GARANTE PRIVACY – Nota 21 aprile 2017, n. 427 – Maggiori garanzie per i dati personali trattati a fini di polizia – Lavoro: geolocalizzazione flotte aziendali, sì con accordo sindacale – Garante privacy: via libera al Registro tumori del Lazio

Maggiori garanzie per i dati personali trattati a fini di polizia –  Lavoro: geolocalizzazione flotte aziendali, sì con accordo sindacale – Garante privacy: via libera al Registro tumori del Lazio

Maggiori garanzie per i dati personali trattati a fini di polizia

Maggiori garanzie per l’uso dei dati personali a fini di polizia. Banche dati più protette, con informazioni esatte e aggiornate. Più trasparenza e possibilità di controllo da parte dei cittadini. Con due distinti pareri [doc. web nn. 6197012 e 6197365] resi al Ministero dell’Interno, il Garante per la protezione dei dati personali ha disciplinato i tipi di trattamenti di dati che sono effettuati per “fini di polizia” e ha definito il quadro dei principi privacy ai quali devono attenersi Organi, Uffici e Comandi di polizia. Si è data così attuazione al Titolo II della Parte II del Codice privacy. Il primo parere riguarda uno schema di decreto che individua nel dettaglio i trattamenti permanenti effettuati dalle forze di polizia, compresa la gestione delle maggiori banche dati (Ced, Afis, Dna). I cittadini potranno conoscere quante e quali sono le banche dati gestite dalle forze di polizia, le operazioni che vengono effettuate sui dati, i tempi di conservazione. Potranno sapere inoltre, chi sono i titolari delle banche dati ai quali eventualmente rivolgersi per avere informazioni e poter esercitare i propri diritti. Nel rendere il suo parere il Garante ha chiesto, tra l’altro, di escludere dalla tipologia di trattamenti finalizzati all’attività di polizia quelli svolti per finalità amministrative e di eliminare dal testo i trattamenti per i quali non risulti dimostrata una correlazione diretta con la finalità di polizia (rilascio di licenze, autorizzazioni, nulla osta da parte del Ministero, Prefetture, Questure). Il decreto, superato il vaglio delle Commissioni parlamentari, una volta adottato e pubblicato nella Gazzetta ufficiale, dovrà essere inserito come allegato al Codice privacy. Con il secondo provvedimento, reso su uno schema di decreto del Presidente della Repubblica, sono state fissate le modalità di attuazione dei principi del Codice privacy da applicare ai trattamenti di dati effettuati, sia in formato cartaceo sia elettronico, dalle forze di polizia nell’attività di prevenzione e repressione dei reati, di tutela dell’ordine e della sicurezza pubblica. Il d.P.R. non si applica ai dati amministrativi, che vanno anche conservati separatamente da quelli registrati per finalità di polizia e sono soggetti alle regole generali del Codice.Nell’esprimere il parere sullo schema di d.P.R., che già recepisce molte delle richieste avanzate dall’Autorità in fase istruttoria, il Garante ha chiesto al Ministero di integrare il testo al fine di sottoporre alle regole privacy tutti i tipi di trattamenti che presentano rischi specifici per la persona (banche di dati genetici, biometrici, dati relativi all’ubicazione, banche dati basate su particolari tecniche di elaborazione delle informazioni, ecc.) e di stabilire tempi di conservazione dei dati più brevi, commisurati alle finalità della raccolta, rispetto a quelli  attuali, ritenuti immotivatamente lunghi. In particolare, non devono essere conservati per più di 90 giorni i dati di persone nei confronti delle quali non è emerso alcun rilievo (ad es., individui fermati e rilasciati a seguito di controlli occasionali del territorio). Chieste, inoltre, regole specifiche per la raccolte e l’uso di immagini acquisite con i droni. La particolare tecnologia utilizzata infatti può comportare elevati rischi per le persone. L’iter di regolamentazione dei dati trattati a fini di polizia si concluderà con l’adozione  di una terzo parere su uno schema di decreto che più specificamente intende disciplinare, aggiornandole, anche le misure tecniche e organizzative relative al trattamento di dati presso il Ced del Viminale.

