Dalle basi operative del GDPR a ChatGPT

Il censimento dell'hardware in uso e' diventato molto piu' complesso.

Seguono le indicazioni per avviare immediatamente un censimento guidato secondo i criteri da considerare:

• risorse aziendali interne

• risorse aziendali esterne

• risorse personali

I server in cloud, come i backup in remoto, i files condivisi, i calendari e la posta elettronica sono risorse fisicamente dislocate: bisogna segnare l'ufficio che vi accede e il fornitore che le fornisce.

Un servizio di cloud presso terzi e' fisicamente presso terzi, anche se vi accediamo quotidianamente.

Per tipologia:

• pc e smartphone

• periferiche

• memorie di massa

• connessioni (aziendale e/o personale)

Per elencarli un buon metodo e' risalire alle fatture.

L'elenco dell'hardware non deve essere fine a se' stesso.

Elencando l'hardware dovremo verificare a chi e' stato assegnato, e se e' ancora in uso.

Delicato l'accesso da dispositivi personali, per i quali l'accesso e i privilegi dovrebbero essere diversi e inferiori, possibilmente solo in lettura, e con un tracciamento adeguato.

In poche parole il censimento dell'hardware serve a:

• elencare i dispositivi in azienda, presso terzi, e personali

• elencare gli addetti ai quali i dispositivi sono stati assegnati

• elencare le mansioni e i permessi degli addetti

• trovare nuovità (nuovi acquisti o apparecchi dismessi, o nuove prassi d'uso).

Una semplice tabella da non modificare nel tempo (va aggiornata aggiungendo, senza cancellare il passato) e' la seguente:

• Data: ...

• Dispositivo: ...

• Assegnato ad ufficio: ...

• Per svolgere i compiti: ...

• Assegnato ad addetto / categoria di addetti: ...

• Documentazione disponibile: ...

Si veda la lezione 42 con ampia esercitazione su nomina e alcune novità importanti (assenza di conflitto di interessi)

Esercitazione:

1. Per la tua attività lavorativa prova a scrivere una informativa, al volo.

Questi i punti che devi trattare, nella parte generale:

• identificazione titolare

• eventuale DPO

• recapiti per le comunicazioni

• elenco dei trattamenti.

• elenco dei diritti; separamente il diritto di ricorrere al Garante.

• un riferimento alle misure organizzative e tecniche di sicurezza proporzionate ai rischi

Nella parte speciale, per ogni trattamento:

• nome del trattamento

• in cosa consiste

• quali dati raccolti

• quale base giuridica (di fatto scegliere tra consenso o contratto se non c'e' un obbligo di legge)

• durata del trattamento, e cosa succede alla fine

Opzionalmente, per ogni trattamento verifica:

• eventuale responsabile del trattamento (fornitore esterno)

• se e' trattamento automatizzato, spiegarlo

• se i dati sono comunicati extra UE, le valutazioni di rischio

• se i dati sono particolari (sessuali, politici, religiosi, giudiziari, finanziari)

2. Censimento

Per finalità interna all'informativa deve seguire concretezza.

Prova a censire la tua attività. Devi trovare:

• gli uffici e gli addetti ad ogni trattamento

• i servizi e le risorse usate per trattare i dati

• chi si occupa dei backup

• chi si occupa dell'assistenza

• chi comunica le novità da inserire nel registro delle attività

  
  

3. Gli addetti

Per finalità interna verificare la corrispondenza tra quanto detto nell'informativa e i compiti di ciascuno.

Per ogni addetto verifica se:

• ha mansioni scritte,

• è stato formato e sa a chi chiedere e come comportarsi

• se il documento è aggiornato o le risorse e i compiti sono cambiati.

4. Rendicontabilità

A fini interni e' bene ricordare che dobbiamo rendere conto, in caso di controllo, con documenti scritti e datati, quali sono le risorse (umane, tecniche, informatiche, archivi) e le attività svolte durante il trattamento dei dati.

L'informativa va vista come checklist per verificare se internamente siamo organizzati per svolgere quanto dichiarato.

I documenti dei fornitori esterni si affiancheranno alle verifiche delle mansioni affidate internamente.

Trascrizione:

Stiamo trattando il problema dell'informativa.

L'informativa, l'abbiamo visto nella prima parte è una serie di norme che impongono una serie di indicazioni che vanno inserite nelle informative al momento della fornitura dei dati e altre che vanno comunicate almeno dopo, quindi non subito ma si possono inserire anche in un secondo momento. Questo perché, per esempio, potrebbero essere distribuite nei vari servizi.

Uno di questi aspetti è l'indicazione della durata. Allora, scegliete voi chiaramente se semplificare e mettere tutto in un unico documento o se, offrendo tante prestazioni diverse attraverso gli stessi dati personali, dovete indicare in più occasioni, in più contesti, il diverso eventuale eventuale, scusate, eventuale altri trattamenti.

Poi se si vuole accedere ai dati personali, dobbiamo indicare e controllare chi può esercitare l'accesso ai dati personali; pensiamo anche al caso degli eredi, rettifica, cancellazione, limitazione del trattamento, quindi voglio limitare il trattamento addirittura, opporsi.

Opporsi di solito significa sospendere il trattamento per un certo periodo, pensate a gmail che profila tutti noi, nel momento in cui noi vogliamo potremmo dire a gmail continua a darci l'email ma cessa di profilare.

E poi il diritto alla portabilità, che poi ho ripetuto qua sotto, ma anche qua dentro. Quindi il diritto di poter estrarre dati e riutilizzarli. Lo vedremo ampiamente anche dopo, ma evidentemente è una cosa che va comunicata in questo momento.

Poi abbiamo il diritto di revoca del consenso, quindi tieni tutti i dati ma da adesso in avanti basta. Il diritto di proporre un reclamo all'autorità di controllo. Autorità di controllo è il nuovo nome del garante della privacy.

Dobbiamo anche indicare quali conseguenze se non vengono comunicati  dati obbligatori. Quindi io ti chiedo l'e-mail per la newsletter, se non mi dai l'e-mail la newsletter non la ricevi.

Io ti chiedo il nome, il nome insieme alla newsletter, se non mi dai il nome non la ricevi perché io voglio avere una garanzia in più che sei proprio tu che mi stai chiedendo il nome. Per esempio. L'importante è che ci sia una spiegazione, una motivazione, una base giuridica espressa.

Magari discutibile. Ricordiamoci che poi più dati chiedo e meno ottengo dati di qualità. E infine quello che riguarda la profilazione automatica.

