Il Garante per la privacy ha fornito le linee guida per l’archiviazione, la conservazione e l’utilizzo delle password . La rilevanza del citato documento trae origine dalla sempre crescente frequenza di attacchi di tipo informatico a fronte della generalizzata diffusione di servizi informatici (ed annessi portali), accessibili previo percorso di autenticazione. Il documento pone, quindi, l’attenzione sulla necessità di utilizzare robuste funzioni crittografiche di password hashing . Nei vari capitoli che lo compongono, il documento si prefigge anzitutto di definire il concetto (e sulle proprietà che debbono caratterizzarlo) di password hashing , per poi indicare gli algoritmi più comunemente utilizzati, e quelli maggiormente raccomandati (ed annessi parametri).
Il cosiddetto diritto “all’oblio” si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari che hanno “reso pubblici” i dati personali dell’interessato, ad esempio pubblicandoli su un sito web, di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”. L’interessato ha il diritto di chiedere la cancellazione dei propri dati, per esempio, anche dopo revoca del consenso al trattamento. Con particolare riferimento al diritto all’oblio delle persone guarite da un tumore, è partito l’iter per mettere a punto i provvedimenti attuativi come disposto dalla nuova legge 193 del 2023 entrato in vigore il 2 gennaio di questo anno. In particolare, la legge introduce il diritto delle persone guarite a non dare informazioni, né a subire indagini sulla precedente condizione di pazienti quando sottoscrivono un contratto o una polizza assicurativa Un settore su cui la nuova normativa avrà un impatto significativo è proprio quello delle assicurazioni e in particolare della polizze vita Per realizzare questi obiettivi antidiscriminatori, si prevede che l’assicurato possa rifiutarsi di fornire (all’assicuratore o all’intermediario) informazioni su malattie oncologiche guarite da oltre dieci anni e/o posa chiedere il diritto alla cancellazione se i dati siano in possesso della stessa. A ciò si aggiunga che tali informazioni, in qualunque modo ottenute, possano incidere sulle condizioni contrattuali e/o limitare il rinnovo e/o causare aumenti di costi e/o istituti contrattuali quali franchigie. È inoltre disposto il divieto alle imprese di assicurazione e ai loro intermediari di «richiedere l’effettuazione di visite mediche di controllo e di accertamenti sanitari» per verificare, in vista della stipula di una polizza, l’esistenza di tumori guariti. Le nuove norme non si applicano ai contratti in corso ma alle sole polizze stipulate dopo l’entrata in vigore della legge, senza attendere i decreti attuativi.
L’Autorità per la prima volta ha sanzionato il gestore di un sito di dating online, per aver violato i dati personali di circa 1 milione di iscritti. In particolare, il Garante ha rilevato ha rilevato l’illiceità dei trattamenti dei dati degli utenti, tra cui quelli relativi alle preferenze e agli orientamenti sessuali. Non solo, il titolare del sito non disponeva di una specifica privacy policy relativa alle tempistiche di conservazione dei dati e non aveva redatto il registro delle attività di trattamento, né aveva nominato il responsabile della protezione dati (RPD), né predisposto la valutazione d’impatto (DPIA). In considerazione delle numerose violazioni riscontrate, il Garante, oltre alla sanzione pecuniaria (di 200 mila euro), ha ordinato alla società che gestisce il sito di adottare una serie di misure correttive volte a conformare i trattamenti alla normativa privacy. La società, oltre ad individuare tempistiche di conservazione delle informazioni personali trattate, a cancellare i profili utenti la cui conservazione risulti eccedente e a redigere la valutazione d’impatto, dovrà dotarsi di sistemi volti a rafforzare la sicurezza dei dati dei clienti, quali, ad esempio, misure di cifratura o di pseudonimizzazione dei dati sensibili, file di log dotati di marche temporali, sistemi antintrusione. Vista l’importanza del tema, il Garante ha anche pubblicato la guida dal titolo “ Quando insegui Cupido online, fai attenzione alla privacy! ” per aiutare gli utenti dei siti di dating online a tutelare la propria privacy.
Per richiamare l’attenzione su alcuni aspetti che potrebbero essere in contrasto con la disciplina di protezione dei dati e le norme a tutela del lavoratore, l’Autorità ha recentemente pubblicato il documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” , con cui - in particolare - veniva indicato in 7 giorni, estensibili di 48 ore per comprovate esigenze, il periodo di conservazione dei metadati degli account dei servizi di posta elettronica. Per rispondere alle numerose richieste di chiarimenti ricevute, il Garante ha deciso di differire l’efficacia del documento di indirizzo e promuovere una consultazione pubblica di 30 giorni sulle forme e modalità di utilizzo che renderebbero necessaria una conservazione dei metadati superiore a quella ipotizzata nel documento di indirizzo. Datori di lavoro pubblici e privati, esperti della disciplina di protezione dei dati e tutti i soggetti interessati avranno a disposizione 30 giorni, a partire dalla pubblicazione in Gazzetta ufficiale, per inviare al Garante le proprie osservazioni, i commenti, le informazioni, le proposte e tutti gli elementi ritenuti utili, tramite posta ordinaria o alle caselle protocollo@gpdp.it oppure protocollo@pec.gpdp.it.
La riforma Cartabia ha inteso estendere il procedimento di sfratto anche all’affitto di azienda. A pochi mesi dall’entrata in vigore della riforma, però, i Tribunali non sono concordi sull’ammissibilità del procedimento. Il Tribunale di Roma, infatti, sembra aver adottato un orientamento negativo, condiviso pure dal Tribunale di Foggia (ordinanza 16 ottobre 2023), mentre il Tribunale di Milano (ordinanza 18 dicembre 2023) come quello di Verona ritengono ammissibile il procedimento di sfratto anche in caso di affitto di azienda. Si auspica che intervenga a breve un intervento del Ministero ovvero che si formi un indirizzo giurisprudenziale univoco sul punto.
