Pubblicato il nuovo Tool Lince per la verifica dei responsabili esterni

lince

Il regolamento Europeo sulla protezione dei dati, all’ultimo comma dell’articolo 5 dell’articolo 24 impone in maniera esplicita l’obbligo da parte del Titolare di dimostrare e documentare che il trattamento è sempre effettuato in conformità al Regolamento.

Inoltre, il regolamento all’art 28, punto H, impone al Responsabile esterno di mettere a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato.

Quanto sopra si applica nello stesso modo nel rapporto tra un Responsabile esterno di trattamento ed uno o più Sub-responsabili.

Il Tool “Lince” di PrivacyLab per la verifica dei responsabili e sub-responsabili.

Per completare la suite di tool per la compliance al GDPR fornita da PrivacyLab, Lince permette di verificare e tracciare se i fornitori o sub-fornitori ai quali è stato affidato un trattamento di dati personali sono conformi al GDPR.  Attraverso lo strumento di workflow può gestire l’inserimento automatizzato della ragione sociale del Responsabile/sub-responsabile a partire dalla sola P.Iva per AZZERARE L’ERRORE UMANO NELLA REDAZIONE DELLA DOCUMENTAZIONE LEGALE DI NOMINA.

L’attività di audit può essere personalizzata per ogni tipologia di fornitori attraverso la modifica e la creazione di nuove checklist.

Il tool Lince PrivacyLab implementa già un servizio automatico di verifica dei maggiori carriers e services providers nazionali ed internazionali (Aruba, Fatture in cloud, Ovh, Microsoft, Google, Apple, Telecom, ecc).

  • Il tool Lince PrivacyLab permette di differenziare i servizi per ogni fornitore.
    • Se il fornitore di servizi è certificato con il protocollo UNICERT RUE 16/679, ne attesterà automaticamente l’adeguatezza.
  • Il Tool Lince PrivacyLab può essere acquistato ed utilizzato in maniera indipendente, oppure può essere integrato con tutto il protocollo di PrivacyLab GDPR, se presente.

Il Tool “Lince” di PrivacyLab, aspetti tecnici ed operativi

Il nuovo tool Lince PrivacyLab ha alcune caratteristiche tecniche che consentono di rendere L’ATTIVITÀ DI INSERIMENTO E VERIFICA dei Responsabili esterni molto più rapida ed efficiente:

  • Verifica della coerenza dei vincoli contrattuali stipulati e offerti dai Responsabili Esterni da remoto, con la possibilità di personalizzare il questionario da parte del Titolare/Responsabile al trattamento.
  • Certificazione della conformità del responsabile al trattamento attraverso il disciplinare tecnico UNICERT RUE 16/679
  • Lista precaricata di Responsabili Esterni e dei servizi erogati verificati e certificati da PrivacyLab per velocizzare il più possibile la gestione e per mantenere l’obbligo di costante verifica del Responsabile Esterno.

Scarica la brochure in PDF!

Cookie? No problem!

microsoft 365

Noi di Alchimie Digitali, ci occupiamo dell’implementazione dei servizi di gestione dei cookies su qualunque tipologia di piattaforma web un servizio completo “chiavi in mano”.

Essendo sempre attenti ad offrire ai nostri clienti un servizio completo, sicuro e stabile, per la gestione dei cookies abbiamo scelto Elmo.
Elmo è lo strumento di Privacy Lab che consente la verifica e la catalogazione dei cookies sia per la conformità al GDPR (normativa europea), sia per il sistema di USA e Australia.

Il suo Cookie inspector consente la gestione delle autorizzazioni e genera un registro consensi certificato.
Mettiti subito in regola con Alchimie Digitali.

La sanzione del garante a Roma Capitale e al fornitore di “TuPassi”

Un commento pratico alla sanzione del Garante nei confronti di Roma Capitale e del suo fornitore del servizio informatico “TuPassi”. Qualche spunto di riflessione per fare chiarezza sulla necessità di nomina a responsabile esterno per i fornitori di servizi informatici.

