in favore della concorrenza fra i titolari.

Quali sono le condizioni di applicabilità.

Il Gruppo di lavoro “Articolo 29” ritiene che, il diritto alla portabilità dei dati si configura  rispetto ai dati  forniti in modo consapevole e in modo attivo dell’interessato stesso e nel rispetto dei dati personali generati.

I titolare del trattamento dovrebbe iniziare a facilitare il loro lavoro, utilizzando degli strumenti che andrebbero a facilitare l’esercizio del diritto alla portabilità, ad esempio per il download dei dati e interfacce di programmazione di applicazioni.

Essendo già presenti altre forme di portabilità dei dati in differenti ambiti normativi, potrebbe esserci interazione sinergica, facciamo riferimento al roaming nei servizi di comunicazione, all’accesso transfrontaliero ai servizi o alla risoluzione contrattuale.

 

Ecco come il GDPR, definisce il diritto alla portabilità dei dati

L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da
dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento
e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da
parte del titolare del trattamento cui li ha forniti […]

Vediamo  i dettagli:

  1. Diritto di ricevere un sottoinsieme dei dati personali :in questo caso vediamo chiaramente l’integrazione del diritto d’accesso. Tra gli aspetti specifici vediamo il suo essere uno strumento con cui gli interessati possono in modo semplice gestire e riutilizzare i propri dati personali in piena autonomia  formato strutturato, di uso comune e leggibile da
    dispositivo automatico
  2. Diritto di trasmettere dati personali da un titolare del trattamento a un altro titolare del trattamento : i dati possono essere trasmessi da un titolare all’altro su richiesta dell’interessato o dove sia tecnicamente possibile( articolo 20, paragrafo 2)
  3. Diritto di titolarità del trattamento :I titolari che danno seguito a richieste di portabilità nei termini di cui all’articolo 20 non sono responsabili del trattamento effettuato dal singolo interessato o da un’altra società che riceva i dati in questione.
  4. Diritto alla portabilità e altri diritto degli interessati:L’esercizio del diritto alla portabilità dei dati (o di qualsiasi altro diritto ai sensi del GDPR) non pregiudica nessuno degli altri diritti.

Ma quanto trova applicazione il diritto alla portabilità dei dati?

  • Sul consenso dell’interessato – Art.6, paragrafo 1, lettera a;
  • Su un contratto – Art.6,paragrafo 1,lettera b;

Quali dati personali devono essere portabili?

  • Riguardano l’interessato
  • Sono stati forniti dall’interessato a un titolare

Inoltre, l’articolo 20, paragrafo 4, stabilisce che l’osservanza del diritto alla portabilità non deve ledere i diritti e le libertà altrui.

 

Per maggiori dettagli sulle linee guida sul diritto alla portabilità dei dati,  di seguito il link del .pdf ufficiale , presente sul sito del Garante Privacy a questo link:

https://www.garanteprivacy.it/documents/10160/5184810/Linee-guida+sul+diritto+alla+portabilit%C3%A0+dei+dati+-+WP+242.pdf