Le strutture sanitarie devono adottare tutte le misure tecniche e organizzative adeguate per garantire che il trattamento dei dati personali dei pazienti rispetti la normativa sulla privacy. Lo ha ribadito il Garante per la protezione dei dati personali nel comminare una sanzione di 10mila euro a un Centro medico che aveva scambiato nel proprio database i dati e le informazioni sanitarie di due pazienti omonimi.
Sarà probabilmente capitato almeno una volta anche a voi di essere aggiunti a un gruppo di WhatsApp senza che nessuno ve ne chieda il permesso, e non sempre l’amministratore che vi include vi fa una gradita sorpresa. D’altra parte l’app di messaggistica di Facebook neanche vi facilita nell’evitare tali ingerenze nella vostra sfera privata che talvolta possono risultare pure fastidiose, perché per impostazione predefinita chiunque possieda il vostro numero di telefono può aggiungervi in un gruppo da questo amministrato. Ma in certi casi chi vi inserisce nel proprio gruppo senza chiedervi il consenso può essere sanzionato per violazione della privacy.
Chiedere lumi al Dpo fa sempre bene al titolare del trattamento. Anche solo per abbassare l’importo della sanzione per violazione della normativa sulla protezione dei dati. Ma qual è il ruolo del Data Protection Officer? A ben vedere, in effetti, il Dpo si mette sempre in gioco e rischia, al di là di quanto gli competa, di diventare una posizione di garanzia o, altrimenti detto, un parafulmine. Sullo sfondo, il Considerando 77 del Gdpr, neppure tanto di sottecchi, ormai allunga la sua ombra: un “Considerando” che dota il Dpo di super poteri, ma che poi lo colloca su un piedistallo scivoloso; un “Considerando” che mette l’acceleratore a una priorità assoluta e cioè avere un repertorio delle “indicazioni del Dpo” per specifici settori.
La Hellenic Bank aveva affittato dei locali per una propria filiale di Nicosia, ma quando nel 2015 decideva di trasferirsi dimenticava letteralmente un vecchio caveau dotato di chiusura a chiave che era stato costruito in un muro dell’edificio. Successivamente, dal 2015 al 2019 il negozio era rimasto sfitto, ma quando finalmente i locali erano stati nuovamente affittati dal suo proprietario, i nuovi inquilini scoprivano con sorpresa l’esistenza del caveau abbandonato, e perciò decidevano prontamente di avvertire la banca, ma qundo i funzionari dell'istitituto si recavano sul posto per aprire i locali blindati non vi trovavano all’interno lingotti d'oro o mazzette di banconote, bensì vecchie pratiche e file di clienti ed ex clienti che vi erano stati riposti all'epoca.
Una compagnia di assicurazioni tedesca aveva organizzato dei concorsi a premi, ma ai partecipanti non aveva chiesto solo i loro dati personali di contatto, ma anche altre informazioni come i dettagli della loro assicurazione sanitaria con lo scopo di utilizzarli a fini pubblicitari, senza però aver ottenuto un regolare consenso dagli interessati.
Le strutture sanitarie devono adottare tutte le misure tecniche e organizzative necessarie per evitare che i dati dei loro pazienti siano comunicati per errore ad altre persone. Lo ha ricordato il Garante per la privacy nel sanzionare due ospedali e una Asl per le violazioni di dati personali causati non da attacchi informatici esterni, ma da procedure inadeguate e da semplici errori materiali del personale.
Da mercoledì si completa il quadro della nuova privacy in chiave europea. Il 19 settembre entra, infatti, in vigore il decreto legislativo 101, che ha coordinato le vecchie norme nazionali in materia di riservatezza con il sistema introdotto dal regolamento Ue 679 (il cosiddetto Gdpr), diventato operativo il 25 maggio. Tra tre giorni, dunque, gli operatori pubblici e privati avranno tutti gli strumenti per muoversi tra i nuovi obblighi - a cominciare dalle procedure per il condono delle vecchie sanzioni, il cui pagamento va effettuato entro il 18 dicembre - anche se la navigazione si preannuncia complicata.
La piattaforma social non può sfruttare la rubrica caricata per «invitare un amico». E non si può mandare una mail informativa per chiedere il consenso a ricevere successive proposte commerciali. Questi i principi formulati dal Garante della privacy del Belgio, con la pronuncia n. 25 del 14/5/2020, che ha inflitto a una piattaforma una sanzione di 50 mila euro. Il garante belga si è espresso, previa consultazione di tutti i garanti europei, sulla base delle norme del Regolamento Ue sulla protezione dei dati n. 2016/679 (Gdpr) e, pertanto, i principi espressi devono essere valutati in tutti gli stati dell'Unione.
Con l’acquisto del caffè arrivava anche la telefonata di disturbo. Il Garante privacy ha comminato una sanzione di 70mila euro ad una società produttrice di caffè per aver promosso il proprio marchio attraverso telefonate indesiderate, insistenti e concentrate nel tempo, rivolte per lo più ad utenti iscritti nel Registro delle opposizioni.
Come da prassi prevista dalle norme antiriciclaggio avevano chiesto al cliente le motivazioni riguardo la finalità del cospicuo prelievo di 85.000 euro che egli aveva richiesto di effettuare, e a seguito della risposta ironica che avevano ricevuto non riuscivano a trattenersi dal condividere la mail con altri colleghi su WhatsApp, che a loro volta condividevano con altri ancora, a tal punto che la comunicazione è arrivata infine su Facebook diventando virale. Se i bancari trovavano divertente il messaggio che circolava da un social ad un altro, non rideva però l’autorità per la privacy, che dopo aver accertato i fatti irrogava alla banca una sanzione da 100mila euro.