In breve:

Garante per la protezione dei dati personali dispone una sanzione sia nei confronti di Roma Capitale, rispetto al servizio “TuPassi”, sia nei confronti della società informatica fornitrice del servizio, che operava senza:

  • Nomina a responsabile esterno al trattamento
  • Nomina ad amministratore di sistema
  • Utilizzando in maniera assolutamente inappropriata la formula del “Titolare Autonomo”

Tutte le aziende che offrono questi servizi ( assistenza informatica, installazione/manutenzione gestionali) dovrebbero verificare di essere in regola rispetto agli adempimenti GDPR in ottica di accountability ed in particolare rispetto alla gestione delle nomine ricevute come responsabili esterni.

 

La vicenda.

 

Nella newsletter del 25 gennaio il Garante per la protezione dei dati personali riporta la sanzione di 500 mila euro disposta nei confronti di Roma Capitale per trattamento illecito di dati personali dei dipendenti e degli utenti, effettuato attraverso il sistema di prenotazione degli appuntamenti “TuPassi”.

Tale sistema consentiva di acquisire e memorizzare sui server di Roma Capitale numerosi dati degli utenti relativi alle prenotazioni (tipo di prestazione, canale utilizzato, data e ora della prenotazione) e del personale impiegato nella gestione degli appuntamenti. Tutte le operazioni possibili grazie a questo applicativo erano effettuate senza che né gli utenti né i dipendenti avessero ricevuto un’informativa completa sui trattamenti effettuati secondo quanto previsto dall’art. 13 GDPR.

 

Perché è importante per chi opera in campo informatico.

 

L’aspetto più interessante di questa sanzione, per noi e per tutti i professionisti e le società che forniscono servizi informatici, riguarda il fornitore del servizio “TuPassi” al quale Roma Capitale si affidava.

L’Autorità ha comminato, con un provvedimento separato, una sanzione di 40 mila euro alla società fornitrice del sistema per i trattamenti effettuati in qualità di autonomo titolare con riguardo, in particolare, alla prenotazione di servizi sanitari da parte degli utenti e alla manutenzione del sistema per conto dei clienti.

 

Il rapporto tra Roma Capitale e la società fornitrice del sistema di prenotazione non era stato disciplinato da nessun accordo.  Che cosa significa? Non c’era un contratto e, supponiamo, nemmeno una nomina? In effetti continuando la lettura sembra proprio essere questo il caso.

Durante l’attività istruttoria a carico di tale Società fornitrice è emerso, infatti, che

 

“nessuno dei clienti ha nominato la Società quale responsabile del trattamento per l’attività di assistenza e manutenzione” né quale “amministratore di sistema dei server dei clienti stessi, ai quali accede direttamente, da linea di comando, per l’attività di assistenza/manutenzione”.

 

Quando il fornitore deve essere nominato responsabile esterno?

 

Il fatto che un operatore informatico sia effettivamente titolare autonomo di un set di informazioni che raccoglie direttamente dall’utente, non esclude il fatto che per un set di dati ulteriore e/o per un diverso trattamento esso possa essere ANCHE responsabile esterno.

E questa seconda attività deve essere sempre gestita e, in nessun modo, può essere considerata di rango inferiore alle altre e dunque ignorata.

Nel caso di specie, se è vero che rispetto ai dati personali dei singoli utenti registrati sulla piattaforma “Tupassi” la Società trattava tali dati in qualità di titolare, nell’ambito dell’offerta del servizio di prenotazione effettuato allo sportello dagli utenti dei singoli enti bisogna evidenziare che, al contrario, i trattamenti di dati effettuati tramite “TuPassi” rientrano nella titolarità dei singoli enti, rendendo quindi obbligatoria la nomina a responsabile esterno ex art. 28 GDPR.

In aggiunta a questo occorre sottolineare che anche l’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti, deve essere regolamentata andando a nominare la stessa quale responsabile del trattamento.