Profilazione, ma in generale qualsiasi trattamento automatico. Allora io passo al telepass e mi viene adebitato un costo e io voglio sapere come funziona il meccanismo del telepass. In modo semplice, non in modo tecnico approfondito, ovvio.

Però, insomma, io voglio sapere che se io prendo quella scatoletta serve per essere letta al Telepass. Se voglio usarla per entrare nell'area C, che è un'area chiusa in Milano, e pagare il biglietto, benissimo, dovrò esprimere un consenso separato. Insomma, bisogna indicare e sapere anche come vengono trattati i dati.

Poche parole, nessuno si può mettere in giro a raccogliere i dati del telepass senza alcun senso prima. Ma la cosa importante è che si vuole sapere come viene utilizzato il trattamento automatico. Questo è importante soprattutto per i curriculum vite, per la ricerca a lavoro, per le agenzie che offrono incontri tra le persone.

Gli interessati possono chiedere che quel meccanismo automatico venga bloccato e venga invece seguito un percorso parallelo da un operatore umano. L'operatore umano magari poi utilizzerà il sistema automatico, questo potrebbe essere una fregatura, Il meccanismo è che bisogna spiegare come funziona il meccanismo automatico.

La seguente esercitazione guidata consente di valutare se la richiesta del consenso e' adeguata o meno.

Si consiglia di testarla subito su proprie risorse o su un qualsiasi servizio online che chieda la registrazione.

Controlli:

• Il trattamento e' in esecuzione di un contratto ? Non si deve chiedere il consenso.

• Il consenso si deve chiedere quando ad una prestazione non corrisponde una controprestazione economica

• Il consenso non deve essere prespuntato

• Le informazioni sommarie e l'informativa completa devono essere disponibili al piu' tardi alla richiesta dei dati da trattare

• E' necessario raccogliere un consenso per ogni trattamento

• E' necessario tenere traccia o dei consensi o del software

Ai fini della rendicontabilità non devo archiviare necessariamente ogni consenso. Basta che abbia copia del software reinstallabili memorizzato separatamente dai backup, per conservarlo piu' a lungo.

Espressamente si conferma che per i cookies durante la navigazione e' sufficiente un cookie tecnico.

Tuttavia per i servizi offerti gratuitamente (newsletter, pubblicità personalizzata) una maggiore cautela puo' garantire chi offre questi servizi.

Come documentare infatti la catena di ripensamenti del consenso ? Concedo, ritiro, riconcedo. riritiro ?

E' necessario, in questi casi, avere una tabella separata in un proprio database esclusivamente per rendicontare le attività richieste dagli utenti. Un vero log che data, per ogni email/cliente, le attività eseguite.

A tal fine e' opportuno che chi offre l'assistenza utilizzi gli strumenti pubblici per cancellarsi / iscriversi in modo che di ogni attività resti traccia, senza accedere direttamente ai database.

Il vero problema, nella richiesta del consenso e':

• distinguere i trattamenti;

• se i dati sono forniti da terzi (anche per assorbimento in gruppi di aziende) controllare il consenso originale, documentando il controllo.

Un trabocchetto che rende i consensi inutili e' l'informativa incompleta. Chiedere il consenso senza indicare il trattamento, la base giuridica e la durata, oltre al resto, e' spesso motivo di sanzione.

ESEMPIO

Nelle tessere fedeltà le firme sono tre:

• per l'invio delle comunicazioni

• per gli sconti basati su dati personali (anniversari, etc)

• per la profilazione (sulle abitudini di acquisto)

Secondo quanto ripetutamente il Garante afferma nelle sanzioni. Il criterio e' che il trattamento profilante e' diverso dallo sconto se basato su un trattamento diverso dei dati.

VERIFICA

Hai dei trattamenti basati sul consenso ? Verifica:

• quali trattamenti sono basati sul consenso

• consenso mai prespuntato

• consenso separato per ogni diverso trattamento

• controlla se i dati trattati sono i minimi necessari

• evidenzia i dati necessari e spiega perche'

• controlla se l'informativa indica una base giuridica compatibile con il consenso

• controlla la durata del trattamento

• puoi tenere traccia della catena dei consensi ai servizi che offri ?

• i dati provengono da terzi ? Documenta il controllo della raccolta dei consensi

• tieni copia del software nelle versioni che si succedono, separatamente dai backup

Al video si aggiungano le problematiche principali come dalla relazione del 16.1.2024 dell'EDPB (elaborazioni AI dell'autore) disponibile al file edpb_report_20240116_cef_dpo_en.pdf ):

• Designazione DPO - Obbligo non sempre rispettato: 12 organizzazioni non hanno designato un DPO pur essendo tenute a farlo.

• Risorse insufficienti al DPO: Spesso il DPO opera da solo senza vice o in parte del suo tempo lavorativo, con budget e autonomia limitati.

• Formazione e competenze DPO: In alcuni casi la formazione e le competenze del DPO sono risultate insufficienti.

• Task del DPO non sempre rispettati: Non a tutti i DPO sono stati assegnati tutti i compiti previsti dal GDPR.

• Conflitti di interesse: In numerosi casi il DPO svolgeva altri ruoli incompatibili o aveva troppi clienti, rischiando conflitti di interesse.

• Mancata indipendenza DPO: A volte il DPO riceveva istruzioni che ne compromettevano l'indipendenza o mancavano tutele contro ritorsioni.

• Rapporto con la dirigenza: Non sempre il DPO riferiva direttamente alla dirigenza, in contrasto con quanto previsto dal GDPR.

• Richiesta di linee guida: Oltre il 60% dei rispondenti ha chiesto ulteriori linee guida, FAQ e materiali formativi alle autorità di controllo.

• Azioni delle autorità: Molte autorità hanno avviato indagini, fornito linee guida, organizzato formazione ed eventi per DPO.

e ancora:

• Livelli di consapevolezza e conformità: Valutati mediamente positivi ma con margini di miglioramento in alcuni Stati membri.

• Risorse umane insufficienti: Spesso ai DPO non viene assegnato un vice o collaboratori.

• Formazione DPO: Necessario potenziare la formazione iniziale e continua dei DPO.

• Coinvolgimento del DPO: Non sempre sistematico nelle attività di gestione dei rischi e nelle valutazioni di impatto.

• Tutela del DPO: Pochissimi casi di ritorsioni segnalati ma mancano tutele preventive contro il rischio.

• Indagini delle autorità: Dieci hanno avviato nuove indagini formali e alcune hanno irrogato sanzioni.

• Eventi di formazione: Diversi Stati membri organizzano corsi, workshop ed eventi per la formazione dei DPO.

