Delega ad hoc per gli addetti aziendali alla verifica del green pass Covid-19. Devono essere incaricati formalmente e devono avere istruzioni su come fare i controlli. È quanto prevede il dpcm 17 giugno 2021 (pubblicato sulla Gazzetta Ufficiale n. 143 del 17 giugno 2021), che ha dato le disposizioni sulla piattaforma nazionale «digital green certificate» (Piattaforma nazionale-Dgc) per l'emissione e validazione delle certificazioni verdi Covid-19. In sintesi, secondo quanto previsto dal decreto legge 52/2021, convertito dalla legge 87/202, le persone vaccinate o guarite o con un test negativo possono ricevere una certificazione verde digitale, utile a consentire mobilità e ingresso in luoghi in cui è necessario selezionare l'accesso per evitare diffusioni di contagio.
La Norma ISO/IEC 27001:2022 “Information security, cybersecurity and privacy protection — Information security management systems — Requirements”, pubblicata recentemente, ha completamento rivisto l’impianto dei controlli dello standard. Una parte rilevante dei controlli sono quelli afferenti alla sezione 6, relativa ai controlli sulle persone – “People controls”. Tali controlli riguardano la tutela del patrimonio di dati aziendali, e ben si applicano anche alla tutela di quelli personali.
Se non firma per accettazione la nomina di incaricato privacy, il dipendente non può lavorare e va sospeso dal servizio e dalla paga. Così ha deciso il tribunale di Udine, sezione lavoro, con l'ordinanza nella causa n. 504/2024 del 2/8/2024, prima decisione sulla questione del rapporto tra nomina privacy e rapporto di lavoro.
Per leggere questo articolo devi essere registrato ed effettuare il login!
Le imprese possono dribblare le responsabilità privacy quando le violazioni sono commesse dai dipendenti che abusano della loro posizione ed eccedono le loro mansioni. Ma per arrivare a questo risultato la strada è in salita e, comunque, ci vogliono apposite clausole nelle nomine dei dipendenti come autorizzati al trattamento, nelle informative rese agli stessi e nelle istruzioni e policy aziendali.
Quando possiamo realmente parlare di gestione ottimale della privacy, quindi essere definiti compliant, nella sfera della gestione del personale dipendente? Quali sono, pertanto, gli adempimenti che il Titolare del Trattamento dati dovrà obbligatoriamente adottare per essere conforme al Regolamento (UE) 2016/679, rispettandone i princìpi e adottando procedure organizzative e di sicurezza per assicurare, sui dati trattati, un rischio definibile basso? Per adottare il linguaggio del Regolamento (UE) 2016/679 il Titolare del Trattamento dovrà, solamente, agire con accountability, pertanto con consapevolezza, competenza e responsabilità.
La qualificazione dei soggetti esterni destinatari di dati personali e la corretta individuazione del ruolo soggettivo loro attribuito è un processo complesso, che implica verifiche mirate e che continua a presentare non poche criticità. Nello svolgimento delle attività di trattamento che gli sono proprie, infatti, il titolare del trattamento si trova a dover comunicare i dati personali dell’interessato a diverse categorie di soggetti, o a doverli condividere con gli stessi:
Il GDPR prescrive che il personale che tratta dati personali debba essere istruito, e molte aziende hanno una formazione standard a cui sottoporre tutti i dipendenti. E' possibile però riscontrare una differenza di fabbisogno formativo e/o istruzione in base alla data di assunzione di personale dipendente che ha la funzione di trattare i medesimi dati.
Il 65% degli oltre mille Data Protection Officer intervistati nel corso di un sondaggio condotto dall’Osservatorio di Federprivacy temono che una possibile situazione d’emergenza come quelle derivanti da ransomware o altri data breach possa scattare a causa dell’impreparazione o dell’incompetenza del personale che tratta dati personali in azienda, e il 58% dei DPO pensano che l’innesco potrebbe essere l’errore umano dall’interno, ovvero il cosiddetto “Insider Threat”.
Una volta designato o autorizzato un subordinato a svolgere determinati compiti connessi al trattamento dei dati personali, fino a che punto rimane responsabile il Titolare ovvero, fino a che punto l’assunzione di compiti e funzioni fa il paio con l’assunzione di profili di responsabilità? Esistono (e se sì, con quali limiti) ambiti di rivalsa del Titolare nei confronti del subordinato a fronte di una condanna ricevuta dal primo a seguito di un accertamento di responsabilità del sottoposto?
È stata pubblicata “Privacy Primi Passi”, la nuova miniguida edita da Federprivacy pensata per spiegare i requisiti basilari del Gdpr agli addetti che non sono professionisti della protezione dei dati, ma a che a motivo delle loro mansioni lavorative devono essere autorizzati al trattamento di dati personali. Con tale obiettivo, questo vademecum tascabile è stato scritto in un linguaggio semplice ed arricchito di vignette umoristiche con un approccio “soft” per aiutare i lettori a comprendere i concetti del Regolamento UE 2016/679 in modo piacevole, e a tratti con un sorriso.
