GARANTE PROTEZIONE DATI PERSONALI – Nota 26 gennaio 2018, n. 437 – Diritto all’oblio: cittadini italiani tutelati anche al di fuori dei confini europei – Totem nelle stazioni: no all’occhio occulto della pubblicità – Sim aziendali, sì al controllo dei consumi, ma nel rispetto della privacy

Diritto all’oblio: cittadini italiani tutelati anche al di fuori dei confini europei – Totem nelle stazioni: no all’occhio occulto della pubblicità – Sim aziendali, sì al controllo dei consumi, ma nel rispetto della privacy

Diritto all’oblio: cittadini italiani tutelati anche al di fuori dei confini europei

Google dovrà cancellare gli url anche dai risultati di ricerca nelle versioni extraeuropee

Il Garante per la privacy ha ordinato a Google di deindicizzare gli url riguardanti un cittadino italiano da tutti i risultati della ricerca, sia nelle versioni europee del motore, sia in quelle extraeuropee. Google dovrà inoltre estendere l’attività di rimozione anche agli url già deindicizzati nella versione europea.

E’ quanto ha stabilito il Garante privacy per assicurare tutela effettiva ad un cittadino italiano residente negli Stati Uniti [doc. web n. 7465315]. L’interessato chiedeva la deindicizzazione di numerosi url europei ed extraeuropei che rimandavano a messaggi o brevi articoli anonimi pubblicati su forum o siti amatoriali giudicati gravemente offensivi della propria reputazione. Negli scritti erano riportate anche informazioni ritenute false sul suo stato di salute e su gravi reati connessi alla sua attività di professore universitario. Il ricorrente auspicava una deindicizzazione del suo nominativo da tutti i siti, anche extraeuropei, in cui era presente, lamentando peraltro la circostanza che, non appena un url veniva rimosso, subito ne venivano generati altri con contenuti di analogo tenore.

Nel decidere a favore della deindicizzazione il Garante ha ritenuto che la “perdurante reperibilità” sul web di contenuti non corretti e inesatti avesse un impatto “sproporzionatamente negativo” sulla sfera privata del ricorrente. Un effetto dovuto anche alla diffusione di dati sulla salute non in linea con quanto disposto dal Codice privacy e dalle Linee guida dei Garanti europei sull’attuazione della sentenza Google Spain. Nelle Linee guida i Garanti europei individuano in particolare proprio nel trattamento dei dati sulla salute uno dei criteri da tenere in considerazione per un corretto bilanciamento tra diritto all’oblio e diritto/dovere all’informazione a causa del suo maggiore impatto sulla vita privata, rispetto ai dati personali “comuni”.

Ai fini del bilanciamento, inoltre, i Garanti Ue ritengono che debba essere presa in considerazione anche la natura dei contenuti di cui si chiede la rimozione precisando che nel caso in cui si tratti di “informazioni che sono parte di campagne personali contro un determinato soggetto, sotto forma di rant (esternazioni negative a ruota) o commenti personali spiacevoli”, la deindicizzazione deve essere giudicata con maggiore favore in presenza di “risultati contenenti dati che sembrano avere natura oggettiva ma che sono, in realtà, inesatti, in termini reali”, soprattutto “se ciò genera un’impressione inesatta, inadeguata o fuorviante rispetto alla persona interessata.”

Totem nelle stazioni: no all’occhio occulto della pubblicità

Il Garante chiede di segnalare la telecamera che analizza le espressioni dei passanti

I passanti che guardano le pubblicità proiettate sui totem presenti nelle principali stazioni ferroviarie italiane dovranno essere informati sulla presenza di una telecamera che analizza le loro reazioni. Questa la decisione del Garante della privacy al termine dell’istruttoria avviata per approfondire alcune segnalazioni e articoli di stampa che lamentavano i potenziali rischi di tracciamento o monitoraggio da remoto dei viaggiatori di passaggio davanti alle webcam integrate in oltre 500 colonnine [doc. web n. 7496252].

Nel corso dell’istruttoria la società, che ha installato il sistema per valutare l’efficacia della pubblicità trasmessa sui totem, ha negato la presenza di rischi per la privacy, così come paventati dai media. La tecnologia adottata, infatti, consentirebbe di analizzare, solamente in forma anonima e in maniera localizzata al singolo totem, l’espressione facciale (da felice a triste) e alcune altre caratteristiche delle persone che osservano il messaggio pubblicitario, senza conservare né trasmettere alcuna immagine o altri dati riferibili a specifici soggetti inquadrati dalla telecamera.