• Ricerche e questionari: Alcune autorità hanno condotto analisi per mappare ruolo, competenze e bisogni dei DPO

L'analisi dei rischi viene valutata in modo rigoroso tramite strumenti non adatti ai manager o alle aziende.

Questa esercitazione propone un coinvolgimento attivo dell'azienda sin dalla fase della progettazione.

Pensate all'ultimo software / servizi in cloud che avete introdotto, e simulate:

PRIMA FASE, ALL'INCARICO:

• chiedere una analisi dei rischi informatici al fornitore

• chiedere l'elenco dei dati trattati, dei flussi dei dati, dei permessi di accesso degli operatori

• elencare le risorse informatiche e umane coinvolte

SECONDA FASE, ALL'INSTALLAZIONE

• gli addetti e gli amministratori vanno coinvolti nelle scelte che li riguardano direttamente.

• tenere un documento delle informazioni nuove da conoscere e le istruzioni da fornire agli addetti

TERZA FASE, IN PRODUZIONE

• gli addetti devono ricevere aggiornamenti di mansioni e informative se ci sono nuovi trattamenti

• tutto deve essere documentato per iscritto e datato

• indicare il referente per dubbi

• raccogliere dubbi e domande da comunicare al responsabile del progetto

QUARTA FASE, DOCUMENTARE I RISCHI

• raccogliere i dati

• raccogliere i trattamenti

• raccogliere le risorse umane interessate

• censire i dispositivi usati

• elencare i dubbi

Superata la fase di raccolta, bisogna individuare i rischi.

Sono rischi potenziali, astratti, anche ovvii e già risolti; vanno indicati nella prospettiva:

• prima degli interessati che devono sapere come comportarsi

• poi dell'azienda che deve rendicontare e aggiornare la documentazione

Valutati i rischi, se sono notevoli per qualità o quantità, o nei casi previsti dal GDPR e dalle interpretazione (alcuni trattamenti non danno scelta, ogni autorità ha la sua guida, cercate online "privacykit dpia dati e trattamenti a rischio e valutazione d'impatto"), si dovrà procedere ad una valutazione di impatto (DPIA) che consente anche di prevedere ab origine le misure di sicurezza per proteggere ex ante i dati.

Per esercitarci simuliamo due violazioni.

1. Il computer principale è stato violato da remoto e non è più utilizzabile

2. I dati dei nostri clienti sono stati pubblicati sul web.

PRIMO CASO

• cerchiamo i backup con le password di accesso ai servizi online (cloud, email, servizi vari)

• cerchiamo da quali servizi iniziare per modificare le password. Email ? Altro ?

• cerchiamo il backup dei files piu' importanti

• cerchiamo il backup dei files piu' recenti

• abbiamo ancora l'elenco dei clienti per comunicare con loro ?

• quali dati dei clienti possono essere stati compromessi ?

• cosa rischiano i clienti ? 

  • Di essere ingannati ? 

  • Di perdere l'accesso a servizi ?

  • Reputazione ?

• abbiamo una nuova macchina dove installare ex novo il software che sappiamo scaricare ex novo ?

• prima di usare i backup, li controlliamo ? Quanto tempo ci vuole ?

• quali sono le urgenze che dobbiamo affrontare?

  • server online

  • cloud

  • email

  • scadenze contrattuali

  • scadenze fiscali

• valuto se devo comunicare qualcosa ai clienti

• valuto se devo comunicare qualcosa al Garante

SECONDO CASO

• Abbiamo i traccianti, i log di accesso

• Abbiamo gli eventi di sicurezza del passato

• Quali "cimici" abbiamo messo nei nostri sistemi per capire da dove e' nato il problema ?

• Abbiamo i backup ?

• Abbiamo bisogno di un tecnico di cybersecurity per trovare la causa ?

• Abbiamo casi di dipendenti o ex dipendenti insoddisfatti al punto da creare problemi simili ?

• Dobbiamo scrivere ai clienti: cosa scriviamo ?

• Quali password dobbiamo cambiare e quali dispositivi personali e aziendali dismettere/spegnere?

• Come preseguire il lavoro ?

LA LETTERA AGLI INTERESSATI VIOLATI

La comunicazioni ai clienti e ai collaboratori deve essere fattuale, senza inutili interpretazioni volte a sminuire gli effetti.

Oltre ad essere fattuale deve impersonare le preoccupazioni di chi ha subito una compromissione dei propri dati, ipotizzando, con un tecnico, i rischi che si possono correre da una fuga di dati, considerando che ulteriori danni possono avverarsi dopo anni e riguardare anche settori completamente diversi. E' l'occasione per ricordare di usare password sempre diverse e complesse per ogni servizio.

E' utile predisporre anche una pagina dove aggiornare sulla violazione informatica, riservata agli interessati.

Nel concreto indicare:

• data della scoperta della violazione

• dati violati

• come ha reagito l'azienda violata

• possibili rischi

• consigli di comportamento in futuro

• pagina dove si potranno seguire gli aggiornamenti

L'esercitazione consiste nel riferire a cliente / verificare gli aspetti rilevanti.

Verificare, per ogni punto, la situazione, prendendo note.

FORNITURA SITO CON WORDPRESS:

• elenco plugin e tema installati e attivi

• i plugin per la sicurezza: wordfence, activity log (o simili)

• quali dati sono trattati dal core e dai plugin e dal tema

• quali trattamenti sono effettuati come da richiesta e ulteriori necessari

• elenco dei fornitori terzi (es.: SMTP, Backup, cdn per js, font, css, tag manager, mappe, analitiche, YouTube)

• elenco degli utenti attivi

• configurazioni protettive (analitiche interne, disabilitazione commenti, disabilitazione Gravatar)

• durata di trattamento dei dati

• modalità di backup e di recovery

• istruzioni per gli addetti, e per la gestione di nuove utenze

• istruzioni per aggiornare la cookie e privacy policy

GESTIONE SITO WORDPRESS:

• elenco plugin e tema installati e attivi

• stato generale del sito, plugin, temi e configurazioni all'incarico

• istruzioni ricevute dal cliente

• compiti accettati

• mansioni ricevute

• registro attività

• documentazione delle misure di sicurezza e organizzative adottate (Data processing agreement)

• In particolare per l'invio dei newsletter, pixel retargeting, social media managmente saranno opportune ulteriori documenti / email per capire se l'iniziativa viene dal fornitore o dal titolare.

Se, durante la gestione, si svolgono compiti informatici, saranno opportune tutte le valutazioni già esposte nel primo punto.