La Commissione crisi, ristrutturazione e risanamento d’impresa dell’Ordine dei dottori Commercialisti ed Esperti contabili di Milano ha elaborato uno strumento dove affronta il tema dei finanziamenti in ambito di crisi delle realtà produttive analizzando sia gli istituti di riferimento sia i problemi di maggior rilievo.
Il Garante privacy ha comminato una sanzione di 1.000 euro a un amministratore di condominio che aveva installato un sistema di videosorveglianza senza la delibera dell’assemblea condominiale. La delibera condominiale rappresenta infatti il presupposto di liceità del trattamento realizzato mediante telecamere. Nel caso oggetto del provvedimento, i condomini erano stati avvisati dell’installazione delle telecamere con una e-mail. Dall’istruttoria del Garante, avviata a seguito di un reclamo di un condomino, era risultato che presso il condominio era stato istallato un sistema di videosorveglianza composto da due telecamere, posizionate all’esterno dell’edificio, il cui angolo di visuale era esteso all’area destinata al parcheggio e al cancello di accesso, con parziale visione della strada pubblica. L’informativa che avvertiva della presenza delle telecamere per quanto fosse segnalata da alcuni cartelli era priva dell’indicazione del titolare del trattamento. Il dispositivo poi, oltre a riprendere le immagini, consentiva di visualizzarle mediante un telefonino in possesso dell’amministratore. Nelle sue memorie difensive l’amministratore aveva dichiarato che, essendo i condomini concordi nella necessità di provvedere all’installazione di un impianto di videosorveglianza per far fronte ai continui danneggiamenti che si verificavano nell’area antistante il condominio, aveva installato l’impianto in via d’urgenza, riservandosi di adottare la delibera condominiale alla prima occasione utile. Nel suo provvedimento di sanzione l’Autorità ha ricordato che, laddove i condomini siano d’accordo sulla tutela degli spazi comuni, per procedere all’installazione delle telecamere è necessaria una delibera condominiale a cui l’Amministratore deve dare esecuzione. La delibera è infatti lo strumento attraverso cui i condomini concorrono a definire le caratteristiche principali del trattamento, andando a individuare le modalità e le finalità del trattamento stesso, i tempi di conservazione delle immagini riprese, l’individuazione dei soggetti autorizzati a visionare le immagini. In assenza della delibera condominiale, adottata come richiesto dal codice civile a maggioranza, il trattamento non può essere correttamente imputato al condominio, con conseguente attribuzione della qualifica di titolare all’Amministratore. Il trattamento effettuato dall’amministratore è quindi risultato illecito e ha determinato l’applicazione della sanzione.
L’OCC Emilia ha predisposto un vademecum per fornire indicazioni ai professionisti nominati in seno a procedure di gestione della crisi per un corretto adempimento dell’incarico. Trattasi di buone prassi da seguire in materia di avvio della procedura, audizione del debitore, predisposizione del preventivo, gestione della procedura su Fallco Gestore, chiusura della procedura.
L'11 ottobre 2023 il Tribunale di Roma ha approvato l'aggiornamento delle tabelle per il ristoro del danno non patrimoniale poi pubblicate il 10 novembre 2023 in sostituzione delle precedenti del 2019. Tale aggiornamento nasce dall'esigenza, di garantire, da una parte, l'adeguamento all'indice Istat per la rivalutazione dei crediti di impiegati e operai per gli anni 2019-2022 che è stato incrementato del 15,8% e, dall'altra parte, di proseguire l'opera di ricerca dei criteri sulla base dei quali procedere alla liquidazione delle ulteriori ipotesi di danno (quali ad esempio il danno riflesso subito dai congiunti a causa delle lesioni permanenti dei danneggiati).
Dal mese di ottobre 2023 è operativa la convenzione stipulata tra il Ministero della Giustizia e l’Agenzia delle Entrate per l’accesso autonomo da parte degli Ufficiali Giudiziari alle Banche dati dell’Agenzia, rendendo così efficace lo strumento previsto dal Codice di procedura civile all’art. 492bis. L’Ufficiale Giudiziario potrà, dunque, nel rispetto della disciplina del codice della privacy, ricercare i beni da sottoporre ad esecuzione, nel caso la richiesta provenga dal creditore, ovvero da sottoporre a procedura concorsuale, nel caso di istanza formulata dal curatore della liquidazione giudiziale. Bisogna quindi verificare le modalità operative che verranno introdotte nelle singole Corte d’Appello.
Sì all’accesso alla relazione investigativa Il Garante per la protezione dei dati personali, con provvedimento 6.7.2023 stabilisce che il lavoratore ha diritto ad avere accesso ai propri dati personali, compresi quelli contenuti nella relazione dell’agenzia investigativa incaricata dall’azienda di raccogliere informazioni sul suo conto, anche con riferimento a tutte le informazioni non trasferite in una contestazione disciplinare (fotografie, una rilevazione Gps, descrizioni di luoghi, persone e situazioni), nel rispetto dell’esercizio del diritto di difesa. Stante il comportamento, il Garante ha accertato l’illiceità del trattamento dati e sanzionato un’azienda. (Newsletter Garante dell’11 settembre 2023),
Prima dell’estate il Garante Privacy ha pubblicato sul sito una guida che si pone come strumento da consultare per segnale i principali aspetti che imprese e soggetti pubblici devono tenere presenti per dare piena attuazione al Regolamento. Il Garante coglie l’occasione per ricordare che la privacy non deve essere intesa solo come obbligo formale e come adempimento da scadenziare per essere in regola ma deve diventare parte integrante delle attività di un’organizzazione attraverso l’adozione di comportamenti e attività finalizzate al rispetto della normativa. E’ quindi importante analizzare quanto ad oggi effettuato in azienda e alla periodicità degli aggiornamenti. Ricordiamo che il Titolare deve: fornire l’informativa all’interessato; valutare le circostanze in cui il titolare deve notificare al Garante privacy, ed eventualmente agli interessati, la violazione di dati personali; provvedere alla nomina dele figure introdotte dalla normativa per occuparsi della protezione dei dati e delle relative misure di sicurezza. Dal lato, invece, delle persone fisiche, il Garante ricorda che il Regolamento Ue ha introdotto anche nuovi diritti riconosciuti alle persone, come quello di poter trasferire i propri dati da un titolare del trattamento a un altro, compresi i social network ("diritto alla portabilità"), o come il diritto all’oblio, cioè il diritto di non veder riproposte informazioni personali quando non sono più necessarie rispetto alle finalità per le quali sono state raccolte. Un ulteriore approfondimento è dedicato agli strumenti legali che regolano il trasferimento dei dati personali in Paesi extra Ue. La pubblicazione è disponibile sul sito del Garante ( www.gpdp.it ).
