Il GDPR, di cosa si tratta?

  Il Regolamento Generale sulla Protezione dei Dati, anche noto come GDPR (General Data Protection Regulation), approvato con Regolamento UE 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, è entrato in vigore in tutta l'Unione Europea a decorrere dal 25 maggio 2018.

  Il GDPR ha interessato ed interessa un numero enorme di aziende e realtà professionali obbligate a rivedere in toto, o a definire e strutturare in modo conforme alla normativa stessa, le proprie politiche inerenti il trattamento dei dati personali.

  Il periodo di tolleranza in Italia per le inadempienze al nuovo regolamento, previsto dall’art. 22 del Decreto legislativo 10 agosto 2018 n. 101, è giunto al termine. A partire dal 20 maggio 2019 il Garante può applicare senza alleggerimenti le sanzioni previste dal GDPR per l’inosservanza al corretto trattamento dei dati. Tutte le aziende e le PA devono essere pronte per sostenere eventuali controlli o ispezioni gestiti e organizzati direttamente dalla Guardia di Finanza..

Quali le prime sanzioni applicarte in Europa dai Garanti nazionali?

  Decorso il periodo cosiddetto di “tolleranza” che tutti gli Stati europei hanno osservato per permettere alle imprese di adeguarsi al nuovo sistema legato al GDPR 679/2016, sono iniziate le verifiche ed i controlli (audit, ispezioni, indagini) nonché l’irrogazione delle prime sanzioni amministrative. Le autorità di controllo (Garanti privacy dei vari Paesi dell'Unione Europea) stanno tenendo un approccio ragionevole e ponderato in merito alle sanzioni per il mancato rispetto del GDPR, in modo conforme a quanto dispone il regolamento stesso, secondo cui le sanzioni devono essere “effettive, proporzionate e dissuasive”. Vediamo quali sono state le principali, in tutta Europa:
- Prima sanzione a livello europeo: Garante privacy francese vs Google
- La sanzione comminata dal Garante privacy austriaco ad una azienda locale
- La sanzione comminata dal Garante privacy tedesco ad una azienda con sito di incontri
- La sanzione comminata dal Garante privacy portoghese ad un Centro Ospedaliero
- La sanzione comminata dal Garante privacy polacco ad una azienda locale
- La sanzione comminata dal Garante privacy italiano alla Associazione Rousseau
- La sanzione comminata dal Garante privacy italiano ad un medico
- La sanzione comminata dal Garante Privay italiano alla Uber
- La sanzione comminata dal Garante Privay italiano a Facebook
- La sanzione comminata dal Garante Privay italiano a TIM
- La sanzione comminata dal Garante Privay italiano a Wind

- Prima sanzione a livello europeo: Garante privacy francese vs Google

  Alla fine di gennaio 2019, il Garante per il trattamento dei dati personali francese (Commission Nationale de l’Informatique et des Libértes – CNIL) ha condannato Google LLC ad una sanzione da 50 milioni di euro per violazione del GDPR, con riferimento al sistema Android per dispositivi mobili. La condanna ha seguito due denunce presentate il 25 e 28 maggio 2018 dall’organizzazione None of Your Business - NOYB, fondata dal nemico dei giganti del web, il giovane attivista austriaco Max Schrems e dall’associazione di promozione dei diritti digitali La Quadrature du Net – LQDN.
Il CNIL ha contestato la violazione degli obblighi di trasparenza e informazione rilevando come Google non presenti all’utenza le notizie sulle modalità del trattamento in modo chiaro e facilmente accessibile, e degli obblighi di indicare una base giuridica per il trattamento relativo alla pubblicità mirata, a ffinché venga reso lecito l’utilizzo di dati finalizzato alla personalizzazione dei messaggi pubblicitari.
Una sanzione pecuniaria elevata ma allo stesso tempo lontana dai massimali previsti dal GDPR che prevedono multe fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente

- La sanzione comminata dal Garante privacy austriaco ad una azienda locale

  Nel mese di ottobre 2018 l’Autorità Garante della Privacy austriaca (Datenschutzbehörde), ha erogato, a seguito di apposita ispezione, una sanzione da 4 mila euro ad una azienda che utilizzava il sistema di video sorveglianza in modo non appropriato. Le telecamere erano direzionate su parte del marciapiede esterno al perimetro aziendale, tanto da riprendere i passanti senza alcuna giustificata motivazione e senza idonea informativa rilasciata con apposita cartellonistica. Tutto ciò in violazione dei principi della privacy più comuni, in quanto venivano ripresi i volti dei passanti senza che essi ne fossero debitamente informati.