La CNIL sanziona pesantemente Microsoft per due motivi.

- su Bing non ha offerto un banner con un bottone "rifiuta tutto" facile come "accetta tutto"

- su Bing ha raccolto un cookie antifrode pubblicitaria prima del consenso.

Ne approfittiamo per ricordare alcune ipotesi di tracciamento e alcuni contenuti sottovalutati da inserire nelle informative:

- la scelta granulare dei cookies tramite il sito youronlinechoices

- i link alle privacy policy di tutte le terze parti, per evitare, come indicato dalle faq del Garante italiano, di essere responsabilità per le attività di terzi.

In questo caso il provvedimento e' contro Microsoft Irlanda, evitando cosi' il tema della Schrems II (divieto di inviare dati personali, anche solo ip address, negli USA).

Un caso da manuale: arriva solo l'email modificata dai pirati, ma il bonifico viene recuperato prima di andare all'estero. Complice del successo dei buoni contro i cattivi l'importo e il tempismo della banca, probabilmente, perche' il bonifico era già stato disposto.

Ecco cosa possiamo imparare da casi simili.

Notizia del 10.1.2023 da Gazzetta di Reggio.

La decisione che sanziona Meta dichiara tutta l'attività d'impresa illecita, perche' svolta senza un consenso libero.

Il tema e' terribile o, con i termini del Garante, si tratta di un terremoto digitale.

Quello che i più sottovalutano è l'impatto sulla propria attività:

1. nelle landing pages si devono regalare i contenuti se non viene dato il consenso;

2. nelle newsletter;

3. nelle tessere fedeltà ;

4. in caso di fusioni / cessioni di rami di aziende;

5. il consenso può mancare, essere sospeso, ritirato: le aziende sono pronte a gestirlo ?

6. le attuali banche dati sono a norma ? Sicuro ? Quali sono le soluzioni possibili ?

Ne parlo nel video.

Nel video:

• nella prima parte cerca di spiegare nel dettaglio gli errori che le aziende hanno commesso frequentemente.

• nella seconda parte si parla dei modi in cui le aziende possono difendersi oggi (indicando quali step controllare per valutare se possono "salvarsi"; e quali altre scelte strategiche possono adottare concretamente.

I contenuti sono di assoluta rilevanza e introvabili altrove.

Il comunicato del Garante sull'intelligenza artificiale usata in Veneto consente di avere una guida fantastica, se sappiamo leggerlo in questa ottica.

Il comunicato e' di grande importanza per tutti coloro che introducono, su un precedente trattamento, l'intelligenza artificiale.

Proponiamo la checklist agli iscritti su privacykit.it/udemy

L'analisi approfondisce punto per punto quanto sottinteso nel comunicato, cioe' cosa il Garante si aspetta e ritiene già dovuto.

Sono certo che i commentatori si limiteranno ad affermare i principi enunciati.

Il commento proposto invece parte dall'operatività quotidiana, svelando gli adempimenti dovuti.

Dott. V. Spataro

Il comunicato e' su sito del Garante al n. 9845106

1. l'algoritmo sceglie le classi di priorità, non piu' i medici

2. l'algoritmo decide i tempi di attesa

3. dati sanitari e in larga scala

4. la Regione risponda entro 20 giorni

5. i tipi di priorità

6. la modificabilità da parte del medico

7. la norma giuridica

8. tipo di algoritmo

9. i database

10. i tipi di informazione e documenti clinici

11. modalità informative

12. la valutazione d'impatto

13. il numero di pazienti coinvolti

Facciamo diventare l'elenco piu' leggibile lato GDPR:

1. individuare le differenze tra il trattamento precedente e quello nuovo

2. aggiornare la valutazione d'impatto

3. valutare se l'automazione puo' essere corretta dall'umano

4. valutare se vi e' una base giuridica

5. censire i dati utilizzati e la catena degli usi legittimi

6. specificare il tipo di algoritmo

7. specificare nel dettaglio il tipo di effetti

8. quantificare il numero di interessati coinvolti

9. pianificare una campagna informativa pubblica ma anche personale

10. documentare tutto rapidamente: il Garante lascia poco tempo.

Vediamo oggi come progettare un nuovo trattamento. Nelle prossime lezioni vedremo invece una sanzione per un nuovo trattamento aggiunto ai precedenti, nel settore della sanità.

L'esempio di un sondaggio me l'ha suggerito un cliente che lo sta preparando per coinvolgere la sua comunità.

E' uno sviluppatore che può personalizzare WordPress, ed è sensibile ai temi privacy.

Mi ha chiesto quindi dettagli legali e tecnici, per progettare correttamente il servizio. Non ha mancato di farmi mille domande e mi sono detto: e' perfetto per Udemy. Con lui sono stato un paio d'ore, qui per voi la sintesi in 30 minuti.

Incidentalmente gli ho citato una sconosciuta direttiva dell'Agcom che impone alcune scritte. Confidenza che passo anche qui, ovviamente.

Ecco i punti cardine:

• sondaggi e petizioni: cosa hanno in comune e cosa no sotto il profilo funzionale

• come gestire i doppi voti, l'identificazione e l'anonimato

• si possono conservare i dati per finalità storiche ?

• come dare prova del sondaggio?

• quali elementi legali ulteriori servono in caso di petizioni ?

• cosa impone la minimizzazione ?

• quali misure di sicurezza devo adottare a livello di codice e database ?

• sono dati anonimi  o pseudonimi ?

Il tutto distinguendo da trattamenti ben diversi come quelli delle carte fedeltà con sondaggi.

Per quanto molti preferiscano usare servizi già pronti, e' interessante ascoltare l'episodio anche per sentire come il Garante in casi precedenti ha deciso sulla minimizzazione e sulla durata.

Sanzionata Amazon per misura organizzativa sulle richieste informali di attestazione competenze dei lavoratori. Un errore di gestione, nemmeno colposo, 20.000 euro di sanzione.

La decisione del Garante riguarda un doppio problema:

• il dipendente vuole attestazioni delle competenze acquisite

• il riscontro si perde usando contatti diversi da quelli indicati

Conseguenze notevoli per le aziende e le strutture interessate: non e' nessaria una richiesta formale per essere sanzionati, e l'interessato puo' rivolgersi a chiunque

Gli errori

L'azienda inizialmente non è pronta a fornire attestati e certificati delle competenze acquisite e dei corsi di formazione seguiti.

Ne seguono richieste spontanee rifiutate, poi accolte.

I principi

• Il Garante ricorda che non e' necessario indicare l'art.15 o il GDPR per avviare una richiesta formale che va evasa entro 30 giorni.

