Skip to main content

Data Breach "istituzionale" nel Regno Unito ... HSCIC chiede il consenso per nulla ...

Un recente provvedimento dell'Information Commissioner's Office (https://ico.org.uk/) ha reso manifesto un timore che da anni serpeggia nel Regno Unito (e non solo) e che è al centro dei confronti tra le associazioni a tutela degli assistiti/pazienti/interessati al trattamento.
Dal documento citato, si rileva che il "Garante" britannico è stato interessato di un'anomalia legata alla possibilità che l'assistito esprima il proprio consenso al trattamento dei dati per finalità ulteriori rispetto a quella di cura ...
In particolare, nel gennaio 2014, il HSCIC ha offerto ai pazienti la possibilità di esercitare lo opt-out, attraverso la "type 2 objection", scegliendo così se negare o meno l'uso delle proprie informazioni confidenziali per "uses other than direct care" ...
Il disservizio alla base dell'incidente è consistito nel non dare corrispondenza tra la scelta proposta al paziente e l'effetto sul trattamento dei dati dello stesso.
In realtà quanto accaduto è da imputarsi a un connubio di questioni tecniche unite a limiti di natura normativa che in alcuni casi hanno consigliato il HSCIC di condividere informazioni ritenendo di avere una legittimazione tale da non assecondare la volontà dell'interessato.
Letteralmente, lo ICO riporta che "HSCIC was not able to collect, record or implement the type 2 objections registered by patients with their GPs" (intendendosi, sostanzialmente, per GPs i MMG).
L'evento ha riguardato circa 700.000 pazienti.
Questo esempio ricorda un po' la raccolta differenziata che viene condotta in alcune città italiane, essa inizia prima che esistano i siti di smaltimento dei rifiuti ... ma questa transizione può andare avanti per anni ... in materia di protezione dei dati questo approccio è inaccettabile ...
In seguito al provvedimento del Segretario di Stato, in materia di salute (Direction to HSCIC del 15 aprile 2016), sono stati creati i presupposti  normativi per assolvere alle richieste di opt-out degli interessati.
Tuttavia lo ICO, contro il menzionato comportamento del HSCIC, ha adottato un provvedimento articolato in 7 punti.
Sostanzialmente, lo ICO chiede a HSCIC di provvedere in un arco di tempo compreso tra i 3 e i 6 mesi (non si tratta di un range ma di adempimenti differenti con tempistiche differenti),  
tempi di attuazione della decisione ICO
a rimediare ai comportamenti posti in essere in violazione del Data Protection Act, attraverso l'adozione di procedure che rendano effettiva l'espressione, da parte del paziente, della "type 2 objection", la segnalazione dell'illiceità del trattamento dei dati dei pazienti raccolti tra il 2014 e il 2016, a coloro ai quali sono stati comunicati, nonchè alla distruzione dei data base viziati dal comportamento illecito.
 
Restiamo alla finestra in attesa di sviluppi ...

Comments

Popular posts from this blog

Samsung, LG, Apple ... per molti di noi basta Zopo ...

Spesso ci si lascia trascinare dalle campagne di marketing, lasciando che queste offuschino la nostra capacità di giudizio. Questo gioca 2 volte a nostro sfavore: 1) a causa della sindrome da Geek, ci facciamo andare bene caratteristiche che non sono realmente innovative; 2) spendiamo i nostri soldi in modo non sempre coerente con le nostre esigenze. Un giro su questo sito ( www.zopomobile.it ) e sui diversi modelli proposti, può farci risparmiare un po' di soldi con, tutto sommato, poche rinunce. Direte voi: ma la qualità e l'innovazione delle Big non sono paragonabili . Allora io vi rispondo: ma il baraccone che sta mettendo su Samsung per poi cercare di venderci il Galaxy S4 con un processore 4 core quando qualcuno, nel mondo, allo stesso prezzo, avrà la versione octa core, non è indegno? Oppure i "re-styling" di Apple che aggiunge un centimetro di lunghezza all' iPhone 4s e lo rivende come "nuovo" ... valgono i 700 eu...

Telemarketing, call center e regole disattese

Oggi mi sono imbattuto in questa notizia . I Call center potranno, se passa questo emendamento, contare su un'ulteriore proroga (si veda il comma 6) del famigerato decreto (poi convertito in legge) che a febbraio 2009 concesse l'uso dei dati personali per attività di teleselling fino al dicembre 2009 introducendo questo articolo: "1-bis. I dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1º agosto 2005, sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del decreto legislativo 30 giugno 2003, n. 196, dai soli titolari del trattamento che hanno provveduto a costituire dette banche dati prima del 1º agosto 2005". Eppure nel marzo del 2009 il Garante, proprio per far fronte a quella cha aveva definito come una “selvaggia aggressione”, aveva promulgato un ulteriore provvedimento sfruttando i poteri riconosciuti alle autorità amministrative...

Novità: a proposito di 231 e reati privacy ...

Scorrendo un Disegno di legge discusso ieri in Commissione alla Camera, mi sono soffermato nella lettura di questa proposta emendativa:  " Al comma 2 sopprimere le parole:  e di cui alla Parte III, Titolo III, Capo II del decreto legislativo 30 giugno 2003, n. 196 ". ops sono appena scomparsi i "reati privacy" introdotti con decreto legge 14 agosto 2013, n. 93? Ovviamente da giuristi dobbiamo attendere che la legge di conversione segua il suo iter parlamentare e venga emanata, tuttavia non è novità di poco rilievo.   Rimaniamo in attesa di sviluppi ...