Civile.it
Civile.it
Dalla newsletter del Garante, che citiamo in questi due punti:
"No a dati sulla salute sul web
Il divieto del Garante è scattato per due amministrazioni pubbliche
Non si possono mettere on line informazioni sullo stato di salute, patologie o handicap di una persona. Il Garante privacy è intervenuto su due gravi casi di violazione della riservatezza vietando al Comune di Siderno e alla Asl Napoli 2 Nord l’ulteriore diffusione in Internet, in qualsiasi area del loro sito istituzionale, dei dati sulla salute rispettivamente di cittadini disabili e di persone che hanno beneficiato di rimborsi per spese sanitarie. Alle due amministrazioni, inoltre, è stato prescritto di conformare la pubblicazione on line di atti e documenti alle disposizioni contenute nel Codice privacy e nelle Linee guida del 2 marzo 2011 [doc. web n. 1793203], rispettando, in particolare, il divieto di diffusione di dati sulla salute. Nel disporre i divieti il Garante ha dichiarato illecito il trattamento di dati effettuato dal Comune e dalla Asl perché in contrasto con la norma che vieta ai soggetti pubblici di diffondere i dati da cui si possano desumere malattie, patologie e qualsiasi riferimento a invalidità, disabilità o handicap fisici o psichici. Dagli accertamenti effettuati dal Garante a seguito di segnalazioni telefoniche è risultato infatti che sul sito del Comune era liberamente consultabile un allegato al Piano comunale di protezione civile contenente l’elenco delle persone non autosufficienti che abitano da sole o con altri inabili. Nell’allegato erano riportati in chiaro il nome e cognome, la sigla della disabilità oppure la sua indicazione per esteso (es. non vedente) e in alcuni casi anche la data di nascita e/o l’indirizzo della persona non autosufficiente. Mentre sul sito della Asl, nella sezione dedicata all’albo pretorio, era presenti le determinazioni con le liquidazioni degli indennizzi per patologie contratte per cause di servizio, rimborsi per spese sanitarie ( anche a favore di trapiantati o di persone affette da determinate patologie), che riportavano in chiaro il nominativo e/o il codice fiscale degli interessati o dei familiari che avevano beneficiato dei rimborsi. Con un separato procedimento l’Autorità sta valutando gli estremi per contestare al Comune e alla Asl una eventuale sanzione amministrativa.
Imprese e trasferimento dei dati all’estero
Più facile il ricorso a società che operano in outsourcing
I Garanti per la privacy dei Paesi UE riuniti nel Gruppo “Articolo 29” hanno approvato una apposita procedura che consentirà la circolazione di dati personali all’interno di gruppi societari multinazionali che offrono ad altre aziende, con sede nell’Unione europea, servizi di trattamento dati in outsourcing. La procedura prevede l’approvazione da parte delle Autorità garanti nazionali delle cosiddette “Norme d’impresa vincolanti” (Binding Corporate Rules, BCR) per “responsabili del trattamento” (“BCR for Processors”) e potrà essere utilizzata a partire da quest’anno.
Le BCR sono regole di condotta relative al trattamento dei dati personali all’interno di un gruppo multinazionale che consentono, una volta approvate dalle Autorità nazionali, di trasferire dati personali fra le società del gruppo con sede in UE e quelle situate in Paesi terzi, nel rispetto delle garanzie fissate in base alla direttiva 95/46.
In questo caso la nuova procedura permetterà di approvare BCR messe a punto da un’impresa multinazionale che sia nominata responsabile del trattamento per conto di titolari (clienti) stabiliti in un Paese dell’UE, sulla base di uno specifico contratto di servizi (generalmente indicato come “Service Agreement”). Tali imprese potranno adesso, se lo desiderano, fare approvare le proprie “BCR for Processors”.
Sulla base delle nuove BCR, dunque, un’azienda ad esempio stabilita in Italia che intenda far trattare in outsourcing dati personali da una multinazionale con sedi o filiali extra-UE potrà essere garantita dal fatto che la multinazionale ha elaborato un sistema di “BCR for Processors” approvato dall’UE.
Il meccanismo di approvazione delle “nuove” BCR non si differenzia da quello esistente da vari anni, i cui requisiti sono illustrati dettagliatamente anche sul sito del Garante (http://www.garanteprivacy.it/home/provvedimenti-normativa/normativa/normativa-comunitaria-e-intenazionale/trasferimento-dei-dati-verso-paesi-terzi#3).
Anche nel caso delle “BCR for Processors” si prevede l’intervento di un’Autorità di protezione dati che fungerà da “capofila” nell’UE per il processo di valutazione e approvazione, cui farà seguito un meccanismo di mutuo riconoscimento (al quale partecipano molte autorità europee di protezione dati, fra cui il Garante); in alcuni casi (come in Italia) è comunque necessaria anche una specifica richiesta di autorizzazione nazionale.
"I documenti elaborati dal Gruppo “Articolo 29” al fine di accedere alla procedura di approvazione (WP195 e relativo “Application Form”) sono disponibili sul sito del Gruppo (http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm) e saranno presto pubblicati anche sul sito del Garante.