• Ricorda che al richiesta puo' essere inviata a chiunque in azienda, e l'azienda non deve perderla.

Come dovremo organizzarci come aziende ?

• Tutti devono riferire all'unità competente

• La figura del DPO viene sottovalutata anche dal Garante, rendendo tutti competenti. Tuttavia nel caso concreto la figura non competente aveva girato l'email a chi di competenza, che l'ha persa.

• Verificare il software di ticket se "perde" le conversazioni che proseguono su altri canali

• I dati del lavoratore (ma anche di un eventuale cliente) prodotti internamente e durante il rapporto devono essere certificabili e attestabili senza complessità.

Il provvedimento del Garante e' il numero 9843805

Tema rilevantissimo sulla base delle sanzioni comminate a gennaio 2023 contro tre aziende ASL del FVG.

Titolari sono le aziende: la regione mette a loro disposizione un software comune.

A fini di medicina predittiva si introduce una modifica che per il Garante richiede consenso separato. Nessuno lo chiede e il Garante sanziona le ASL perche', eseguendo una legge regionale (senza parere preventivo del Garante), hanno effettuato un trattamento senza consenso idoneo. Restano titolari, e non devono eseguire una legge che omette di chiedere un nuovo consenso.

Il consenso esistente e' quello di medicina preventiva, mentre il per il Garante quello di medicina predittiva e' diverso perche' usa altri dati, in altro modo, e riguarda un numero di destinatari (interessati) diverso da quelli che hanno dato il consenso.

Al di la' del caso, che riguarda dati sanitari, valutato con gravità, il tema riguarda le aziende di un gruppo nei rapporti con la capogruppo.

Ad esempio nelle consegne a domicilio le capogruppo forniscono il software alle aziende. Se cambiano il trattamento dei dati, le aziende devono valutare se possono cambiare il trattamento senza chiedere un nuovo consenso.

Come si esce  dai dubbi ?

Approfondendo e comparando rigorosamente l'esistente e il nuovo trattamento, sulla base dei criteri indicati dalle linee guida 2/2019  (lett. 3.1) dell' EDPB sulla fornitura di servizi online, ma applicabile anche a questi casi.

In breve possiamo semplificarli nel valutare l'uguaglianza tra prima e dopo il nuovo trattamento de:

• i dati raccolti

• l'uso dei dati

• i destinatari (interessati) oggetto del trattamento

• fine del trattamento

• base giuridica del trattamento

• specificità del consenso fornito.

In breve il paragrafo 3.1 non consente di estendere il consenso, salvo ipotesi eccezionali.

1) Condizioni d'uso di Replika

6.4. Use of Replika by minors

If you are under 13 years of age, you are not authorized to use the Services, with or without registering. In addition, if you are under 18 years old, you may use the Services, with or without registering, only with the approval of your parent or guardian.

2) Privacy policy di Replika

8. Use of Replika by minors

We do not knowingly collect Personal Data from children under the age of 13. If you are under the age of 13, please do not submit any Personal Data through the Services. We encourage parents and legal guardians to monitor their children’s Internet usage and to help enforce our Privacy Policy by instructing their children never to provide Personal Data on the Services without their permission. If you have reason to believe that a child under the age of 13 has provided Personal Data to us through the Services, please contact us, and we will endeavor to delete that information from our databases.

3) Provvedimento del 2 febbraio 2023 [9852214]

VERIFICATA altresì l’assenza di meccanismi di interdizione o blocco anche a fronte di dichiarazioni dell’utente che esplicitino la sua minore età e la proposizione di “risposte” da parte della chatbot palesemente in contrasto con le tutele che andrebbero assicurate ai minori e, più in generale, a tutti i soggetti più fragili;

...

PRESO ATTO che anche diverse recensioni pubblicate nei due principali “App store” contengono commenti di utenti che lamentano contenuti sessualmente inopportuni forniti dalla chatbot Replika;

...

CONSIDERATO, altresì, che la richiamata privacy policy non può ritenersi conforme ai principi e agli obblighi previsti dal Regolamento in tema di trasparenza, nulla rivelando in merito agli elementi essenziali del trattamento con particolare riguardo all’utilizzo dei dati personali dei minori, con ciò ponendosi in contrasto con l’art. 13 del Regolamento;

...

RILEVATO, in particolare, che nei due principali “App store” l’applicazione viene classificata come idonea a persone maggiori di 17 anni, mentre, nei termini di servizio (aggiornati al 14 settembre 2022) pubblicati nel sito web dello sviluppatore viene indicato un divieto di utilizzo per i minori di 13 anni (PS: sono classificazioni mutuate dai videogiochi)

...

VERIFICATO che durante la fase di creazione di un account la piattaforma non prevede alcuna procedura di verifica e controllo dell’età dell’utente, di cui il sistema chiede solamente nome, e-mail e genere;

...

difetto di informativa deriva l’impossibilità di individuare la stessa base giuridica delle varie operazioni di trattamento effettuate dalla menzionata chatbot, dovendosi in ogni caso escludere che, con riguardo in particolare ai minori, questa possa – anche solo implicitamente – essere rinvenuta nella disciplina contrattuale, attesa la riconosciuta incapacità dei minori nell’ordinamento italiano a concludere contratti per la fruizione di servizi quale quello in oggetto che comportano una rilevante messa a disposizione di propri dati personali;

4) Considerando 75

I rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: ... se sono trattati dati personali di persone fisiche vulnerabili, in particolare minori; se il trattamento riguarda una notevole quantità di dati personali e un vasto numero di interessati.

...

5) Linee guida WP 259 rev.01 Gruppo di lavoro Articolo 29 Linee guida sul consenso ai sensi del regolamento (UE) 2016/679

adottate il 28 novembre 2017
come modificate e adottate da ultimo il 10 aprile 2018

...

Se l’utente afferma di aver raggiunto l’età del consenso digitale, il titolare del trattamento può effettuare controlli appropriati per verificare la veridicità della dichiarazione. Sebbene il regolamento non richieda esplicitamente di intraprendere sforzi ragionevoli per verificare l’età, tale necessità è implicita, poiché se un minore presta il consenso senza avere l’età sufficiente per prestare un consenso valido per proprio conto il trattamento dei dati sarà illecito.

Se l’utente dichiara di avere un’età inferiore a quella del consenso digitale, il titolare del trattamento può accettare tale dichiarazione senza ulteriori verifiche, ma dovrà ottenere l’autorizzazione dei genitori e verificare che la persona che esprime il consenso sia titolare della responsabilità genitoriale.