- La sanzione comminata dal Garante privacy tedesco ad una azienda con sito di incontri

  Il 22 novembre 2018 il Garante per la Privacy dello stato di Baden Württenberg (Landesbeauftragte Für Den Datenschutz Und Die Informationsfreiheit – LfDI) ha condannato il sito Knuddels.de al pagamento di una sanzione di 20 mila euro per aver violato l’art. 32 del GDPR. Knuddels è un sito di chat online che ha avuto il suo picco di popolarità negli anni 2000, prima dell’arrivo di Facebook. Knuddels (letteralmente “coccole”), nel mese di settembre 2018, ha subito il furto di quasi 2 milioni di username/password e di più di 800 mila e-mail, oltre ad indirizzi di residenza degli utenti ed altri tipi di dati, anche sensibili. Gli inquirenti hanno individuato la causa di questo data breach nella mancanza di misure di sicurezza adeguate alla protezione dei dati (circa 330.000 quelli interessati), conservati in chiaro. I dati sono stati diffusi dagli hackers responsabili dell’attacco sui siti di file hosting/sharing Mega e Pastebin. Una volta scoperto l’accesso abusivo, Knuddels ha prontamente informato i suoi utenti e il LfDI dell’accaduto ed ha implementato la sua infrastruttura IT per innalzare il livello di sicurezza. Questoi ha ovviamente ridotto la sanzione, che avrebbge potuto essere molto più alta, a soli 20.000 Euro

- La sanzione comminata dal Garante privacy portoghese ad un Centro Ospedaliero

  Il Comissão Nacional de Protecção de Dados (CNPD) portoghese ha sanzionato per un importo complessivo di 400 mila euro una struttura ospedaliera. Nell’aprile 2018, il CNDP ha eseguito un’ispezione presso il Centro Hospitalar Barreiro Montijo del distretto di Setúbal in seguito alla segnalazione del sindacato dei medici, il quale contestava come il personale non sanitario avesse accesso ai sistemi informatici della struttura con i poteri propri dell’organico medico. Durante l'ispezione il CNDP ha accertato un accesso indiscriminato e ingiustificato di quasi seicento dipendenti ai dati sanitari dei pazienti. Nel sistema venivano verificate infatti 985 utenze attive con profilo di autorizzazione riservato al personale medico, nonostante che detto organico contasse realmente solo 296 professionisti.

Chiedeteci subito un PREVENTIVO PER UNA VERIFICA E MESSA A NORMA GDPR

  Vi invitiamo a interpellarci per un preventivo personalizzato per un progetto di Messa a norma secondo la normativa GDPR, con analisi completa della Vostra situazione aziendale e definizione di un progetto dettagliato con tutti gli interventi necessari, a cui può seguire seguito Vostro ordine la effettiva compilazione di tutta la documentazione prevista: un nostro responsabile di progetto Vi ricontatterà per una prima analisi e studio di fattibilità.

Chiamate subito per informazioni 24 ore su 24, 7 giorni su 7
0121/932578 - 338/7867823

Niente chatbot e risponditori automatici: con noi corrisponderete o parlerete sempre con esseri umani che vi forniranno informazioni e preventivi o vi richiederanno ulteriori dati per uno studio di fattibilità su progetti più complessi.

- La sanzione comminata dal Garante privacy polacco ad una azienda locale

  L’Autorità polacca per la protezione dei dati personali (Urząd Ochrony Danych Osobowych - UODO) ha multato una società per aver omesso di informare circa sei milioni di persone riguardo al trattamento ai fini commerciali dei loro dati tratti da fonti accessibili al pubblico. Agli interessati è stato così precluso la possibilità di esercitare i diritti loro riconosciuti dal GDPR, tra cui in primis quello di opposizione. La multa di 943.000 zloty polacchi, pari a circa 220.000 euro, è stata comminata per mancato rispetto dell’obbligo di informazione sancito all’art. 14 del testo del GDPR. Il titolare del trattamento ha adempiuto all'obbligo di informazione fornendo le informazioni richieste dagli articoli 14 (1) - (3) del Gdpr solo in relazione alle persone di cui aveva a disposizione gli indirizzi e-mail. Nel caso delle restanti persone, il titolare del trattamento non ha rispettato l'obbligo di informazione, come spiegato nel corso del procedimento, a causa degli elevati costi operativi. Pertanto, ha presentato la clausola informativa solo sul proprio sito web. Tale modalità di procedere è stata ritenuta insufficiente dall’Autorità privacy polacca.