Videosorveglianza - Obblighi in capo al datore di lavoro
Osservanza art. 4 Statuto dei Lavoratori
L’art. 4 della Legge 300/70 prevede che gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori, possano essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede la Direzione territoriale del Lavoro competente, dettando, ove occorra, le modalità per l'uso di tali impianti.
Secondo tale norma, nella fattispecie devono ricorrere esigenze organizzative e produttive ovvero di sicurezza del lavoro (da estendere anche al concetto di tutela del patrimonio).
La richiesta preventiva va fatta, a cura del titolare dell'impianto, utilizzando l'apposito modulo messo a disposizione dall' I.N.L.
A conclusione delle relative valutazioni tecniche, effettuate sulla base della documentazione allegata all'istanza, l'Ufficio rilascia alla ditta il provvedimento di autorizzazione, individuando, nello stesso, opportune condizioni di utilizzo del sistema che hanno potere vincolante per l'azienda.
L'obbligo di cui sopra vige anche per le aziende che, occupando più di 15 dipendenti, siano sprovviste di rappresentanti sindacali aziendali (RSA o RSU) o che, pur avendoli, non hanno
raggiunto un accordo sindacale con gli stessi per l'utilizzo dell'impianto di videosorveglianza.
L'obbligo non vige per le aziende che non occupano dipendenti.
Osservanza Codice Privacy
L’adozione di un sistema di videosorveglianza impone l’osservanza della disciplina prevista dal Garante della Privacy che prevede
adozione e comunicazione di un’informativa agli interessati sull’adozione degli impianti e sull’utilizzo delle immagini; Adozione segnaletica sulla base di un modello individuato dal Garante che dovrà essere adattato alla struttura dell’impianto
Le linee generali fornite dall’Autorità sono le seguenti
sarà necessario installare appositi cartelli (ben visibili) per segnalare la presenza di telecamere, che devono avere particolari requisiti se le telecamere saranno collegate con le sale operative delle forze di polizia; le immagini registrate potranno essere conservate per un periodo di tempo massimo di 24 ore, salvo ci siano esigenze di ulteriore conservazione dovute a indagini; dovranno essere predisposte rigorose misure di sicurezza a protezione delle immagini e contro gli accessi non autorizzati; è vietato il controllo a distanza dei lavoratori.
Sanzioni in caso di presenza di impianti senza la preventiva autorizzazione
La violazione delle disposizioni di cui all’art. 4, co. 1 e 2, della L. 20.5.1970, n. 300, sono punite con le sanzioni di cui all’art. 38 della medesima legge 20.5.1970, n. 300. E quindi:
1. salvo che il fatto non costituisca più grave reato, ammenda da 154,94 a 1.549 euro, o arresto da 15 giorni a 1 anno;
2. nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate congiuntamente;
3. quando per le condizioni economiche del reo, l'ammenda può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo;
4. nei casi più gravi, l'autorità giudiziaria ordina la pubblicazione della sentenza penale di condanna nei modi stabiliti dall'art. 36 del codice penale (art. 38, L. 20.5.1970, n. 300).
Il Garante per la protezione dei dati personali ha fornito con nota del 24.1.2023, al Ministero del Lavoro e all’Ispettorato Nazionale del Lavoro, le prime indicazioni sul Decreto trasparenza. In particolare, il Garante punta l’attenzione sull’obbligo introdotto dal Decreto per il datore di lavoro di informare adeguatamente i lavoratori nel caso utilizzi sistemi decisionali o di monitoraggio automatizzati ai fini della assunzione o del conferimento dell’incarico, o per altre attività collegate al rapporto di lavoro e alla sua gestione. Tali obblighi informativi non sostituiscono né modificano quelli già previsti dalla normativa in materia di Privacy e dallo Statuto dei lavoratori. L’adozione di sistemi di monitoraggio nel contesto lavorativo deve sempre essere oggetto di una preliminare verifica, da parte del datore di lavoro, delle condizioni di liceità stabilite dalla disciplina in materia di controlli a distanza e protezione dati, nonché di una valutazione dei rischi per verificarne l’impatto sui diritti e sulle libertà degli interessati. Il Titolare/datore di lavoro dovrà quindi valutare se i trattamenti che si intende realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerati la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (art. 35 del Regolamento) al fine di verificare: la particolare “vulnerabilità” degli interessati nel contesto lavorativo; se l’impiego nell’ambito lavorativo di sistemi che comportano il “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” può presentare rischi, in termini di possibile monitoraggio dell’attività dei dipendenti. Il Titolare del trattamento, anche quando utilizza sistemi tecnologici realizzati da terzi, deve eseguire un’analisi dei rischi per accertare l’esistenza di trattamenti non compatibili con le finalità del trattamento o che si pongono in contrasto con specifiche norme di settore previste dall’ordinamento sull’impiego degli strumenti tecnologici sul posto di lavoro. L’attività di verifica dovrà essere riportata in un registro idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno della propria organizzazione e documentarne la conformità alla disciplina in materia di protezione dei dati personali. Anche al fine di superare le incertezze createsi sul piano interpretativo, il Garante si è reso disponibile ad avviare un tavolo di confronto con il Ministero del lavoro.
