Civile.it
/internet
Osservatorio sul diritto e telecomunicazioni informatiche, a cura del dott. V. Spataro dal 1999, documenti.

Il dizionario e' stato letto volte.



Segui via: Email - Telegram
  Dal 1999   spieghiamo il diritto di internet  Store  Podcast  Dizionario News alert    
             

  


BCR for Processors 23.01.2013    Pdf    Appunta    Letti    Post successivo  

Privacy: il garante sui dati sanitari e sui dati delle multinazionali

Dalla newsletter del 23.1.2013 n. 368.
Spataro

 

Dalla newsletter del Garante, che citiamo in questi due punti:

"^ No a dati sulla salute sul web

Il divieto del Garante è scattato per due amministrazioni pubbliche

 

Non si possono mettere on line informazioni sullo stato di salute, patologie o handicap di una persona. Il Garante privacy è intervenuto su due gravi casi di violazione della riservatezza vietando al Comune di Siderno e alla Asl Napoli 2 Nord l’ulteriore diffusione in Internet, in qualsiasi area del loro sito istituzionale, d^ ei dati sulla salute rispettivamente di cittadini disabili e di persone che hanno beneficiato di rimborsi per spese sanitarie.  Alle due amministrazioni, inoltre, è stato prescritto di conformare la pubblicazione on line di atti e documenti alle disposizioni contenute nel Codice privacy e nelle Linee guida del 2 marzo 2011 [doc. web n. 1793203], rispettando, in particolare, il divieto di diffusione di dati sulla salute. Nel disporre i divieti il Garante ha dichiarato illecito il  trattamento di dati effettuato dal Comune e dalla Asl  perché in contrasto con la norma che vieta ai soggetti pubblici di diffondere i dati da cui si possano desumere malattie, patologie e qualsiasi riferimento a invalidità, disabilità o handicap fisici o psichici. Dagli accertamenti effettuati dal Garante a seguito di segnalazioni telefoniche è risultato infatti che sul sito del Comune era liberamente consultabile un allegato al Piano comunale di protezione civile contenente l’elenco delle persone non autosufficienti che abitano da sole o con altri inabili. Nell’allegato erano riportati in chiaro il nome e cognome, la sigla della disabilità oppure la sua indicazione per esteso (es. non vedente) e  in alcuni casi anche la data di nascita e/o l’indirizzo della persona non autosufficiente.  Mentre sul sito della Asl, nella sezione dedicata all’albo pretorio, era presenti le determinazioni con le liquidazioni degli indennizzi per patologie contratte per cause di servizio, rimborsi per spese sanitarie ( anche  a favore di trapiantati o di persone affette da determinate patologie), che riportavano  in chiaro  il nominativo  e/o il codice fiscale degli interessati o dei familiari che avevano beneficiato dei rimborsi.   Con un separato procedimento l’Autorità sta valutando gli estremi per contestare al Comune e alla Asl una eventuale sanzione amministrativa. 

 

 

^ Imprese e trasferimento dei dati all’estero

Più facile il ricorso a società che operano  in outsourcing

 

I Garanti per la privacy dei Paesi UE riuniti nel Gruppo “Articolo 29” hanno approvato una apposita procedura che consentirà la circolazione di dati personali all’interno di gruppi societari multinazionali che offrono ad altre aziende, con sede nell’Unione europea, servizi di trattamento dati in outsourcing. La procedura prevede l’approvazione da parte delle Autorità garanti nazionali delle cosiddette “Norme d’impresa vincolanti” (Binding Corporate Rules, BCR) per “responsabili del trattamento” (^ “BCR for Processors”) e potrà essere utilizzata a partire da quest’anno. 

Le BCR sono regole di condotta relative al trattamento dei dati personali all’interno di un gruppo multinazionale che  consentono, una volta  approvate dalle Autorità nazionali, di trasferire dati personali fra le società del gruppo con sede in UE e quelle situate in Paesi terzi, nel rispetto delle garanzie fissate in base alla direttiva 95/46. 

In questo caso la nuova procedura permetterà di  approvare BCR messe a punto da un’impresa multinazionale che sia nominata responsabile del trattamento per conto di titolari (clienti) stabiliti in un Paese dell’UE, sulla base di uno specifico contratto di servizi (generalmente indicato come “Service Agreement”). Tali imprese potranno adesso, se lo desiderano, fare approvare le proprie ^ “BCR for Processors”.

Sulla base delle nuove BCR, dunque, un’azienda ad esempio stabilita in Italia che intenda far trattare in outsourcing  dati personali da una multinazionale con sedi o filiali extra-UE potrà essere garantita dal fatto che la multinazionale ha elaborato un sistema di ^ “BCR for Processors” approvato dall’UE.

Il meccanismo di approvazione delle “nuove” BCR non si differenzia da quello esistente da vari anni, i cui requisiti sono illustrati dettagliatamente anche sul sito del Garante (http://www.garanteprivacy.it/home/provvedimenti-normativa/normativa/normativa-comunitaria-e-intenazionale/trasferimento-dei-dati-verso-paesi-terzi#3). 

Anche nel caso delle ^ “BCR for Processors” si prevede l’intervento di un’Autorità di protezione dati che fungerà da “capofila” nell’UE per il processo di valutazione e approvazione, cui farà seguito un meccanismo di mutuo riconoscimento (al quale partecipano molte autorità europee di protezione dati, fra cui il Garante); in alcuni casi (come in Italia) è comunque necessaria anche una specifica richiesta di autorizzazione nazionale. 

"I documenti elaborati dal Gruppo “Articolo 29” al fine di accedere alla procedura di approvazione (WP195 e relativo “Application Form”) sono disponibili sul sito del Gruppo (http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm) e saranno presto  pubblicati anche sul sito del Garante.

23.01.2013 Spataro
Garante Privacy




Segui le novità in materia di BCR for Processors su Civile.it via Telegram
oppure via email: (gratis Info privacy)


Dossier:



dallo store:
visita lo store






Dal 1999 il diritto di internet. I testi sono degli autori e di IusOnDemand srl p.iva 04446030969 - diritti riservati - Privacy - Cookie - Condizioni d'uso - in 0.265