Il Garante ha inflitto una pesante sanzione da 420.000 euro ad una azienda che aveva utilizzato contenuti estratti dal profilo Facebook e da chat private su Messenger e Whatsapp di una Lavoratrice per avviare un procedimento disciplinare ai danni della stessa, culminato con un licenziamento. Tra i contenuti utilizzati dal Datore di lavoro vi erano scambi di opinione avvenuti in contesti estranei al rapporto di lavoro che erano stati trasmessi al Datore di Lavoro attraverso screenshot da alcuni colleghi che erano anche “amici” su Facebook della Lavoratrice e membri delle conversazioni su Messenger e Whatsapp . La Lavoratrice ha presentato reclamo all’Autorità Garante, ritenendo che la Datrice di Lavoro avesse trattato in modo illecito i suoi dati personali. Il Garante ha sottolineato che, una volta accertato il carattere privato delle conversazioni e dei commenti, pubblicati peraltro in ambienti digitali ad accesso limitato, la società avrebbe dovuto astenersi dal farne uso vista la palese violazione dei principi posti alla base del trattamento di dati personali (liceità, soddisfatta da un’idonea base giuridica, finalità determinata, esplicita e legittima e minimizzazione dei dati che devono essere adeguati, pertinenti e limitati a quanto necessario). A supporto di tali argomentazioni, il Garante richiama a sentenza n. 21107/2014 della Corte di Cassazione che aveva sancito che “ deve riconoscersi il dato oggettivo dell'acquisizione d'informazioni attinenti [al] dipendente, di per sé sufficiente a rendere configurabile un trattamento di dati […], le cui modalità ed i cui limiti devono essere ricostruiti avendo riguardo alla gestione del rapporto di lavoro, cui è indiscutibilmente preordinata l'adozione di provvedimenti disciplinari ”; - “ l'immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell'interessato di permetterne l'utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalità diverse da quella per cui ne è stata consentita la divulgazione costituisce d'altronde un'eventualità già presa in considerazione da questa Corte …”. La prova acquisita illecitamente, in violazione di un diritto costituzionalmente protetto alla riservatezza nella corrispondenza privata, conclude il Garante, è essa stessa un fatto illecito.
Con provvedimento del 29 aprile 2025 il Garante della Privacy ha sanzionato ai sensi del GDPR per violazione della privacy sui metadati delle e-mail dei dipendenti e delle attività di navigazione web, sulla base delle sue linee guida del 2024 in materia di uso dei metadati nei sistemi di posta elettronica sul luogo di lavoro. Violazioni Durante l’ispezione d’ufficio, il Garante ha scoperto che il datore di lavoro (in questo caso pubblico) conservava: metadati delle e-mail per un massimo di 90 giorni; registri di navigazione web per 12 mesi; dati dei registri dell’helpdesk (contenenti gli identificativi dei dipendenti e la cronologia dei ticket) per quasi 10 anni. Questi periodi di conservazione superavano di gran lunga quelli ritenuti proporzionati dalle Linee guida, soprattutto in assenza di un accordo sindacale o di un’autorizzazione dell’autorità del lavoro. Sanzione Oltre alla sanzione pecuniaria, il Garante ha ordinato al datore di lavoro di: limitare la conservazione dei registri di navigazione a 90 giorni e successivamente procedere all’anonimizzazione; ridurre al minimo e crittografare i metadati delle e-mail; limitare l’accesso ai metadati al solo personale autorizzato; aggiornare le politiche interne e la documentazione sulla privacy; rivedere i contratti con i fornitori IT terzi per riflettere gli obblighi dell’articolo 28 del GDPR; condurre una DPIA per valutare e mitigare i rischi per la privacy; garantire la futura conformità agli obblighi di legge in materia di lavoro per qualsiasi trattamento che possa comportare il monitoraggio dei dipendenti. Cosa sono i metadati e perché costituiscono un dato personale soggetto alla normativa privacy I metadati generati attraverso l’uso aziendale della posta elettronica e di Internet includono informazioni quali gli indirizzi del mittente e del destinatario, l’oggetto, la data e l’ora di trasmissione, la presenza e la dimensione degli allegati e gli indirizzi IP. Non includono il contenuto effettivo dei messaggi, ma possono portare a rivelare modelli di comportamento e, indirettamente, i livelli di rendimento o produttività e in ambito lavorativo la loro analisi diventa un tema delicato. Il loro trattamento deve essere conforme non solo ai principi del GDPR, ma anche alla normativa in materia di controlli a distanza (articolo 4 della legge n. 300/1970 (Statuto dei Lavoratori) in quanto costituiscono dati personali. I datori di lavoro non devono più trattare i metadati come un dato tecnico ma, attraverso una valutazione di impatto sulla protezione dei dati, devono: classificarlo; valutarlo in base al rischio proteggerlo e regolamentarlo in quanto dato personale soggetto alla normativa privacy e di diritto del lavoro in quanto controllo a distanza (come la videosorveglianza). Conseguenze sul datore di lavoro E’ quindi importante rivedere le proprie politiche al fine di: verificare i sistemi di conservazione dei metadati relative alle comunicazioni dei dipendenti e alle finalità del trattamento dei loro dati; aggiornare le relative autorizzazioni con gli ispettorati o gli accordi sindacali, se necessario, per coprire nuovi tipi di trattamento dei dati limitare il periodo di conservazione a 21 giorni o ottenere le autorizzazioni sindacali appropriate; valutare i sistemi dei fornitori; adottare informative dettagliate sulla privacy e politiche interne sull’uso dei metadati.