29
La verifica dell’età non deve comportare un eccessivo trattamento di dati. Il meccanismo scelto per verificare l’età dell’interessato dovrebbe prevedere una valutazione del rischio del trattamento proposto. In alcune situazioni a basso rischio, potrebbe essere adeguato richiedere al nuovo abbonato al servizio di rivelare il proprio anno di nascita oppure di compilare un modulo in cui dichiara di (non) essere un minore63. Qualora dovessero sorgere dubbi, il titolare del trattamento dovrebbe riesaminare i meccanismi di verifica dell’età nel caso di specie e valutare se siano necessari controlli alternativi64

...

6) La soluzione tecnica

La soluzione tecnica proposta parte dalle linee guida:

• il trattamento comporta rischi per i minori o i fragili ?

  • • se no:

      • verificare a campione quanti minori usano la piattaforma

      • se vi sono abusi / rischi specifici o generali evitabili modificando la piattaforma

    • se si:

      • il consenso deve essere valido

      • bisogna chiedere l'età

      • bisogna verificare la maggiore età a campione

      • bisogna approntare i meccanismi di raccolta di consenso per i genitori e i minori con relativi avvisi

      • potrà essere opportuno un DPO

      • documentare ex ante i rischi e le specifiche misure di sicurezza

      • l'algoritmo di verifica dell'età deve essere trasparente e prevedere l'intervento umano.

Le aziende delegano scelte strategiche ai tecnici, ma dovrebbero seguirle in prima persona

Penso al caso Italiaonline, Virgilio e Libero non riescono a fornire il servizio per un problema non da loro risolvibile, di un fornitore.

Ahime', il titolare risponde del fornitore, anche nella privacy, e una dichiarazione simile conferma che qualcosa non sia stato progettato correttamente: la sanzione potrebbe essere maggiore, si poteva evitare.

Una migrazione da un server ad un nuovo e' sempre traumatica. Soprattutto se riguarda la posta elettronica. A chi scrivo, se non gli funziona la posta ?

Prima della migrazione e' necessario pianificare un ipotetico data breach. Salta tutto ? Come consento comunque l'operatività dopo 4-5 di down ?

Pare infatti che vi sia stata di recente una migrazione a nuovo server. Migrazione che ha interessato tutti insieme i clienti, altra procedura sconveniente.

In breve quindi:

- si deve pianificare subito un piano b

- avviare migrazioni parziali

- consentire di contattare gli interessati attraverso altri metodi

- mantenere il vecchio servizio in funzione.

Il tutto va documentato, con tanto di analisi di rischio, misure di sicurezza e valutazione d'impatto.

Vediamo insieme cosa si deve fare prima e dopo.

Ma soprattutto, sapendo che dobbiamo informare tempestivamente, anche se non vi sono violazioni, dobbiamo fare molta attenzione alle dichiarazioni che saranno usate contro di noi.

I principi per definire un data breach sono quelli della cybersecurity:

- confidenzialità

- accessibilità

- Integrità

La Royal Mail subisce un attacco informatico. L'intero settore delle spedizioni internazionali paralizzato.

Come viene affrontato il problema in questo caso concreto che vi viene raccontato dai media ?

Nelle riflessione come ogni azienda puo' preparsi per tempo a gestire eventi come un data breach

I temi:

• soft spam e informativa da integrate ex art 130 comma 4

• indicare i terzi ai quali ceduti i dati personali

• nei contratti con i terzi indicare che sono titolari autonomi

Soft spam

L'azienda puo' effettuare soft spam senza chiedere consenso solo se informa adeguatamente e non vi e' rifiuto. Ma nell'informativa deve indicare l'art. 130 codice privacy comma 4.

CONSIGLIO: indicare nell'informativa l'art. 130 comma 4 e non il legittimo interesse come base giuridica in caso di consenso

la Società ha assicurato di aver utilizzato i dati raccolti senza un espresso consenso (basandosi sul proprio legittimo interesse) soltanto per inviare comunicazioni promozionali via e-mail inerenti a servizi già acquistati dagli interessati, non si rinvengono le violazioni indicate al punto 2.1 – fatto salvo quanto indicato al punto seguente con riguardo all’informativa - perché, pur avendo erroneamente qualificato la base giuridica, la Società di fatto ha trattato i dati in conformità alle norme

...

Con riguardo all’indicazione della base giuridica, richiamando quanto descritto al punto precedente, si ritiene errata la menzione del legittimo interesse del Titolare essendo necessario far riferimento alla più corretta disposizione di cui all’art. 130, comma 4, del Codice

Cessione a terzi

L'azienda cede a terzi i dati degli interessati. Lo fa correttemente, riceve un consenso libero e informato.

Ma il Garante ingiunge di indicare i terzi ai quali i dati sono ceduti. Un adempimento che era a scelta tra categorie di terzi e i terzi indicati esattamente.

Bakeca li aveva indicati tutte eccetto due, qualificandoli diversamente. Il Garante ritiene necessario l'ammonimento in un contesto dubbio.

CONSIGLIO: nella cessione a terzi indicare tutte le categorie e non le singole aziende

la Società aveva scelto di pubblicare i nomi dei soggetti terzi destinatari dei dati avendo escluso due partner perché considerati intermediari ed avendo difatti indicato solo i soggetti ultimi cui tali dati sarebbero stati comunicati. Solo in uno di questi due casi (XX S.r.l.) la Società non ha trasmesso numerazioni telefoniche pertanto avrebbe potuto indicare la categoria del Destinatario e non necessariamente la specifica denominazione (fatto salvo l’obbligo di fornire il dettaglio in caso di richiesta da parte degli interessati). Nel caso del partner XX invece – che in assenza di un’analoga precisazione dovrebbe aver ricevuto numerazioni telefoniche - ricorreva l’obbligo di indicare la denominazione specifica. In via generale, il Regolamento dispone infatti che nell’informativa il Titolare debba indicare i destinatari o le categorie di destinatari dei Dati personali, con ciò dovendosi intendere tutti i soggetti che ricevono i dati dal Titolare cedente.

Pertanto si ritiene integrata la violazione dell’art. 13, par. 1, lett. e) del Regolamento con riguardo alla mancata indicazione dei due menzionati partner. Tenuto conto che la Società ha comunque provveduto ad indicare nominalmente tutti i soggetti terzi e che, nel caso dei due partner indicati – dalla stessa comunicati in corso di accertamento ispettivo - ha erroneamente ritenuto sufficiente che bastasse indicare i destinatari finali, in assenza di dolo, si ritiene di poter soprassedere dall’applicazione di una sanzione amministrativo-pecuniaria e, verificato che attualmente l’informativa risulta integrata con i nominativi dei menzionati partner, può essere sufficiente

Contratti con i terzi

Il Garante impone nei contratti con i terzi di indicare che sono titolari autonomi e che devono trattare i dati a norma quando non sono responsabili del trattamento. Spieghiamo meglio.