Con il provvedimento del 13.12.2021 l’Autorità Garante per la Protezione dei Dati personali ha espresso, in via di urgenza, parere favorevole sullo schema di DPCM che aggiorna le disposizioni relative ai Green Pass e agli obblighi vaccinali per alcune categorie di lavoratori. Nel provvedimento, il Garante ha evidenziato che, nei casi in cui il lavoratore si avvalga della facoltà di consegnare il Green Pass al Datore di Lavoro, quest’ultimo è comunque tenuto ad effettuare il regolare controllo quotidiano della validità della Certificazione, mediante lettura del QR Code della copia in suo possesso, attraverso le procedure di controllo attivate in azienda (app VerificaC19 o altre). E’ stato infatti osservato che, senza la verifica quotidiana del Green Pass, il Datore non avrebbe la possibilità di rilevare l’eventuale revoca della validità della Certificazione (es. in caso di positività sopravvenuta) e ciò sarebbe in contrasto con il principio di esattezza cui deve informarsi il trattamento dei dati personali. Pertanto, i Datori di Lavoro che avessero optato per la raccolta delle Certificazioni Verdi quale modalità di controllo, dovranno comunque attivarsi per effettuare la quotidiana verifica della validità del Green Pass. Alleghiamo il provvedimento.
Con il provvedimento n.231 del 10 giugno 2021 pubblicato in Gazzetta Ufficiale n. 163 del 9 luglio 2021, il Garante per la protezione dei dati personali ha adottato delle Linee guida in relazione al diritto applicabile alle operazioni di lettura e di scrittura all’interno del terminale di un utente, con specifico riferimento all’utilizzo di cookie e di altri strumenti di tracciamento, nonché con l’obiettivo di specificare, al riguardo, le corrette modalità per la fornitura dell’informativa e per l’acquisizione del consenso on-line degli interessati.
Il provvedimento si è reso necessario per armonizzare la normativa tenuto conto dei diversi provvedimenti che si sono succeduti dopo l’entrata in vigore del Regolamento UE e al fine di richiamare l’attenzione per l’adozione dei comportamenti corretti tenuto conto delle nuove tecnologie che hanno un’incidenza maggiore sulla sfera dei dati personali.
L’intervento del Garante disciplina:
i cookie che sono di regola stringhe di testo che i siti web (cd. Publisher, o “prime parti”) visitati dall’utente ovvero siti o web server diversi (cd. “terze parti”) posizionano ed archiviano – direttamente, nel caso dei publisher e indirettamente, cioè per il tramite di questi ultimi, nel caso delle “terze parti” - all’interno di un dispositivo terminale (computer, tablet, smartphone o altro dispositivo in grado di archiviare informazioni) nella disponibilità dell’utente medesimo;
altri strumenti di tracciamento che consentono di effettuare trattamenti analoghi a quelli sopra indicati; tra gli strumenti è ricompreso il fingerprinting, ossia quella tecnica che permette di identificare il dispositivo utilizzato dall’utente tramite la raccolta di tutte o alcune delle informazioni relative alla specifica configurazione del dispositivo stesso adottata dall’interessato.
Tutti i fornitori dei servizi della società dell’informazione nonché tutti i soggetti che comunque offrono ai propri utenti servizi online accessibili al pubblico attraverso reti di comunicazione elettronica o cui si riferiscano siti web che facciano impiego di cookie e/o altri strumenti di tracciamento, con specifico riguardo ai trattamenti di dati personali relativi all’utilizzo delle funzionalità offerte, dovranno osservare il provvedimento qui allegato che disciplina:
- il consenso preventivo degli utenti in relazione al trattamento, per finalità di tracciamento on line, delle informazioni che li riguardano, anche derivanti dall’uso di cookie ed altri strumenti di tracciamento;
- il rispetto del diritto di revoca del consenso;
- il rispetto degli obblighi di privacy by design e by default anche per mezzo dell’adozione di misure di minimizzazione dei dati preliminarmente alla comunicazione ed al loro impiego ad opera delle cd. terze parti;
- l’informativa da rendere agli interessati ai sensi degli artt. 12 e 13 del Regolamento, con particolare riguardo all’indicazione dei criteri di codifica utilizzati da ciascun titolare per la classificazione dei cookie e degli altri strumenti di tracciamento che consenta di distinguere quelli tecnici dagli analytics o da quelli di profilazione;
I predetti soggetti dovranno adeguarsi alla nuova normativa entro 6 mesi dalla pubblicazione in Gazzetta Ufficiale,
I consensi già raccolti, purché conformi alle caratteristiche richieste dal Regolamento, potranno essere ritenuti validi a condizione che, al momento della loro acquisizione, siano stati registrati e siano dunque debitamente documentabili, anche mediante evidenze informatiche.
Si allegano le Linee Guida e una scheda di sintesi predisposta dal Garante che ne costituisce parte integrante e sostanziale.
Il Garante per la protezione dei dati personali e
l'Ispettorato Nazionale del Lavoro, hanno sottoscritto un protocollo d'intesa per
l'avvio di una reciproca collaborazione istituzionale. Entrambe le Istituzioni, infatti, sono chiamate ad
affrontare le sfide connesse all'accelerazione dei processi di digitalizzazione dei
sistemi di gestione dell'organizzazione del lavoro, della produzione
e dell'erogazione dei servizi. Ciò in particolare con riferimento al sempre più frequente
ricorso a modelli di prestazione
"a distanza" dell'attività lavorativa (ad es. dad, smartworking) e
all'adozione di strumenti tecnologici per contenere il rischio di contagio, in
ambito lavorativo pubblico e privato (ad es. app da installare su dispositivi
mobili indossabili o su smartphone). Il Garante e l'Ispettorato si impegnano quindi a realizzare
processi di stabile connessione tra le due istituzioni per assumere
orientamenti condivisi su questioni specifiche, fornire reciproca
collaborazione e attività consultiva, con particolare riferimento all'utilizzo
di strumenti tecnologici connessi allo svolgimento del rapporto di
lavoro. Con tale Protocollo, che ha la durata di due anni, i due
organismi si impegnano anche a organizzare incontri periodici su materie di
interesse comune e a promuovere campagne di informazione e attività
formative.