 

Come evidenzia il Garante nella sua ordinanza:

 

“Con riguardo all’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti – attività che, quando non riguarda esclusivamente la componente hardware dei sistemi, ma include la possibilità che il personale autorizzato della Società fornitrice del servizio acceda al gestionale dei clienti, comporta inevitabilmente anche il trattamento di dati personali degli utenti –, la mancata adozione di atti idonei ad individuare la stessa quale responsabile del trattamento (art. 28 del Regolamento) risulta non conforme alla disciplina di protezione dati. Diversamente, tale regolamentazione non è dovuta nei casi nei quali la società svolga l’assistenza tecnica esclusivamente mediante un mero supporto (telefonico o via e-mail), senza accedere direttamente ai sistemi e ai dati personali in essi contenuti”.

 

È bene, quindi, ricordare che è permesso non nominare responsabile esterno il proprio fornitore di servizio qualora:

  • l’attività di assistenza informatica e manutenzione sia effettuata solamente sulla componente hardware dei sistemi;
  • l’assistenza informatica sia fornita esclusivamente tramite supporto telefonico o via e-mail, senza accesso a dati personali contenuti nei sistemi.

 

In tutte le altre occasioni, anche quando ad esempio un software è installato sui server del cliente e c’è la concreta possibilità che il fornitore possa accedere ai dati personali contenuti nel sistema, esso deve essere nominato responsabile esterno! Non farlo significa correre il rischio di imbattersi in sanzioni, anche rilevanti.

 

In conclusione.

 

Questo provvedimento ci fornisce una indicazione chiara e inequivocabile rispetto a tutte le aziende che si occupano di installare gestionali: anche se solo occasionalmente il loro personale autorizzato ha accesso al gestionale del cliente per fini di manutenzione, qualora tale accesso includa la possibilità di accedere ai dati presenti nel gestionale stesso, le aziende fornitrici devono essere assolutamente nominate responsabile esterno.

 

Se avete dubbi sulla necessità di nominare un vostro fornitore responsabile esterno non esitate a contattarci

Alchimie Digitali per tutti i servizi che prevedono la gestione dei dati per conto dei propri clienti si nomina sempre responsabile esterno!

 

Chiedi sempre la presenza di un consulente certificato a tutela della tua azienda!

 

Clicca qui per un preventivo gratuito!

La sanzione del Garante privacy a Eni Gas e Luce

Di seguito quanto esposto dal garante con alcuni commenti, con particolare attenzione al fatto che vengono indicati anche dei NUMERI, in vari aspetti del processo sanzionatorio,  che possono essere usati come riferimento per dare peso e valore a termini generici del regolamento generale per la protezione dei dati, GDPR, attualmente fonti di discussione, come per esempio “larga scala”

Il Garante privacy sanziona Eni Gas e Luce per 11,5 milioni
Telemarketing indesiderato e attivazione di contratti non richiesti

Il Garante per la privacy ha applicato a Eni Gas e Luce (Egl) due sanzioni, per complessivi 11,5 milioni di euro, riguardanti rispettivamente trattamenti illeciti di dati personali nell’ambito di attività promozionali e attivazione di contratti non richiesti. Le sanzioni sono state determinate tenendo conto dei parametri indicati nel Regolamento Ue, tra i quali figurano l’ampia platea dei soggetti coinvolti, la pervasività delle condotte, la durata della violazione, le condizioni economiche di Egl.

Il primo elemento che il Garante fornisce è che siamo al cospetto di DUE sanzioni, che fanno cumulo. Questo ovviamente conferma che se durante un accertamento vengono rilevate violazioni legate a più aspetti del GDPR o, come in questo caso, la violazione di due diversi principi ciascuno può essere sanzionato separatamente. La seconda indicazione importante riguarda i parametri, tra quelli determinati dal GDPR, che ha utilizzato per arrivare alla sua decisione:

  1. La numerosità dei soggetti coinvolti che il Garante definisce “Ampia”, tenete a mente questo punto che servirà dopo.
  2. Condotte pervasive, insomma viene misurata la “pressione” applicata
  3. La durata della violazione, dando conto che quanto più a lungo la condotta giudicata scorretta si protrae tanto più grave è la violazione.
  4. Il fatturato di EGL. Insomma è confermato, almeno in questo caso, che nel dare la multa le dimensioni dell’azienda sono un fattore.