Bakeca cede a terza i nomi. Che operano in autonomia. Pero' Bakeca li nomina come responsabili del trattamento, anche se sono aziende esterne, autonome e non vincolate. Quindi vanno indicate come titolari autonomi. Cosi' e piu' chiaro.

CONSIGLIO: nei dati ceduti a terzi, i terzi sono titolari autonomi, non responsabili del trattamento. Nei contratti vanno vincolati a trattare i dati a norma di legge.

Questione assai complessa, non risolta dal Garante che ha apprezzato il tentativo:

si evince che la Società trasmette i dati dei soggetti, che hanno conferito uno specifico consenso, a terzi che utilizzano tali dati per finalità promozionali. Tali soggetti terzi, secondo la qualificazione scelta da Bakeca, in alcuni casi operano in qualità di Responsabile del Trattamento. Tale attribuzione dei ruoli tuttavia non risulta corretta poiché basata sull’assunto che il modello di business comunemente identificato come attività di intermediazione o di gestione/valorizzazione di data base consenta di assimilare il soggetto che si occupa di tale gestione ad un soggetto che opera per conto di Bakeca o, più specificamente, che effettua un Trattamento di Dati personali per conto di Bakeca. Invece, il soggetto terzo che acquisisce i dati, generalmente li utilizzerà per arricchire una propria banca dati e/o per svolgere attività promozionale per conto di propri committenti, diversi da Bakeca. Ne consegue che il rapporto che intercorre tra Bakeca e i tali partner è verosimilmente riconducibile ad un rapporto fra autonomi titolari del Trattamento poiché il partner non effettua alcun Trattamento per conto di Bakeca ma esegue un’attività che lo lega a Bakeca solo dal punto di vista commerciale senza tuttavia avere rilievo anche sui ruoli nel Trattamento dei Dati personali.

...

Si deve comunque dare atto del fatto che la Società ha ritenuto di agire correttamente nominando i propri partner commerciali come responsabili del Trattamento perché tale soluzione appariva la più idonea ad offrire maggiori garanzie di controllo sulle banche dati affidate ai terzi attraverso apposite istruzioni volte ad evitare l’effettuazione di contatti indesiderati. Tuttavia, tale comprensibile esigenza di controllo non può essere soddisfatta utilizzando in maniera scorretta i ruoli previsti dalla normativa in materia di protezione dei Dati personali, ma può comunque trovare soddisfazione attraverso opportune previsioni contrattuali (che la stessa Bakeca ha posto in essere) che, anche in un rapporto tra Titolare e Titolare, possono garantire il corretto utilizzo delle banche dati.

Abbiamo visto insieme il Draft Report of the work undertaken by the Cookie Banner Taskforce - EDPB

lunga analisi legale e breve sintesi per le aziende

Adottato il draft sulle contestazioni sollevate da Schrems sui cookie banner.

Puntata rivolta ai colleghi piu' che alle aziende, che troveranno solo in coda le conclusioni sintetiche.

Emergono alcuni aspetti sottovalutati, pochi peraltro.

1. premesse: non è sufficiente rispettare le indicazioni del draft

2. fonti interpretative: direttiva eprivacy, e opionion 5/2019

3. oss: rinvio al meccanismo per farle valere

4. rifiuta: attenti a come viene formulato

5. preticked: libero, ma attenzione alla trappola del legittimo interesse

6. link o bottone: non si esprime, ma indica il criterio; mia riserva

7. colori e contrasto: omesso l'opportuno riferimento allo standard wcag

8. quali sono gli essenziali o tecnici: rinvio a opinion 4/2012. Si poteva fare di più

9. no withdraw icon: dettano un criterio per esporre i link.

In conclusione per le aziende:

1. riflessione sul tema registro dei consensi

2. i trattamenti standard

3. la trappola del tipo dei cookies

4. sintesi su libero consenso, scelta chiara, analitiche e link per le parti terze

Ripeto: episodio per gli interpreti che vogliono una sintesi della lettura del testo.

Per le aziende non ci sono rilevanti novità, e non si affronta nemmeno il tema del cookie wall.

ESERCITAZIONE

Lo sviluppo di uno strumento AI based richiede alcuni step:

• quale fornitore utilizzo ?

• quale modello di ai utilizzo ?

• uso soluzioni on premise o on demand ?

• la base di conoscenza è soggetta filtri ?

• la base di conoscenza è accresciuta con ulteriori documenti ?

• che tipi di dati possono essere inseriti dagli utenti finali ?

• che tipi di elaborazioni possono essere prevedibilmente richieste ?

• esistono disclaimer prima o durante l'uso ?

• esistono intent in caso di richieste di un certo tipo sensibile ?

• ho predisposto la DPIA per i trattamenti innovativi ?

• ho predisposto delle misure organizzative interne per valutare i rischi già durante lo sviluppo  ?

Per la rendicontabilità rispondere ad ogni domanda e tenerne traccia in un documento interno, datandolo e conservandolo, aggiungendo gli aggiornamenti quando necessario.

L'AZIONE DEL GARANTE

Il Garante ha bloccato ChatGPT minacciando la sanzione e anticipando che il trattamento dei dati e' già illegale.

Le aziende che operano nel settore dei chatbot, voicebot e delle live chat si interrogano su quali adempimenti.

Il disorientamento degli operatori e' notevole, perchè pochi consulenti hanno avuto la fortuna di occuparsi di:

1. interfacce conversazionali

2. compliance legale conversazionale

Questo video e' semplicemente l'occasione per capire in meno di un'ora:

1. come il Garante valuta i servizi

2. quali sono gli adempimenti

3. come progettare e i criteri per realizzare gli adempimenti

Ecco i temi trattati:

• I minori

• La raccolta dei dati per il deep learning

• Dati sintetici vs dati personali

• Dati pubblici, dati di personaggi famosi e dati personali

• Il consenso nella raccolta dal web e i motori di ricerca: differenze e analogie

• Il blocco di Replika

• Il blocco di ChatGPT - In che termini si parla di blocco

• Il metodo di indagine dei chatbot

• Il trattamento definito dai Garanti ad alto rischio e la DPIA

• Api, Schrems II, Titolari e Responsabili del Trattamento

• DPO: Quale ?