Il sistema, in un primo momento, aveva superato una verifica del Garante perché, sulla base della documentazione disponibile nel 2012, risultava che fosse impostato in modo da non trattare dati personali, eliminando così a monte qualunque problema alla riservatezza di chi si soffermava davanti ai totem. Dalla nuova documentazione tecnica presentata, l’Autorità ha rilevato che il sistema attuale in effetti non consente il riconoscimento facciale dei passanti, né il loro monitoraggio o tracciamento, e che i dati sul gradimento della pubblicità sono inviati al sistema centrale in forma totalmente anonima. Nonostante l’assenza di queste criticità, il Garante ha però accertato che l’apparecchiatura installata per effettuare l’analisi del volto di chi osserva gli annunci promozionali, anche se in locale e per un brevissimo lasso di tempo prima della immediata sovrascrittura delle immagini, effettua comunque un trattamento di dati personali funzionale all’analisi statistica dell’audience.

Il Garante ha quindi prescritto alla società di collocare presso ogni totem installato un cartello, (anche in formato di vetrofania) che segnali la presenza della telecamera e che riporti gli elementi essenziali relativi al trattamento dei dati effettuato. Tale informativa sintetica dovrà inoltre contenere i riferimenti all’informativa completa facilmente raggiungibile – anche tramite un apposito QR Code – sul sito internet della società.La società dovrà infine garantire la sicurezza delle tecnologie utilizzate nei totem, adottando un monitoraggio almeno semestrale della telecamera e della memoria interna, al fine di individuare eventuali malfunzionamenti, indisponibilità o tentativi di accesso illecito agli apparati.

Sim aziendali: sì al controllo dei consumi, ma nel rispetto della privacy

I dati non potranno essere usati a fini disciplinari

Ok del Garante per la privacy ad un sistema per il controllo dei consumi telefonici aziendali. La multinazionale che ha sottoposto il progetto al vaglio dell’Autorità dovrà però attenersi a precise misure a tutela della riservatezza dei lavoratori [7554790].

Allo scopo esclusivo di ridurre i costi aziendali e valutare l’adeguatezza del contratto sottoscritto con il fornitore dei servizi telefonici, le società del gruppo potranno trattare, per effetto del bilanciamento di interessi riconosciuto dal Garante, alcune informazioni desunte dalla fatturazione bimestrale relative alle chiamate in uscita dei dipendenti assegnatari di una o più sim aziendali. In particolare, in conformità alla disciplina in materia di protezione di dati personali, il Garante ha prescritto che le informazioni sul traffico telefonico vengano trattate solo se necessarie, pertinenti e non eccedenti, o comunque se, in base alle condizioni contrattuali applicabili dal provider, comportino dei costi (ipotesi che non ricorre per le chiamate in entrata in roaming senza specifici addebiti e in caso di tariffe flat). Sui numeri delle chiamate in uscita e, nei casi consentiti, di quelle in entrata, sarà operato il mascheramento delle ultime quattro cifre. L’azienda specializzata che effettuerà l’elaborazione di dati verrà designata quale responsabile del trattamento e dovrà restituire i risultati dell’analisi dei consumi a ciascuna società del gruppo solo per il personale di propria appartenenza.

In presenza di “consumi anomali”, la società provvederà a rilevarne le cause e, ove necessario, evidenzierà al proprio interno l’esigenza di contenere i costi aziendali, ma i dati non potranno essere trattati a fini disciplinari. In ogni caso, poiché il sistema è idoneo a realizzare un potenziale e indiretto controllo a distanza sull’attività dei dipendenti, dovrà comunque essere stipulato specifico accordo sindacale da parte di ciascuna società nel rispetto della disciplina di settore.

In base al Codice privacy, l’Autorità ha inoltre commisurato i tempi di conservazione dei dati entro un limite di sei mesi e non di un anno, come richiesto dalla società. La multinazionale dovrà informare adeguatamente i dipendenti e adottare un disciplinare interno per regolamentare le condizioni di uso delle sim in dotazione ai dipendenti. È stato inoltre disposto che il file sul quale sono memorizzati i dati estratti dal portale del fornitore del servizio di comunicazione elettronica dovrà essere protetto mediante opportune tecniche di cifratura e che nell’ambito delle successive elaborazioni i dati dovranno essere anonimizzati mediante l’utilizzo di tecniche che non consentano la re-identificazione dell’interessato.