La prima sanzione di 8,5 milioni di euro riguarda trattamenti illeciti nelle attività di telemarketing e teleselling riscontrati nel corso di accertamenti e ispezioni svolti dall’Autorità a seguito di diverse decine di segnalazioni e reclami, ricevuti all’indomani della piena applicazione del Gdpr.

Prima indicazione numerica: diverse decine di segnalazioni.

Insomma, a conferma di quanto detto da diversi esponenti dell’ufficio del garante, in alcune manifestazioni a cui abbiamo partecipato, il numero complessivo delle segnalazioni può essere utilizzato come elemento per decidere (“..a seguito di…”) chi viene verificato.

L’ovvia conseguenza è che diventa, per le aziende che non desiderano una visita del Garante, assolutamente fondamentale una corretta (e facilmente accessibile) gestione dei reclami e delle richieste da parte dei clienti, poiché raramente chi si sente vittima di un trattamento illecito segnala al garante senza aver almeno provato a contattare l’azienda.

Dalle verifiche è emerso un circoscritto numero di casi rivelatori tuttavia di condotte “di sistema” poste in essere da Egl, che hanno evidenziato gravi criticità relative al generale trattamento dei dati.

Tra le violazioni messe in luce spiccano le telefonate pubblicitarie effettuate senza il consenso della persona contattata o nonostante il suo diniego a ricevere chiamate promozionali, oppure senza attivare le specifiche procedure di verifica del Registro pubblico delle opposizioni; l’assenza di misure tecnico organizzative in grado di recepire le manifestazioni di volontà degli utenti; tempi di conservazione dei dati superiori a quelli consentiti; l’acquisizione dei dati dei potenziali clienti da soggetti (list provider) che non avevano acquisito il consenso per la comunicazione di tali dati.

Qui c’è poco da aggiungere, il Garante fa l’elenco di una serie di requisiti di trattamento, quelli insomma che un buon consulente privacy o un buon DPO, se presente, verifica nel proprio ente, evidenziandoli come tutti mancanti. Sottolineo comunque un aspetto che mi sembrano interessante per tutti coloro che affidano il proprio marketing ad aziende esterne: viene considerata (ovviamente, col senno del poi) una violazione l’uso di liste di contatti fornite da terzi che, una volta verificate, si sono rivelate senza consenso.

È probabile che EGL sia stata in grado di produrre una qualche forma di contratto dove vi è scritto che il fornitore dei lead si assume la responsabilità del consenso, ma dobbiamo ricordare che più volte il Garante ha parlato di una interpretazione sostanziale della norma, o per usare il termine giusto, un approccio basato sull’Accountability, sul poter Comprovare che quel che si sta facendo o quello che altri stanno facendo per conto nostro. Questa sanzione dovrebbe accendere l’attenzione di tutti i Titolari che si avvalgono di servizi esterni in ambito marketing, non può essere in discussione che contrattualmente i dati di potenziali clienti debbano essere indicati come correttamente legati ad un consenso, è necessario fare il passo successivo e chiederne e registrarne l’evidenza come parte integrante del contratto. In caso contrario il Titolare si espone a rischi non necessari.

Il Garante, dopo aver dichiarato l’illiceità delle condotte rilevate, ha ingiunto a Egl di implementare procedure e sistemi per verificare, anche tramite l’esame di un campione rilevante di nominativi, lo stato dei consensi delle persone inserite nelle liste dei contatti, prima dell’inizio delle campagne promozionali. Egl dovrà inoltre provvedere alla definitiva automatizzazione dei flussi di dati dal proprio database alla black list di chi non vuole ricevere pubblicità in uso presso la società.

Il Garante, inoltre, ha vietato alla società l’uso dei dati forniti dai list provider senza che questi ultimi avessero acquisito uno specifico consenso alla loro comunicazione a Egl.

