Skip to main content

La tirannia del titolare del trattamento



Con il Regolamento UE 2016/679 (“GDPR”) è stata introdotta una normativa che, in realtà, semplifica molti aspetti nel settore, ma che una parte consistente – e non necessariamente autorevole – di coloro che hanno esposizione sui media e sui social, ha voluto battezzare come pietra miliare della privacy, presentandola, peraltro, come contorta e pericolosa in termini sanzionatori.
Molti dei tratti caratteristici del GDPR riguardano il metodo; quando, nel corso di una delle mie lezioni,  illustro il Regolamento, sono solito disegnare una linea, sulla quale, ad un dato punto, traccio una tacca: ciò, per spiegare che il GDPR, rispetto alla direttiva e alle relative norme attuative, sposta in avanti il momento del controllo (la tacca, appunto), comunicando a chi lo deve applicare: “implementa la sicurezza dei dati come ritieni opportuno, poi l’Autorità o l’interessato condurranno i propri controlli o eserciteranno i propri diritti”.
Ai fini del GDPR non è rilevante se la tua password sia di otto caratteri o di dodici, l’importante è che il tuo sistema non venga violato o, per lo meno, che il sistema sia pensato per abbattere i rischi che incombono sui trattamenti dei dati personali e, quindi, sui diritti fondamentali degli interessati.
Nel caso del rapporto tra un titolare e i terzi che trattano i dati, operando per lui, con lui, al suo posto, ho osservato un fenomeno che desta qualche preoccupazione: è come se si creasse una sorta di cortocircuito, tale per cui, nel rapporto con i terzi, viene individuata la maggior vulnerabilità/fonte di criticità dell’intero sistema.
Il titolare, perfetto e preciso nel proprio sistema di trattamento dei dati, vuole evitare che un terzo, pasticcione, rappresenti un “buco” – e possa quindi costituire un pericolo – nella propria muraglia di sicurezza.
D’altro canto, il Titolare cerca di semplificare (ma in modo grossolano), standardizzando, senza prima analizzare adeguatamente i trattamenti al fine di distinguere tra quelli condotti in prima persona e quelli condotti attraverso terzi.
Sovente, quando mi trovo a supportare enti che sono nella posizione di “Responsabili del trattamento”, mi capita che mi venga sottoposta la corrispondenza proveniente dai diversi Titolari, o presunti tali, contenente proposte di “accordo”, ove il titolare chiede al Responsabile di rendergli noto quali dati tratta e quali trattamenti conduce, oppure impone l’adozione della cifratura del dato, pur in presenza di trattamenti a basso rischio per i diritti e le libertà fondamentali degli interessati.
Altro errore ricorrente – che sembra dettato dalla paura, dall’arroganza o, forse, dall’ignoranza – è quello per cui - continua a leggere su ictsecuritymagazine.com -

Comments

Popular posts from this blog

Telemarketing, call center e regole disattese

Oggi mi sono imbattuto in questa notizia.

I Call center potranno, se passa questo emendamento, contare su un'ulteriore proroga (si veda il comma 6) del famigerato decreto (poi convertito in legge) che a febbraio 2009 concesse l'uso dei dati personali per attività di teleselling fino al dicembre 2009 introducendo questo articolo:
"1-bis. I dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1º agosto 2005, sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del decreto legislativo 30 giugno 2003, n. 196, dai soli titolari del trattamento che hanno provveduto a costituire dette banche dati prima del 1º agosto 2005".
Eppure nel marzo del 2009 il Garante, proprio per far fronte a quella cha aveva definito come una “selvaggia aggressione”, aveva promulgato un ulteriore provvedimento sfruttando i poteri riconosciuti alle autorità amministrative indi…

Autorità Amministrative indipendenti e gerarchia delle fonti

Torno, come promesso, a parlare di autorità amministrative indipendenti e, per consecutio logica, delle problematiche relative al valore che può attribuirsi ai pronunciamenti nel contesto della gerarchia delle fonti considerato che le due questioni sono, a mio avviso, facce della stessa medaglia.

In particolare ad essere oggetto di esame è il difficile equilibrio tra Legge e Provvedimenti del Garante Privacy che, da tempo, è oggetto di controversie interpretative. Basti pensare al Provvedimento di natura prescrittiva sugli Amministratori di sistema: perché alcune indicazioni di natura generale diventano obbligatorie, vincolanti e foriere di sanzioni (penali e civili) per il Titolare che ne ometta l’applicazione quando né il vigente Codice Privacy né altre leggi accennano a questa figura (da non confondersi con l’operatore di sistema di cui alla novellata legge sui crimini informatici)?

Per poter dare una risposta vale la pena partire da quanto affermato nel precedente post: l’Autorità …

Disinformazione e informazione ... [Update]

Leggo spesso di catene di S. Antonio lanciate per tutelare situazioni fasulle:
- liberare donne condannate alla lapidazione (con appelli che giungono dopo la grazia oppure dopo l'esecuzione della condanna a morte);
- ottenere organi per bambini senza indicare neanche un gruppo sanguigno ovvero un recapito effettivamente utile (senza contare le restrizioni che impedirebbero il reperimento "open" di organi);
- boicottare questa o quella multinazionale.
Questo post l'ho pensato per invitare chi lo legge, intenzionalmente o per caso, a riscontrare le informazioni per non dare eco immeritata a: truffe, raggiri, campagne demagogiche o fasulle.
Quante volte sentiamo affermazioni su: cibi scaduti, mozzarelle blu, ...
Per aiutare a individuare le fonti che possono supportarci nell'attività di "riscontro", ecco il link della "Direzione generale per l'igiene e la sicurezza degli alimenti e la nutrizione" del Ministero della Salute, sezione "Arc…