Torna al blog
Compliance integrata: un caso concreto della capacità di cooperazione tra DPO e OdV,

Per realizzare una compliance integrata effettiva in azienda tra DPO e OdV è utile analizzare una situazione concreta che ci consentirà di affrontare tale questione sotto diversi punti di vista, mettendo in luce la capacità della cooperazione tra i due organi di controllo interno di penetrare al di là delle apparenze.
https://www.cybersecurity360.it/legal/privacy-dati-personali/compliance-integrata-un-caso-concreto-della-capacita-di-cooperazione-tra-dpo-e-odv/

ODV e DPO alla prova dei fatti. Come affrontare un data breach. Esempi casi e riflessioni.

In caso di data breach, il DPO deve assistere il titolare del trattamento nell’attuare la relativa procedura di gestione. Ma è tenuto a comunicare automaticamente all’OdV ogni violazione dei dati, o ci sono criteri specifici che devono guidare questa decisione? Una riflessione sull’importanza della cooperazione proattiva con l’OdV per garantire un flusso efficace di informazioni.
https://www.cybersecurity360.it/legal/privacy-dati-personali/il-dpo-deve-comunicare-allodv-un-data-breach-esempi-casi-e-riflessioni/

Privacy e processo civile: la tutela dei dati personali secondo la Corte di Giustizia UE.

La Corte giustizia Unione Europea, Sez. III, Sent., (data ud. 02/03/2023) 02/03/2023, n. 268/21, ha stabilito che " Nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale deve prendere in considerazione gli interessi delle persone di coinvolte e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui si tratta e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’art. 5, paragrafo 1, lettera c), del Regolamento UE 2016/279 (GDPR)".
Il principio quindi riaffermato ancora una volta dalla Corte Ue è che "qualsiasi trattamento di dati personali, compreso un trattamento effettuato dalle autorità pubbliche quali le autorità giurisdizionali, deve soddisfare le condizioni di liceità fissate dall'articolo 6 GDPR".

Il Garante Privacy sanziona la Regione Lazio: illecito controllo di metadati delle e-mail dei dipendenti.

Il caso nasce dalla segnalazione di un sindacato che aveva lamentato un monitoraggio posto in essere dall’amministrazione sulla posta elettronica del personale in servizio presso gli uffici dell’avvocatura regionale. Nel corso dell’istruttoria, l’ente pubblico aveva dichiarato di aver avviato una verifica interna sulla base del sospetto di una possibile rivelazione a terzi di informazioni protette dal segreto d’ufficio. Oggetto del monitoraggio, i metadati relativi ad orari, destinatari, oggetto delle comunicazioni, peso degli allegati. 

E' illegittimo pertanto il controllo dei metadati della posta elettronica dei dipendenti senza adeguate tutele per la riservatezza e in violazione delle norme che limitano il controllo a distanza dei lavoratori.

Il Garante per la privacy ha quindi comminato nei confronti della Regione Lazio una sanzione di 100.000 euro e vietato i trattamenti tuttora in corso, oltre alla cancellazione di quelli sinora raccolti.
(https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9833530)


Tik Tok: per pubblicare immagini del minore serve il consenso di entrambi i genitori.

Il Tribunale di Trani, per la prima volta, con l'ordinanza resa in data 30 agosto 2021 ha ordinato la rimozione delle immagini della figlia minorenne dal profilo della madre, pubblicate senza il consenso del padre, prevedendo anche una penale di 50 Euro per ogni giorno di ritardo. Con richiamo alla normativa nazionale, comunitaria e internazionale, il Giudice ha stabilito che:

"Tale comportamento integra violazione di plurime norme, nazionali, comunitarie ed internazionali: art. 10 c.c. (concernente la tutela dell'immagine), artt. 1 e 16 I co. della Convenzione di New York del 20.1111989 ratificata dall'Italia con L. n. 176/1991 (in particolare, l'art. 1 prevede l'applicazione delle norme della convenzione ai minori di anni diciotto mentre l'art. 16 stabilisce che "1. Nessun fanciullo sarà oggetto di interferenze arbitrarie nella sua vita privata, nella sua famiglia, nel suo domicilio o nella sua corrispondenza e neppure di affronti illegali al suo onore e alla sua reputazione. 2. Il fanciullo ha diritto alla protezione della legge contro tali interferenze o tali affronti"); art. 8 Reg. 679 /2016 (entrato in vigore il 25.5.2018) che considera l' immagine fotografica dei figli dato personale, ai sensi del c.d. Codice della Privacy (e specificamente dell'art. 4, lett. a), b) c) D.Lgs n. 196/20039 e la sua diffusione integra un'interferenza nella vita privata, sicchè nel caso di minori di anni sedici, è necessario che il consenso alla pubblicazione di tali dati sia prestato dai genitori, in vece dei propri figli, concordemente fra loro e senza arrecare pregiudizio all'onore, al decoro e alla reputazione dell'immagine del minore (art. 97 L.n. 633/41). In tale prospettiva, il legislatore italiano, all'art. 2 quinquies del D.Lgs. 101/2018 ha fissato il limite di età da applicare in Italia a14 anni".

La questione apre una profonda riflessione e, quindi, anche l'urgenza di predisporre adeguati strumenti normativi per regolamentare la diffusa pratica del cd. sharenting (diffusione e condivisione sui social di foto dei propri figli) per contrastare le frodi d'identità.
In questa prospettiva, proprio l'Ordinanza citata, ha richiamato il considerando 38 del GDPR che  recita  “i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali”.