Il Garante della Privacy ha
aggiornato, sul proprio sito internet, le FAQ relative al trattamento dei dati
personali durante l’emergenza epidemiologica da Covid-19 nel contesto
lavorativo pubblico e privato. In particolare, il Garante ha
precisato che iI datore di lavoro può richiedere
l’effettuazione di test sierologici ai propri dipendenti solo se disposta dal medico
competente . Le informazioni relative alla
diagnosi o all’anamnesi familiare del lavoratore non possono essere trattate
dal datore di lavoro, salvi i casi espressamente previsti dalla legge. Il datore di lavoro può, invece,
trattare i dati relativi al giudizio di idoneità alla mansione specifica e alle
eventuali prescrizioni o limitazioni che il medico competente può stabilire
come condizioni di lavoro. Le visite e gli accertamenti,
anche ai fini della valutazione della riammissione al lavoro del dipendente,
devono essere posti in essere dal medico competente o da altro personale
sanitario, e, comunque, nel rispetto delle disposizioni generali che vietano al
datore di lavoro di effettuare direttamente esami diagnostici sui dipendenti. Resta fermo che i lavoratori
possono liberamente aderire alle campagne di screening avviate dalle autorità
sanitarie competenti a livello regionale relative ai test sierologici Covid-19,
di cui siano venuti a conoscenza anche per il tramite del datore di lavoro,
coinvolto dal dipartimento di prevenzione locale per veicolare l’invito di
adesione alla campagna tra i propri dipendenti. I datori di lavoro possono
offrire ai propri dipendenti, anche sostenendone in tutto o in parte i costi,
l’effettuazione di test sierologici presso strutture sanitarie pubbliche e
private (es. tramite la stipula o l’integrazione di polizze sanitarie ovvero
mediante apposite convenzioni con le stesse), senza poter conoscere l’esito
dell’esame.
dei termini nei procedimenti amministrativi ed effetti degli atti amministrativi in scadenza (Art. 103). Ministero dell'Interno, Dipartimento della Pubblica Sicurezza, con una Circolare del 30 Aprile, indirizzata a Prefetture, Questure, e i vari Compartimenti di Polizia, - qui allegata - ha fornito alcuni chiarimenti in merito alle nuove norme. Termini procedimentali La legge di conversione ha aggiunto il comma 1 bis all'articolo 103 del Cura Italia, secondo il quale il periodo di sospensione previsto dal I comma fino al 15 aprile, trova applicazione pure per i termini di notificazione dei processi verbali di esecuzione del pagamento in misura ridotta, di svolgimento di attività difensiva, nonché per la presentazione di ricorsi giurisdizionali. Con l'entrata in vigore del decreto legge n. 23 dell'8 aprile, il periodo di sospensione deve essere aggiornato alla luce di quanto stabilito dall’articolo 37 del medesimo decreto, il quale ha prorogato al 15 maggio il termine del 15 aprile, indicato dal comma I dell’articolo 103 del Cura Italia. Per l’effetto, il Ministero dell’Interno ha chiarito che il termine vigente del 15 maggio è riferibile anche ai procedimenti sopraindicati, i cui termini, di conseguenza, risultano sospesi dal 23 febbraio al 15 maggio. Termini per irrogare le sanzioni per il mancato rispetto delle misure di contenimento I termini per irrogare le sanzioni previste per il mancato rispetto delle misure di contagio per l’emergenza epidemiologica in corso e relativi termini per la presentazione dei scritti difensivi, si intendono sospesi fino al 15 maggio. Termini per la comunicazione dei dati personali e della patente di guida La sospensione dei termini di cui all'articolo 103, I comma, del Cura Italia, comprende anche i termini per la comunicazione dei dati personali e della patente del guidatore del veicolo, di cui all'articolo 126 bis del C.d.S., nonché per ottemperare all’invito di presentarsi all'ufficio di Polizia per dare informazioni ovvero esibire documenti, come indicato da una circolare del Viminale del 2 Aprile. Lo stesso Ministero chiarisce che anche tali termini risultano sospesi fino al 15 maggio. Scadenza di validità della patente di guida L'articolo 104 del Cura Italia, in tema di validità dei documenti di riconoscimento ed identità, tra i quali è compresa anche la patente di guida, è stato modificato in sede di conversione, dove è stato precisato che la proroga al 31 agosto produce effetti unicamente per i documenti con scadenza a decorrere dal 31 gennaio, come peraltro era stato già indicato nella circolare del MIT del 19 marzo. Proroga termini in ambito assicurativo L'articolo 125 del Cura Italia ha previsto che, fino al 31 luglio, il periodo entro cui la compagnia è tenuta a mantenere la garanzia prestata tramite il contratto assicurativo scaduto, e non ancora rinnovato, viene portata a 30 giorni. Per effetto della modifica apportata in sede di conversione, la stessa previsione trova applicazione per i contratti scaduti e non ancora rinnovati e per i contratti che scadono nel periodo ricompreso tra il 21 febbraio e il 31 luglio. Di conseguenza, la copertura assicurativa si intende valida fino ai successivi 30 giorni dalla scadenza, anche per tutti i contratti che già risultavano scaduti e non rinnovati nell’intervallo tra il 21 febbraio e il 16 marzo, e ciò per quanto concerne gli effetti che detta previsione produce per eventuali violazioni ex articolo 193 C.d.S. , accertate tra il 21 febbraio ed il 16 marzo. Il Viminale ha precisato, inoltre, che la proroga della copertura assicurativa fino a 30 giorni, trattandosi di una estensione della garanzia operativa per i soli contratti scaduti, non si applica ai contratti rispetto ai quali è stata richiesta la sospensione di validità. Per effetto delle suindicate disposizioni, fino al 31 luglio è consentita la circolazione di veicoli con polizza scaduta fino a 30 giorni successivi rispetto alla sua validità. Inoltre, fino al 31 luglio non è applicabile il la disposizione contenuta nel comma 3, primo periodo, dell'articolo 193 C.d.S., secondo il quale in ipotesi di circolazione con assicurazione scaduta sussiste la possibilità di ridurre alla metà la sanzione amministrativa pecuniaria, quando l'assicurazione del veicolo è comunque resa operante nei 15 giorni successivi il termine previsto dall’ articolo 1901, comma 2, c.c. Detto termine è di 15 giorni ma resta assorbito nella possibilità di non applicare sanzioni per 30 giorni successivi alla scadenza. Notifica atti e verbali a mezzo posta In sede di conversione è stato modificato l'articolo 108 del Cura Italia, così fornendo nuove indicazioni sulle modalità di notifica di atti giudiziari e verbali di contestazione di illeciti stradali a mezzo posta, quindi statuendo che dal 30 aprile, che corrisponde alla data di entrata in vigore della legge di conversione, per effettuarla, si seguiranno di nuovo le procedure ordinarie dettate dalla legge n. 890 del 1982. L'articolo 108 ha inoltre statuito che per atti e verbali depositati presso gli uffici postali e non ritirati dagli interessati tra il 17 marzo ed il 30 aprile, la compiuta giacenza, ai sensi dell'articolo 8 della legge 890, inizia decorre dal 30 aprile. Per l'effetto, per tali atti, la notifica si intende validamente effettuata al 10 maggio. Tuttavia, per l’adempimento degli obblighi o l’esercizio delle facoltà concesse al destinatario degli atti, deve essere considerata la sospensione dei procedimenti, con la conseguenza che anche per gli atti ed i verbali in questione, che sono da considerare notificati per compiuta giacenza dal 10 maggio, gli effetti per i destinatari principiano a decorrere dal 15 maggio.