- La sanzione comminata dal Garante privacy italiano alla Associazione Rousseau

  Con provvedimento n. 83 del 4 aprile 2019, il Garante per la Protezione dei Dati Personali ha comminato all’Associazione Rousseau, quale responsabile del trattamento e in tale qualità trasgressore, il pagamento di euro 50.000 a titolo di sanzione per la violazione di cui al combinato disposto degli artt. 32 e 83, paragrafo 4, lettera a) del GDPR, oltre ad ingiungere all’Associazione stessa gli adeguamenti necessari contenuti nel provvedimento.
In realtà sulla scorta di scandali e segnalazioni precedenti (come il data breach del 2017) la piattaforma “Rousseau” era già da tempo “attenzionata” dal Garante che con provvedimento del 21 dicembre 2017 aveva già richiesto un attento riesame delle condizioni di sicurezza e la correzione di diverse criticità.

- La sanzione comminata dal Garante privacy italiano ad un medico

  Con provvedimento del 14 febbraio 2019 il Garante per la Protezione dei Dati Personali italiano ha stabilito la sanzione di €. 16.000 ad un medico per trattamento illecito di dati personali. In questo caso è stata punita la condotta del professionista consistente nell’aver utilizzato gli indirizzi di circa 3.500 ex-pazienti per inviare lettere a sostegno di un candidato alle elezioni politiche del 4 marzo 2018, senza che gli interessati avessero espresso specifico consenso. Il Garante per la Protezione dei Dati Personali ha ritenuto sussistente la responsabilità del medico sotto due distinti profili. Innanzitutto, il professionista non ha reso l’informativa né al momento della registrazione dei dati dei pazienti né alla prima comunicazione, come previsto dal Codice privacy, realizzandosi così la violazione di quanto espressamente previsto all’art. 161. Questo adempimento è infatti obbligatorio in quanto i dati, nel caso di specie, non risultano raccolti dal medico direttamente presso gli interessati, ma ricevuti dall’Istituto oncologico all’atto della cessazione del rapporto di lavoro. Inoltre, il medico ha utilizzato i dati dei suoi ex-pazienti per finalità diverse da quelle di cura per le quali erano stati raccolti, senza aver acquisito per questo uno specifico e autonomo consenso,

- La sanzione comminata dal Garante Privay italiano alla Uber

  Informativa incompleta, dati trattati senza un valido consenso, mancata notifica della geolocalizzazione degli utenti. Queste le violazioni accertate in una riunone del dicembre 2018 dal Garante privacy italiano, che avvierà un autonomo procedimento sanzionatorio e segnalerà la questione anche alle altre Autorità europee, nei confronti di Uber.
Uber presta i suoi servizi anche in Italia dal 2013 e, a fronte di diverse controversie legali, opera esclusivamente nel settore degli NCC (Noleggio con Conducente) nelle seguenti città: Napoli, Milano, Roma, Reggio Emilia, Rimini e Trieste. A seguito du un data breach dell'autunno 2016, che ha interessato anche utenti italiani, il Garante ha avviato un’istruttoria volta ad acquisire elementi di valutazione in ordine alla portata in ambito nazionale di tale incidente di sicurezza. L'istruttoria ha portato appunto a scoprire gli illeciti sopra evidenziati.

- La sanzione comminata dal Garante Privay italiano a Facebook

  Il 14 giugno 2019 il Garante per la Protezione dei Dati personali comminava una sanzione di 1 milione di Euro a Facebook A seguito delle notizie di stampa nazionale ed internazionale relative alle vicende della società di ricerca Cambridge Analytica, il Garante aveva formulato alle due società più richieste di informazioni in ordine all’applicazione di terze parti presente su Facebook denominata Thisisyourdigitallife, alla circostanza che i dati personali raccolti mediante tale applicazione fossero stati condivisi con Cambridge Analytica per finalità di profilazione psicologica degli utenti e successiva elaborazione di campagne promozionali altamente personalizzate.
Sulla base delle indagino svolte, il Garante ha contestato a Facebook le seguenti violazioni:
a) la violazione delle disposizioni di cui all’art. 13 del Codice, sanzionata dal successivo art. 161, con riferimento all’inidoneità dell’informativa resa agli utenti Facebook in relazione alla condivisione dei dati dei medesimi con soggetti terzi in occasione dell’utilizzo di specifici prodotti presenti nel social network;
b) la violazione delle disposizioni di cui all’art. 23 del Codice, sanzionata dal successivo art. 162, comma 2-bis, per aver svolto i trattamenti di dati personali di cui sopra senza aver acquisito dagli interessati un consenso libero, specifico e informato;
c) la violazione prevista delle disposizioni di cui all’art. 157 del Codice, sanzionata dal successivo art. 164, per non aver fornito idoneo riscontro ad una richiesta di informazioni ed esibizione di documenti;
d) la violazione prevista dall’art. 164-bis, comma 2, del Codice, per aver realizzato le condotte sub a) e b) in relazione a banche dati di particolare rilevanza o dimensioni.