Naturalmente il Garante non si accontenta di multare ed ovviamente vietare l’utilizzo dei dati privi di consenso, ma entra nel merito delle procedure di una grande azienda e le ingiunge di implementare tutta una serie di procedure la cui realizzazione diventerà un considerevole costo ulteriore a quello della sanzione.

Privacy by design e DPIA preventive non servono semplicemente a fare della carta ma a mappare i possibili rischi, decidere chi verificare, e come implementare procedure che avranno certamente un costo e un tempo di realizzazione di gran lunga inferiore di quello necessario a modificare un grande progetto già avviato.

La seconda sanzione di 3 milioni di euro riguarda violazioni nella conclusione di contratti non richiesti nel mercato libero della fornitura di energia e gas. Molte persone si sono rivolte all’Autorità lamentando di aver appreso della stipula di un nuovo contratto solo dalla ricezione della lettera di disdetta del vecchio fornitore o dalle prime fatture di Egl. In alcuni casi poi le segnalazioni denunciavano la presenza nel contratto di dati inesatti e di sottoscrizione apocrifa.

Le gravi irregolarità hanno interessato circa 7200 consumatori. Dagli accertamenti dell’Autorità è emerso che le condotte adottate da Egl nell’acquisizione di nuovi clienti mediante alcune agenzie esterne operanti per suo conto, per modalità organizzative e gestionali, hanno determinato trattamenti non conformi al Regolamento UE, in quanto contrari ai principi di correttezza, esattezza e aggiornamento dei dati.

Nella seconda sanzione emerge in prima battuta una violazione legata ad un principio, quello della correttezza esattezza e aggiornamento dei dati, che spesso viene considerato secondario: in formazione mi capita spesso di chiedere al manager di turno se è così sicuro che la sua organizzazione sia in grado di recepire richieste di modifica.

In seconda battuta è importante segnalare che il Garante scrive in maniera esplicita il numero di soggetti interessati: 7200. Poco sopra definisce questo numero “ampia platea”. E come in un termometro in cui sappiamo dove è lo zero ma non sappiamo dove comincia il “cento” (l’ineffabile “larga scala”) oggi possiamo comunque apporre un segnalino “Ampia platea” al valore 7200. Per dare un riscontro pratico, Mailchimp, uno dei servizi di mail marketing meno costosi, è gratuito fino a 2000 contatti, e il primo livello a pagamento (circa € 100,00 all’anno) arriva fino a 50.000 contatti, alla portata di qualunque freelance del settore.

Il Garante quindi, rilevate le irregolarità, ha ingiunto a Egl l’adozione di una serie di misure correttive e l’introduzione di specifici alert in grado di individuare varie anomalie procedurali.

Come sopra, rispetto alle procedure GDPR da implementare

Le implementazioni dovranno essere introdotte e comunicate all’Autorità in tempi stabiliti, mentre il pagamento delle sanzioni dovrà essere effettuato entro trenta giorni.

Insomma intanto i soldi poi ci sediamo ad un tavolo e pianifichiamo i correttivi e i tempi di realizzazione. Al di là degli aspetti economici, con questa frase si definisce il fatto che dovrà essere sottoposto allo scrutinio dell’Autorità il progetto delle nuove misure di sicurezza, fino a ricevere una qualche forma di approvazione…ed improvvisamente sale il sospetto che nella gestione di una violazione rilevata dal Garante, la sanzione possa essere il problema di minore entità.

Concludo con una osservazione, che faccio questa volta nei panni di cittadino: il Garante per la protezione dei Dati ha confermato che c’è una norma, il GDPR, ed un ufficio, a cui mi posso rivolgere, con effetti concreti e tangibili, per protestare contro chi concorre a ridurre sempre di più la fiducia mia e di tutti i cittadini, nella società digitale.

Sullo stesso argomento:

La Sorveglianza in ambito GDPR e Privacy

 

Chiedi sempre la presenza di un consulente certificato a tutela della tua azienda!

 

Clicca qui per un preventivo gratuito!

Hai bisogno di un DPO esterno?

Tutela la tua azienda ed evita o riduci le sanzioni. Scopri di più