La situazione attuale ha creato numerosi problemi in ambito di locazioni commerciali dove da un lato vi è l’obbligo di pagare il canone e dall’altro lato la chiusura forzata ha comportato la cessazione dell’attività e l’impossibilità in capo al conduttore di far fronte alle proprie obbligazioni. Infatti, la chiusura dell’attività imposta per legge, non comporta automaticamente l’esonero dal pagamento del canone in quanto tale adempimento non è divenuto in linea generale impossibile come invece lo è la singola prestazione (quale ad esempio la fornitura di beni, il completamento di un pezzo per carenza dei pezzi di ricambio ecc). La situazione è alquanto anomala poiché: da un lato i conduttori avrebbero la necessità di essere messi nella condizione di sospendere i pagamenti vista l’assenza di liquidità attuale; dall’altro lato però l’esonero dal pagamento del canone, renderebbe gratuita o priva di una controprestazione quella regolarmente eseguita dal locatore che, in ogni caso, lascia a disposizione del conduttore i locali ed è esposto altresì al versamento delle relative imposte, anche in assenza del versamento del canone. Le normative ad oggi introdotte hanno previsto la chiusura delle attività e la possibilità di una sospensione del canone ma non hanno al tempo stesso statuito la legittimità di un mancato pagamento, con riconoscimento di un mero credito d’imposta, peraltro solo per alcune tipologie di conduttori. In particolare, l’art. 65 comma 1 del Decreto “Cura Italia” riconosce ai soggetti esercenti attività d’impresa, un credito d’imposta per l’anno 2020 nella misura del 60% dell’ammontare del canone di locazione relativo al mese di marzo 2020, di immobili rientranti nella categoria catastale C/1 (corrispondente a negozi e botteghe). Il bonus non è previsto per le attività che sono proseguite perché rientranti nel novero delle categorie ritenute essenziali, quali: Ipermercati Supermercati Discount di alimentari Minimercati ed altri esercizi non specializzati di alimentari vari Commercio al dettaglio di prodotti surgelati Commercio al dettaglio in esercizi non specializzati di computer , periferiche, attrezzature per le telecomunicazioni, elettronica di consumo audio e video, elettrodomestici Commercio al dettaglio di prodotti alimentari, bevande e tabacco in esercizi specializzati Commercio al dettaglio di carburante per autotrazione in esercizi specializzati Commercio al dettaglio apparecchiature informatiche e per le telecomunicazioni (ICT) in esercizi specializzati Commercio al dettaglio di ferramenta, vernici, vetro piano e materiale elettrico e termoidraulico Commercio al dettaglio di articoli igienico sanitari Commercio al dettaglio di articoli per l'illuminazione Commercio al dettaglio di giornali, riviste e periodici Farmacie Commercio al dettaglio in altri esercizi specializzati di medicinali non soggetti a prescrizione medicali Commercio al dettaglio di articoli medicali e ortopedici in esercizi specializzati Commercio al dettaglio di articoli di profumeria, prodotti per toletta e per l’igiene personale Commercio al dettaglio di piccoli animali domestici Commercio al dettaglio di materiale per ottica e fotografia Commercio al dettaglio di combustibile per uso domestico e per riscaldamento Commercio al dettaglio di saponi, detersivi, prodotti per la lucidatura e affini Commercio al dettaglio di qualsiasi tipo di prodotto effettuato via internet Commercio al dettaglio di qualsiasi tipo di prodotto effettuato per televisione Commercio al dettaglio di qualsiasi tipo di prodotto per corrispondenza, radio, telefono Commercio effettuato per mezzo di distributori automatici Lavanderia e pulitura di articoli tessili e pelliccia Attività delle lavanderie industriali Altre lavanderie, tintorie Servizi di pompe funebri e attività connesse La normativa qui citata è l’unica, al momento, ad essere stata introdotta per arginare, almeno parzialmente, le problematiche emerse per i conduttori commerciali. Vi è però un altro problema da considerare. La possibile necessità di sospendere il canone non è una esigenza limitata al solo periodo di chiusura “forzata” delle attività ma si estende anche per il periodo successivo, ovvero quello derivante dall’impatto sull’attività futura per le nuove disposizioni che verranno emanate per consentire le riaperture all’interno del quale i conduttori dovranno valutare la propria capacità economica di far fronte di nuovo al pagamento del canone che è stato determinato sulla base di regole che non sono più quelle che verranno ad essere applicate e che incideranno sull’attività e il conseguente reddito. Stante l’assenza di una normativa d’emergenza e nell’attesa di verificare se verranno adottate nuovi provvedimenti in materia, al fine di tutelare il conduttore e individuare soluzioni per ovviare al pagamento del canone, si possono invocare i seguenti istituti: impossibilità, temporanea o parziale , come per i contratti a esecuzione continuata e periodica, affinchè il conduttore, che non vuole recedere dal contratto, possa avere il diritto di ottenere una corrispondente sospensione o riduzione del canone di locazione, legata al periodo di mancato utilizzo dell’immobile. Tale possibile è attuabile sulla base del richiamo dell’art. 1218 c.c. contenuto nell’art. 91 del d.l. n. 18 del 2020 il quale introduce all’articolo 3 