Banca dati on line della reputazione – Autorizzazioni generali per i dati sensibili e giudiziari – Smart cam nella sede di Roma Capitale
No all’algoritmo della reputazione, viola la dignità della persona
No del Garante privacy alla banca dati on line della reputazione [doc. web n. 5796783]. Il progetto per la misurazione del “rating reputazionale”, elaborato da una organizzazione articolata in un’associazione e da una società preposta alla gestione dell’iniziativa, viola le norme del Codice sulla protezione dei dati personali e incide negativamente sulla dignità delle persone. L’infrastruttura, costituita da una piattaforma web e un archivio informatico, dovrebbe raccogliere ed elaborare una mole rilevante di dati personali contenuti in documenti “caricati” volontariamente sulla piattaforma dagli stessi utenti o “pescati” dal web. Attraverso un algoritmo, il sistema assegnerebbe poi ai soggetti censiti degli indicatori alfanumerici in grado, secondo la società, di misurare in modo oggettivo l’affidabilità delle persone in campo economico e professionale. Nel disporre il divieto di qualunque operazione di trattamento presente e futura, il Garante ha ritenuto che il sistema comporti rilevanti problematiche per la privacy a causa della delicatezza delle informazioni che si vorrebbero utilizzare, del pervasivo impatto sugli interessati e delle modalità di trattamento che la società intende mettere in atto. Pur essendo infatti legittima, in linea di principio, l’erogazione di servizi che possano contribuire a rendere maggiormente efficienti, trasparenti e sicuri i rapporti socioeconomici, il sistema in esame – realizzato peraltro in assenza di una idonea base normativa – presuppone una raccolta massiva, anche on line, di informazioni suscettibili di incidere significativamente sulla rappresentazione economica e sociale di un’ampia platea di individui (clienti, candidati, imprenditori, liberi professionisti, cittadini). Il “rating reputazionale” elaborato potrebbe ripercuotersi sulla vita delle persone censite, influenzando le scelte altrui e condizionando l’ammissione degli interessati a prestazioni, servizi o benefici. Per quanto riguarda, poi, l’asserita oggettività delle valutazioni, la società non è stata in grado di dimostrare l’efficacia dell’algoritmo che regolerebbe la determinazione dei “rating” al quale dovrebbe essere rimessa, senza possibilità di contestazione, la valutazione dei soggetti censiti. L’Autorità nutre, in generale, molte perplessità sull’opportunità di rimettere ad un sistema automatizzato ogni decisione su aspetti così delicati e complessi come quelli connessi alla reputazione. Senza contare, infatti, la difficoltà di misurare situazioni e variabili non facilmente classificabili, la valutazione potrebbe basarsi su documenti e certificati incompleti o viziati, con il rischio di creare profili inesatti e non rispondenti alla identità sociale delle persone censite. Dubbi sono stati espressi dal Garante anche sulle misure di sicurezza del sistema – basate, prevalentemente, su sistemi di autenticazione “debole” (user id e password) e su meccanismi di cifratura dei soli dati giudiziari secondo l’Autorità davvero inadeguate, specie se rapportate all’elevato numero di soggetti che potrebbero essere coinvolti e all’ingente quantitativo di informazioni, anche molto delicate, che verrebbero registrate all’interno della piattaforma. Ulteriori criticità, infine, sono state ravvisate nei tempi di conservazione dei dati e nell’informativa da rendere agli interessati.
Rinnovate le autorizzazioni generali per i dati sensibili e giudiziari. Saranno efficaci dal 1 gennaio 2017 al 24 maggio 2018
Il Garante per la privacy ha rinnovato le autorizzazioni al trattamento dei dati sensibili e giudiziari che saranno efficaci dal 1° gennaio 2017 fino al 24 maggio 2018 data di applicazione del Regolamento UE 2016/679 in materia di protezione dati. I provvedimenti riguardano i rapporti di lavoro, i dati sulla salute e la vita sessuale, le associazioni e le fondazioni, i liberi professionisti, le attività creditizie, assicurative, il settore turistico, l’elaborazione dei dati effettuata per conto terzi, gli investigatori privati e il trattamento dei dati di carattere giudiziario. In linea generale le nuove autorizzazioni rispecchiano quelle in scadenza e apportano le necessarie integrazioni derivanti da modifiche normative intervenute nei settori considerati. Il Garante ha rinnovato, inoltre, l’autorizzazione generale al trattamento di dati genetici e quella relativa al trattamento dei dati personali effettuato per scopi di ricerca scientifica, anch’esse efficaci fino al 24 maggio 2018. Le nuove autorizzazioni sono in corso di pubblicazione nella Gazzetta Ufficiale.·
– Autorizzazione generale n. 1/2016 al trattamento dei dati sensibili nei rapporti di lavoro·
– Autorizzazione generale n. 2/2016 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale·
– Autorizzazione generale n. 3/2016 al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni·
– Autorizzazione generale n. 4/2016 al trattamento dei dati sensibili da parte dei liberi professionisti·
– Autorizzazione generale n. 5/2016 al trattamento dei dati sensibili da parte di diverse categorie di titolari·
– Autorizzazione generale n. 6/2016 al trattamento dei dati sensibili da parte degli investigatori privati·
– Autorizzazione generale n. 7/2016 al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici·
– Autorizzazione generale n. 8/2016 al trattamento dei dati genetici·
– Autorizzazione generale n. 9/2016 al trattamento dei dati personali effettuato per scopi di ricerca scientifica
Sicurezza: sì alle smart cam nella sede di Roma Capitale
Il Garante ha dato via libera ad un sistema di videosorveglianza intelligente da attivare presso l’edificio che ospita la sede della Città Metropolitana di Roma Capitale, volto a garantire la sicurezza degli accessi e la tutela del patrimonio [doc. web n. 5796716]. Nel richiedere la verifica preliminare la Città Metropolitana ha motivato la necessità del sistema stante l’impossibilità di vigilare 24 ore su 24 gli accessi e le uscite d’emergenza per mancanza di risorse umane ed economiche. Esaminate le caratteristiche del sistema il Garante ha ritenuto proporzionato e quindi ammissibile il trattamento dei dati personali che la Città Metropolitana intende effettuare. Le telecamere intelligenti, che controlleranno un edificio di trenta piani, destinato ad ospitare un numero molto elevato di dipendenti, si attiveranno solo in caso di scavalco dei tornelli o di effrazione delle uscite di emergenza. Nel caso di tentativo di accesso non autorizzato, rilevato da appositi sensori, il sistema invierà un segnale di allarme alla control room dell’edificio, presidiata 24 ore su 24 per tutto l’anno da personale specializzato e adeguatamente formato. La Città metropolitana ha dichiarato che il sistema non ha alcuna finalità di controllo a distanza dell’attività dei lavoratori e non rileverà i percorsi degli interessati. Roma Capitale ha inoltre dichiarato di aver adottato le misure minime di sicurezza, che fornirà agli interessati adeguata informativa e che conserverà le immagini solo per 24 ore.