Lavoro: geolocalizzazione flotte aziendali, sì con accordo sindacale

Per i sistemi di geolocalizzazione rimane necessario l’accordo sindacale – come previsto dallo Statuto dei lavoratori – e va garantita la riservatezza dei dipendenti. Questa la decisione del Garante della privacy [doc. web n. 6275314] in merito alla richiesta di verifica preliminare presentata da una compagnia che offre servizi idrici e assistenza in caso di problemi alla rete. In base alla documentazione presentata, la localizzazione geografica dei veicoli utilizzati per gli interventi sarà attivata per molteplici scopi come l’ottimizzazione delle richieste di intervento o delle emergenze, l’innalzamento delle condizioni di sicurezza sul lavoro dei dipendenti, la corretta manutenzione dei veicoli, la tutela del patrimonio aziendale, il calcolo del tempo di lavoro effettivo oppure la gestione di eventuali incidenti stradali o di sanzioni subite per violazioni del codice della strada. Nel corso dell’istruttoria l’Autorità ha riconosciuto il legittimo interesse della società a rilevare la posizione dei propri mezzi per le molteplici finalità indicate, ma solo nel pieno rispetto della privacy dai lavoratori. Visto che tale sistema potrebbe consentire il controllo a distanza dei lavoratori, anche dopo le modifiche introdotte dal cosiddetto Jobs Act, per poterlo attivare dovrà prima essere raggiunto un apposito accordo con le rappresentanze sindacali o, in sua assenza, si dovrà richiedere l’autorizzazione all’Ispettorato nazionale del lavoro. Dovranno inoltre essere attentamente definite le modalità di raccolta, di elaborazione e di conservazione dei dati di geolocalizzazione e degli altri dati personali, differenziando le tutele in base alla singola finalità perseguita. Ad esempio, se la società intende avvalersi del sistema di localizzazione per la regolare tenuta del libro unico del lavoro, potrà conservare i dati necessari per cinque anni. I dati da utilizzare in caso di contestazione di violazione amministrativa con modalità non immediata, invece, potranno essere conservati al massimo per 90 giorni, ovvero il tempo previsto dalla normativa per notificare un eventuale verbale di contestazione. Al termine del periodo individuato, i dati personali raccolti dovranno essere automaticamente cancellati o anonimizzati. Deve essere inoltre escluso il monitoraggio dei tracciati percorsi, salvo il possibile trattamento dei relativi dati in forma aggregata o anonima per finalità statistiche e di programmazione del lavoro. Dovranno essere adottate anche precise misure di sicurezza e l’accesso ai dati trattati dovrà essere consentito al solo personale incaricato, definendo per i dati di geolocalizzazione appositi profili autorizzativi individuali per ogni singolo utente. La società potrà comunque avviare il trattamento delle informazioni sulla posizione geografica dei veicoli di lavoro solo dopo aver effettuato la notificazione al Garante e aver fornito un’informativa completa ai dipendenti.

Garante privacy: via libera al Registro tumori del Lazio

Ok del Garante privacy al Regolamento di attuazione e integrazione del Registro dei Tumori della Regione Lazio, istituito con legge regionale del 12 giugno 2015 [doc. web n. 6275462]. Il parere favorevole del Garante è stato reso su una versione aggiornata dello schema di Regolamento, che tiene conto di gran parte delle osservazioni formulate dall’Ufficio del Garante alla Regione, allo scopo di renderlo conforme alla disciplina che tutela i dati personali. Il Registro, che costituisce parte integrante del Sistema informativo sanitario regionale, ha lo scopo di raccogliere dati statistici sull’incidenza, la prevalenza e la sopravvivenza dei casi di tumore, anche infantili, all’interno della Regione, per potenziare la prevenzione e la valutazione delle terapie, a supporto degli studi epidemiologici e dei programmi di ricerca oncologica.Il Regolamento disciplina l’assetto organizzativo e le modalità di funzionamento del Registro e le garanzie sulla riservatezza e individua i tipi di dati sensibili trattati, le operazioni eseguibili, le fonti dei flussi informativi, l’ambito della comunicazione delle informazioni. Titolare del trattamento è il Dipartimento di epidemiologia del servizio sanitario regionale (Dep Lazio) presso cui il Registro è allocato e che ne cura la gestione amministrativa, tecnica ed informatica. Per garantire elevati standard di riservatezza, lo schema di regolamento prevede specifiche disposizioni sull’obbligo di rendere una dettagliata informativa ai malati e una serie di misure a tutela dei dati personali, quali l’utilizzo di codici identificativi, la conservazione separata dei dati anagrafici da quelli sanitari, l’accesso selettivo ai dati da parte dei soggetti autorizzati, sistemi antivirus costantemente aggiornati e  sistemi antimalware. Con riguardo al flusso di dati proveniente dall’Associazione italiana di ematologia e oncologia pediatrica (AIEOP), relativo ai tumori infantili, il Garante ha chiesto alla Regione di verificare, in particolare, la legittimità del trattamento dei dati personali contenuti in tale archivio, riservandosi di svolgere i necessari controlli per verificarne la conformità alla normativa privacy. L’Autorità ha chiesto inoltre di integrare il disciplinare con idonee misure di sicurezza fisica anche per l’accesso ai locali del Registro secondo una documentata procedura.