del d.l. 23 febbraio 2020, n. 6, convertito con la l. 5 marzo 2020, n. 13, il comma 6- bis : “ Il rispetto delle misure di contenimento di cui presente decreto è sempre valutata ai fini dell'esclusione, ai sensi e per gli effetti degli articoli 1218 e 1223 c.c., della responsabilità del debitore, anche relativamente all'applicazione di eventuali decadenze o penali connesse a ritardati o omessi adempimenti .” La chiusura dei locali può giustificare l’inadempimento temporaneo, escludendo la possibilità per il locatore di chiedere la risoluzione per inadempimento, ma non permette alla ripresa di non effettuare il pagamento dei canoni anche per i periodi di interruzione; il canone resta dovuto, ma il mancato pagamento delle mensilità maturate durante il periodo di sospensione può non essere considerato grave; eccessiva onerosità della prestazione: il pagamento del canone può diventare eccessivamente oneroso se per un determinato periodo, il locale è chiuso. Tale ipotesi non offre soluzioni immediate per il conduttore atte ad evitare il pagamento del canone in quanto contempla unicamente la richiesta di risoluzione della prestazione, che l’altro contraente può evitare offrendo la riduzione del prezzo. I principi testè analizzati, unitamente alle norme introdotte dal Decreto Cura Italia, consentono al conduttore di resistere all’eventuale domanda del locatore di risoluzione o di risarcimento per mancato pagamento del canone durante il periodo di chiusura e si può anche ipotizzare, per il periodo immediatamente successivo, sulla base di prove oggettive. Detti rimedi però non portano all’esclusione automatica dal pagamento del canone e alla possibilità di non corrisponderlo senza alcun accordo con la proprietà. Sarebbe opportuno disciplinare tali aspetti al fine di tutelare le parti coinvolte tenuto conto che siamo in presenza di un evento straordinario e imprevedibile, non rientranti nell’alea normale del contratto, al fine di riportare l’equilibrio tra le rispettive prestazioni con possibilità di risoluzione senza conseguenze economiche e/o penalità nel caso di mancata accettazione della nuova regolamentazione del rapporto. Chiaramente quanto precede anche con incidenza sui rispettivi obblighi fiscali. E’ chiaro che in assenza di un intervento normativo si auspica la possibilità di ricorso alla buona fede che permetta di addivenire ad accordi al fine di evitare contenziosi con la proprietà e accertamenti da parte dell’Agenzia delle Entrate, tenuto anche conto tali accordi non sono soggetti a tassazione, sulla base del dl 133/2014. Il testo dell'art. 19 stabilisce infatti che “La registrazione dell'atto con il quale le parti dispongono esclusivamente la riduzione del canone di un contratto di locazione ancora in essere è esente dalle imposte di registro e di bollo”. Si ricorda in ogni caso che per il periodo dal 08/03 al 31/05 la registrazione degli atti è sospesa: quindi è possibile registrare un atto i cui termini scadevano in quel periodo nei 30 gg successivi ovvero entro il 30.6.2020.
Il Garante della Privacy, con comunicazione del 2 marzo
c.a. pubblicata sul proprio sito Internet, in merito alla possibilità da
parte dei datori di lavoro di raccogliere informazioni sui propri dipendenti
circa la presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti,
come misura di prevenzione dal contagio, precisa che i datori di lavoro devono astenersi dal raccogliere ,
a priori e in modo sistematico e generalizzato, informazioni su eventuali sintomi influenzali
dei propri dipendenti e dei suoi contatti personali extralavorativi. L’accertamento
e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle
informazioni sui recenti spostamenti di ogni individuo spettano, infatti, agli
operatori sanitari e al sistema attivato dalla protezione civile, che sono gli
organi deputati a garantire il rispetto delle regole di sanità pubblica
recentemente adottate. Resta fermo
l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione
di pericolo per la salute e la sicurezza sui luoghi di lavoro. In allegato
nota integrale.
commette un illecito la società che mantiene attivo l’account di posta aziendale di un dipendente dopo l’interruzione del rapporto di lavoro e accede alle mail contenute nella sua casella di posta elettronica.
.
Questi i principi ribaditi dal Garante per la privacy nel definire il reclamo di un dipendente che lamentava la violazione della disciplina sulla protezione dei dati da parte della società presso la quale aveva lavorato.
L’ex dipendente contestava, in particolare, alla società la mancata disattivazione della email aziendale e l’accesso ai messaggi ricevuti sul suo account. L’interessato era venuto a conoscenza di questi fatti per caso, nel corso di un giudizio davanti al giudice del lavoro promosso nei suoi confronti dalla sua ex azienda, avendo quest’ultima depositato agli atti una email giunta sulla sua casella di posta un anno dopo la cessazione dal servizio.
Dagli accertamenti svolti dall’Autorità è emerso che l’account di posta era rimasto attivo per oltre un anno e mezzo dopo la conclusone del rapporto di lavoro prima della sua eliminazione, avvenuta solo dopo la diffida presentata dal lavoratore. In questo periodo la società aveva avuto accesso alle comunicazioni che vi erano pervenute, alcune anche estranee all’attività lavorativa del dipendente.