- La sanzione comminata dal Garante Privay italiano a TIM

  Il 15 gennaio 2020 l’operatore TIM (o Telecom Italia) è stato sanzionato con una sanzione da 27,8 milioni di euro per il GDPR dal Garante, l’autorità italiana per la protezione dei dati, per una serie di infrazioni e violazioni che si sono accumulate negli ultimi anni.
Le infrazioni di TIM includono una serie di azioni illegali, la maggior parte delle quali derivano da una strategia di marketing troppo aggressiva. Milioni di individui sono stati bombardati con chiamate promozionali e comunicazioni non richieste, alcuni dei quali erano su liste di non contatto ed esclusione.
Come la violazione (o le violazioni) avrebbero potuto essere evitate: TIM avrebbe dovuto gestire con più attenzione le liste degli interessati e creare opt-in specifici per le diverse attività di marketing.

- La sanzione comminata dal Garante Privay italiano a Wind

  Il 13 luglio 2020, il Garante italiano, l’autorità italiana per la protezione dei dati ha imposto una multa di 16.729.600 euro alla società di telecomunicazioni Wind a causa delle sue attività illegali di marketing diretto.
L’azione esecutiva è iniziata dopo che il regolatore italiano ha ricevuto denunce sulle comunicazioni di marketing di Wind Tre.
Wind ha spammato gli italiani con annunci pubblicitari, senza il loro consenso, e ha fornito dettagli di contatto errati, lasciando i consumatori incapaci di annullare l’iscrizione.
Il regolatore ha anche scoperto che le applicazioni mobili di Wind costringevano gli utenti ad accettare il marketing diretto e il tracciamento della posizione e che i suoi partner commerciali avevano intrapreso attività illegali di raccolta dati.
Come le violazioni avrebbero potuto essere evitate: Wind avrebbe dovuto stabilire una base legale valida prima di utilizzare i dati di contatto delle persone per scopi di marketing diretto. Questo probabilmente avrebbe comportato l’ottenimento del consenso dei consumatori – a meno che non potesse dimostrare che l’invio di materiale di marketing era nei suoi “legittimi interessi”.
Per qualsiasi motivo si invii del marketing diretto, è necessario assicurarsi che i consumatori abbiano un modo semplice per annullare l’iscrizione. E bisogna sempre assicurarsi che la politica sulla privacy della propria azienda sia accurata e aggiornata.

Cosa vi offre Ability Services per la messa a norma secondo GDPR

  Ecco cosa vi offre Ability Services per la messa a norma secondo il GDPR della vostra azienda:
1) Un ebook informativo gratuito realizzato dal nostro team: la Guida alla Messa a norma secondo il GDPR. Ben 369 pagine di informazioni, considerazioni, valutazioni, con il testo completo del GDPR. Potrete scaricarlo gratuitamente da questa pagina compilando il modulo di richiesta sottostante.
2) Attività di Audit iniziale gratuita e senza impegno sullo sato di conformità e adeguatezza delle pratiche della Vostra azienda, che si conclude con la produzione di una accurata relazione che indica lo stato dell'arte e le criticità da risolvere.
3) Redazione di una specifica proposta di adeguamento alla normativa in considerazione delle prescrizioni del GDPR, un vero e proprio studio di fattibilità con dettaglio degli interventi previsti e costi relativi.
4) Seguito Vostro ordine di lavoro, attuazione del piano di adeguamento con conseguente realizzazione delle necessarie attività e produzione ddi tutta la documentazione necessaria, realizzata espressamente per la vostra azienda.
5) Monitoraggio, con revisione periodica ed attività consulenziale.
6) Eventuale Servizio di DPO (Data Protection Officer) in outsourcing, opportunità prevista dal Gdpr (Art. 37). Calibrato sulle specifiche esigenze dell’azienda, il DPO assume i compiti previsti verso l’azienda e l’esterno.

Chiedeteci subito un PREVENTIVO PER UNA VERIFICA E MESSA A NORMA GDPR

Vi invitiamo a interpellarci per un preventivo personalizzato per un progetto di Messa a norma secondo la normativa GDPR, con analisi completa della Vostra situazione aziendale e definizione di un progetto dettagliato con tutti gli interventi necessari, a cui può seguire seguito Vostro ordine la effettiva compilazione di tutta la documentazione prevista: un nostro responsabile di progetto Vi ricontatterà per una prima analisi e studio di fattibilità.

Chiamate subito per informazioni 24 ore su 24, 7 giorni su 7
0121/932578 - 338/7867823