• I dati errati: rilievo e gestione delle richieste di cancellazione, modifica

• Deep learning e rigenerazione dei modelli

• L'informativa idonea non e' anche completa, e' adeguata e contestualizzata

• L'informativa conversazionale e la progettazione su un layer diverso dagli altri  fornitori

• Google e i diversi tipi di trattamento; differenze e somiglianze tra spider, motori di ricerca e OpenAI

• Le risposte, le fonti, le probabilità i contesti conversazionali e i layer distinti/concorrenti

• Rapporti tra utenti e titolare e reponsabili; reati e illeciti civili e amministrativi

• L'esempio delle conversazioni in tema di elezioni

• L'adeguamento del titolare tra strategie nella scelta del fornitore,

• L'accountability nelle conversazioni: progettazione e informativa

• La progettazione accessibile di informative legali conversazionali

Per le questioni legate al consenso si rinvia alla esercitazione alla lezione 15.

Il laboratorio fornisce una guida dettagliata sulla gestione delle newsletter.

Ecco dieci domande sulla prima parte. Rispondi mentre ascolti:

•     Quali sono i tre tipi di consensi che dovrebbero essere richiesti per la newsletter, secondo il Garante?

•     Perché è importante includere un link all'informativa completa sia nella pagina di consenso che nella conferma via email?

•     Quali dati dovrebbero essere raccolti per una newsletter?

•     Come gestire le attività di cancellazione e reiscrizione degli iscritti alla newsletter?

•     Qual è l'approccio consigliato per gestire le modifiche ai dati dell'utente nella newsletter?

•     Come dovrebbe essere strutturato il modulo di iscrizione alla newsletter?

•     Qual è l'approccio corretto per offrire un file scaricabile in cambio dell'iscrizione alla newsletter?

•     Quali sono i plugin menzionati nel testo per gestire consensi e informativi legati alla privacy?

Ecco altre dieci domande basate sulla seconda parte. Rispondi mentre ascolti:

•     Quali sono le principali differenze tra Iubenda e Complianz?

•     Secondo l'autore, chi dovrebbe utilizzare Iubenda e perché?

•     Quali sono i plugin consigliati per gestire le newsletter?

•     Perché si consiglia l'uso di software diversi per gestire le newsletter rispetto a quelli per generare l'informativa?

•     Come si possono tracciare i consensi ?

•     Qual è il consiglio per tracciare i consensi in modo economico?

•     Come viene gestito l'invio affidabile delle newsletter, e quali sono i problemi legati ad esso?

•     Quali sono i plugin consigliati per gestire le iscrizioni alla newsletter e tracciare i consensi?

•     Quali sono gli strumenti suggeriti per tracciare tutte le attività di posta elettronica all'interno di WordPress?

•     Quali sono le considerazioni importanti riguardo alla responsabilità nell'uso di servizi esterni come Brevo per la gestione delle newsletter?

  
  

(testi realizzati insieme ChatGPT e integrati a mano)

La Corte Europea viene investita della questione sui rapporti tra licenziamento del dipendente e autonomia del DPO.

Troppi rischi per le aziende: vale la pena ?

Nel video i consigli per strutturare dall'inizio il rapporto con il DPO in modo proficuo e senza incorrere nel rischio di non indipendenza.

Seguono i criteri.

Potranno essere utilizzati anche come esercitazione per valutare l'attuale situazione.

Nota.

Per il Garante avere un DPO sempre e' un vantaggio.

Per il GDPR il DPO va nominato se:

• il titolare e' un ente pubblico, anche parzialmente

• se si monitorano dati in larga scala

• se si trattano in larga scala dati particolari (sanitari, sessuali,politici, sindacali, religiosi, giudiziari)

Si noti che nel trattamento dei dati sanitari dei lavoratori e' il medico del lavoro titolare. Non e' il trattamento occasionale di un data particolare che obbliga a nominare un DPO

Ecco i criteri da valutare alla scelta di un dpo:

• [_] non puo' essere un amministratore ne' ruoli direttivi che trattino dati personali

• [_] se e' un dipendente, non deve decidere i trattamenti privacy

• [_] se e' una azienda, bisogna indicare il referente perche' va designato nominalmente

• [_] deve avere un budget adeguato per essere autonomo nei controlli

• [_] deve essere presente per chiedere a chiunque come tratta i dati

• [_] va incaricato riportando pedissequamente gli articoli del GDPR che indicano nel dettaglio i compiti

• [_] puo' proporre nuove modalità, ma le devono decidere altri.

• [_] non puo' essere un amministratore

• [_] non puo' essere simbolico: deve avere accesso

• [_] deve potersi aggiornare e deve poter formare i dipendenti, sempre senza decidere come trattare i dati

• [_] deve essere competente degli aspetti tecnici e anche di quelli legali

• [_] la nomina e la cessazione devono essere comunicate al Garante con apposita procedura online

• [_] deve essere pronto a rispondere agli interessati e ai dubbi degli addetti

• [_] deve collaborare con il Garante: se e' autorevole e' un vantaggio.

• [_] deve essere raggiungibile in caso di ispezione, senza preavviso (secondo la GdF).

• [_] IMPORTANTE: deve essere un contratto a tempo determinato. Non potendo essere licenziato, va tenuto fino a scadenza.

Importante.

Per le aziende che sono responsabili del trattamento, fornitori di servizi, il trattamento e' formalmente deciso dal titolare, anche se esse hanno organizzato il servizio.

In questo casi e' corretto chiedere al titolare che il DPO del titolare sia anche il DPO del responsabile per i trattamenti presso il fornitore.

Cio' non toglie che il fornitore dovrà avere un proprio DPO per i trattamenti propri che decide internamente, per i quali opera pero' come titolare.

Per la PA ed enti di natura pubblica e' sempre necessario un DPO e non e' una carica formale.

Un approccio con il DPO e' informarlo di ogni nuovo trattamento per avere una sua valutazione non vincolante sul cosa sia necessario fare o se il progetto e' adeguato. Il DPO tuttavia non potrà essere coinvolto nella decisione, ma solo a titolo valutativo.

Concordo con chi ritiene che il DPO, presente, e' una risorsa che puo' indirizzare meglio una azienda. Cosi' sembra necessario avere un consulente che indichi il percorso da seguire, e il DPO che ne valuti l'adeguatezza. Questo a garanzia della sua indipendenza.

Anche in presenza di una legge, ogni nuovo trattamento puo' non essere ritenuto adeguato, cosi' come avviene attualmente per la sperimentazione clinica.