Il Garante ha ritenuto illecite le modalità adottate dalla società perché non conformi ai principi sulla protezione dei dati, che impongono al datore di lavoro la tutela della riservatezza anche dell’ex lavoratore. Subito dopo la cessazione del rapporto di lavoro, un’azienda deve infatti rimuovere gli account di posta elettronica riconducibili a un dipendente, adottare sistemi automatici con indirizzi alternativi a chi contatta la casella di posta e introdurre accorgimenti tecnici per impedire la visualizzazione dei messaggi in arrivo.
L’adozione di tali misure tecnologiche – ha spiegato il Garante – consente di contemperare l’interesse del datore di lavoro di accedere alle informazioni necessarie alla gestione della propria attività con la legittima aspettativa di riservatezza sulla corrispondenza da parte di dipendenti/collaboratori oltre che di terzi. Lo scambio di email con altri dipendenti o con persone esterne all’azienda consente infatti di conoscere informazioni personali relative al lavoratore, anche solamente dalla visualizzazione dei dati esterni delle comunicazioni (data, ora oggetto, nominativi di mittenti e destinatari).
Oltre a dichiarare l’illecito trattamento, il Garante ha quindi ammonito la società a conformare i trattamenti effettuati sugli account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro alle disposizioni e ai principi sulla protezione dei dati ed ha disposto l’iscrizione del provvedimento nel registro interno delle violazioni istituito presso l’Autorità. Tale iscrizione costituisce un precedente per la valutazione di eventuali future violazioni.
Il Ministero del Lavoro e delle Politiche
Sociali ha pubblicato l’ interpello n. 3 dell’8 maggio 2019 , con il quale risponde ad
un quesito del Consiglio nazionale dell’ordine dei consulenti del lavoro, in
merito alla configurabilità della fattispecie del silenzio assenso con
riferimento alla richiesta di autorizzazione all’installazione ed utilizzo
degli impianti audiovisivi e degli altri strumenti di cui all’attuale articolo
4, comma 1, della legge 20 maggio 1970, n. 300 . E ciò in considerazione delle
disposizioni della legge n. 241/1990 che dispongono che il silenzio
dell’amministrazione competente equivalga ad accoglimento della domanda. Più in particolare, si chiede se il
silenzio dell’organo amministrativo adito, in relazione all’istanza di
autorizzazione, possa essere considerato un assenso tacito all’istanza
medesima, in virtù del quale l’impresa possa procedere all’installazione degli
impianti richiesti. Secondo il Ministero non è configurabile alle istanze ex art. 4 S.L. l’istituto
del silenzio-assenso, occorrendo l’emanazione di un provvedimento
espresso di accoglimento ovvero di rigetto della relativa istanza. Si allega il testo dell’interpello.
Il Garante per la protezione dei dati personali, con Newsletter n. 447 del 7 dicembre 2018, ribadisce che le informazioni sull’adesione sindacale rientrano nella categoria dei dati sensibili e come tali il datore di lavoro può lecitamente trattarli in base alla legge per adempiere agli obblighi derivanti dal rapporto di lavoro, ad esempio per effettuare il versamento delle quote di iscrizione ad associazioni o organizzazioni sindacali su delega e per conto del dipendente. Pertanto, in caso di revoca da parte del dipendente dell’affiliazione ad una sigla sindacale, per consentire al sindacato di espletare le procedure che seguono tale revoca, il datore di lavoro deve limitarsi a comunicare la sola scelta del lavoratore di non aderire più all’originaria sigla di appartenenza ma non può comunicare all’organizzazione sindacale la nuova sigla alla quale ha aderito un suo ex iscritto. Di seguito le disposizioni fornite dal garante: Il datore di lavoro non può comunicare ad una organizzazione sindacale la nuova sigla alla quale ha aderito un suo ex iscritto. Per consentire al sindacato di espletare le procedure che seguono la revoca della affiliazione sindacale e della relativa delega, il datore di lavoro avrebbe dovuto limitarsi a comunicare la sola scelta del lavoratore di non aderire più all’originaria sigla di appartenenza. È quanto affermato dal Garante privacy a conclusione di un’istruttoria originata dai reclami di alcuni dipendenti di una Azienda socio-sanitaria territoriale che si erano rivolti all’Autorità affinché valutasse la correttezza del datore di lavoro nel trattamento dei loro dati sensibili, quale è l’appartenenza sindacale. A giustificazione del proprio comportamento l’Azienda ha affermato, tra l’altro, di aver ritenuto necessario informare la Rappresentanza sindacale della variazione per evitare il rischio che senza questa comunicazione l’organismo avrebbe continuato ad operare in una composizione non più aderente alla realtà, con inevitabili ricadute sulla validità della contrattazione aziendale. Le informazioni sull’adesione sindacale rientrano nella categoria dei dati sensibili – ha osservato l’Autorità – ai quali la disciplina di protezione dei dati riconosce particolari forme di tutela. Il datore di lavoro può lecitamente trattarli in base alla legge per adempiere agli obblighi derivanti dal rapporto di lavoro, ad esempio per effettuare il versamento delle quote di iscrizione ad associazioni o organizzazioni sindacali su delega e per conto del dipendente. In questo caso invece l’amministrazione non si è limitata a comunicare alla Rappresentanza sindacale la revoca dell’affiliazione di alcuni lavoratori, ma ha inviato a tutti i componenti della sigla sindacale una e-mail cui erano allegati dei documenti nei quali era espressamente indicata l’iscrizione dei lavoratori che avevano aderito ad un altro sindacato. Ciò ha determinato una illecita comunicazione di dati personali sensibili dei reclamanti . A conclusione dell’istruttoria il Garante ha ritenuto che dalla valutazione degli elementi acquisiti la condotta dell’Azienda, pur difforme dalla disciplina applicabile, abbia esaurito i suoi effetti e non sussistono quindi i presupposti per l’adozione di un provvedimento prescrittivo o inibitorio. L’Autorità si è riservata però di avviare un autonomo procedimento per valutare la contestazione di una eventuale violazione amministrativa per l’illecita comunicazione dei dati sindacali.
