Per la bio-videosorveglianza dei dipendenti pubblici ci vuole una preventiva valutazione di impatto privacy. Lo ha scritto il Garante per la protezione dei dati, nel parere (provvedimento n. 167 del 19 settembre 2019) sullo schema di dpcm, che attua l'articolo 2 della legge 56/2019, recante «Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell'assenteismo».
Per ogni nuovo trattamento di dati personali, che è alla base delle Privacy by design, il GDPR prescrive una serie di aggiornamenti e valutazioni, a cominciare dal registro delle attività di trattamento, l’informativa privacy, l’analisi dei rischi e la valutazione d’impatto (DPIA). Organizzato un corso operativo di una giornata per venerdì 21 aprile 2023.
Con questo contributo si entra pur schematicamente nella vicenda del Responsabile del Responsabile (d'ora in poi anche 'Subresponsabile') nel momento in cui debba affrontare tre importanti adempimenti in base al Regolamento 2016/679, nell'ordine: la redazione e la tenuta del registro, la valutazione di impatto, la gestione delle violazioni di dati, tutti ovviamente nella misura in cui concernenti i dati o i trattamenti di dati nello svolgimento dell'attività e/o servizio affidatigli, con l'autorizzazione del Titolare, dal Responsabile.
In questo articolo si sviluppa il tema della rilevabilità del rischio, una delle componenti da considerare nella valutazione dei rischio. La rilevabilità - detectability - (R) misura la facilità di intercettazione/individuazione dell’evento prima che questo si manifesti. Alcuni esempi:
L'azienda multiservizi che vuole razionalizzare la gestione del proprio parco veicoli può utilizzare anche strumenti di geolocalizzazione satellitare. Ma prima deve effettuare una serie di verifiche, tra cui la valutazione di impatto privacy del sistema. Lo ha evidenziato il Tar Emilia-Romagna, sez. II, con la sentenza n. 618 del 29 luglio 2022.
A partire dal 2020 il progetto di citizen score diventerà obbligatorio e, in Cina, il Social Credit System, da immaginario di serie tv, sarà a tutti gli effetti realtà. L’idea cinese si basa sull’attribuzione di uno Scoring (punteggio) ai cittadini (ma non solo) fondato su cinque fattori:
In data 10 Giugno 2021 [doc. web 9685922] l’Autorità Garante ha sanzionato un titolare del trattamento per aver implemento senza una valutazione di impatto privacy una piattaforma ai fini della gestione del whistleblowing in violazione dei principi della privacy by design e by default.
Nell’ambito della crisi COVID-19, la complessità della regolazione in materia della privacy risiede nel bilanciamento tra la capacità di tutela dei diritti individuali e la capacità di garantire l’efficacia del sistema di governance dell’emergenza sanitaria. Com’è noto, l’art. 35 del GDPR n. 2016/679 parla di valutazione d’impatto sulla protezione dei dati che deve essere effettuata dal titolare del trattamento quando quest’ultimo prevede l’uso di tecnologie che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il GDPR, chiarisce quali siano i contenuti della valutazione di impatto:
Nell’articolo “La valutazione dei rischi a fronte della Norma ISO/IEC 27001:2013, del Regolamento UE 2016/679 e della Norma ISO/IEC 27701:2019” sono stati introdotti alcuni temi sulla valutazione dei rischi confrontando quanto richiesto dalla ISO/IEC 27001:2013, dalla ISO/IEC 27701:2019 e dal REG. UE 2016/679. In questo secondo articolo sul tema si desidera porre l’accento su alcune modalità con le quali può essere condotta la valutazione dei rischi, illustrandole tramite alcuni semplici esempi.
Il processo di gestione, a cura dei Comuni, di un sistema di videosorveglianza per la sicurezza urbana, volto a prevenire e contrastare i fenomeni di criminalità diffusa e predatoria, deve necessariamente essere disegnato, auspicabilmente ancor prima dell’acquisto del sistema stesso, in modo tale da attuare efficacemente i principi della protezione dei dati e soddisfare i requisiti posti dalla normativa Eurounitaria (GDPR e LED). Questo disegno comprende anche l’esecuzione di una valutazione di impatto sulla protezione dei dati, la c.d. DPIA (Data Protection Impact Assessment).