Accessibilità digitale e intelligenza artificiale: possono diventare uno strumento per migliorare le condizioni di vita di una persona con disabilità? Possono favorire l’inclusione nel mondo del lavoro? Ne parla l’Avv. Carla Dehò in questo articolo ora disponibile su 4cFuture Magazine. Al centro dell’analisi: la Direttiva (UE) 2019/882 (European Accessibility Act) e il recente disegno di legge sull’AI approvato dal Senato il 20 marzo 2025. Due strumenti normativi che possono trasformarsi in leve per l’integrazione, l’autonomia e la dignità lavorativa delle persone con disabilità. PDF articolo European Accessibility ACT
A partire dal 28 giugno 2025, entrerà ufficialmente in vigore la Direttiva (UE) 2019/882 , meglio conosciuta come European Accessibility Act (EAA) , con l’obiettivo di garantire standard minimi di accessibilità per prodotti e servizi destinati al mercato europeo. L’Italia ha già recepito la normativa attraverso il Decreto Legislativo n. 362 del 10 marzo 2022. La nuova direttiva si inserisce nel più ampio contesto dell’Agenda 2030 delle Nazioni Unite per lo Sviluppo Sostenibile e della Convenzione ONU sui diritti delle persone con disabilità. L’obiettivo è duplice : da un lato, favorire l’inclusione e la partecipazione attiva delle persone con disabilità; dall’altro, armonizzare le legislazioni degli Stati membri per evitare frammentazioni e disuguaglianze all’interno del mercato unico. Cosa prevede l’EAA L’EAA introduce requisiti vincolanti di accessibilità per una vasta gamma di prodotti e servizi immessi sul mercato dopo il 28 giugno 2025. Tra questi, rientrano ad esempio: siti web e app mobili; dispositivi hardware di uso comune e relativi sistemi operativi; sportelli bancomat e biglietterie automatiche; terminali interattivi e self-service; servizi bancari digitali e piattaforme di e-commerce; e-book e software dedicati; servizi di trasporto passeggeri (aereo, autobus e ferroviario) con obbligo di fornire informazioni accessibili in tempo reale. Anche i servizi di media audiovisivi dovranno adeguarsi, ad esempio garantendo guide elettroniche ai programmi ( EPG ) con caratteristiche accessibili e intuitive. A chi si applica La normativa coinvolge tutte le imprese e organizzazioni che operano nel mercato europeo, comprese quelle con sede extra-UE che offrono servizi digitali destinati a cittadini europei. Sono incluse aziende private, Pubbliche Amministrazioni e realtà che collaborano con il settore pubblico. Come adeguarsi: strumenti e strategie Per rispettare i nuovi requisiti, le aziende dovranno adottare un approccio strutturato, che comprenda: Audit di accessibilità : per valutare lo stato attuale di conformità; Implementazione di attività correttive : per colmare le eventuali lacune; Formazione del personale : per diffondere la cultura dell’accessibilità; Monitoraggio continuo : con controlli periodici e aggiornamenti in base agli standard e alle esigenze degli utenti; Approccio inclusivo : per garantire un accesso equo e universale ai servizi. Con questa direttiva, l’Unione Europea fa un importante passo avanti verso un’economia più inclusiva e attenta ai diritti di tutti i cittadini, promuovendo un futuro digitale più accessibile e sostenibile.
La direttiva UE 2022/2555 – cosiddetta NIS2 – ha innalzato il livello di attenzione sui rischi informatici per le organizzazioni europee e ampliato la platea dei soggetti interessati. Nel panorama in continua evoluzione della sicurezza digitale e della conformità normativa, questo cambiamento introduce un nuovo livello di responsabilità che avrà implicazioni significative tanto per le imprese quanto per i loro consulenti. Su Altalex è ora disponibile l'approfondimento dell'Avv. Carla Dehò sui nuovi obblighi di sicurezza informatica derivanti dal recepimento della direttiva NIS2 attraverso il decreto legislativo 4 settembre 2024, n. 138.
Il Garante per la protezione dei dati personali, nella Newsletter n. 533 del 21 marzo 2025, informa di aver sanzionato un’azienda di autotrasporto per aver controllato in modo illecito circa 50 dipendenti, durante la loro attività lavorativa, utilizzando un sistema Gps installato sui veicoli aziendali. Diverse le violazioni riscontrate dall’Autorità, intervenuta a seguito della ricezione di un reclamo da parte di un ex dipendente dell’azienda. Dalle ispezioni, effettuate in collaborazione con il Nucleo tutela privacy della Guardia di finanza, è emerso che il sistema Gps tracciava in modo continuativo i dati di localizzazione, velocità, chilometraggio e stato dei veicoli (ad es. quando erano spenti o accesi), senza rispettare la normativa privacy e in modo difforme da quanto previsto dal provvedimento autorizzatorio rilasciato dall’Ispettorato territoriale del lavoro. In particolare, sono state rilevate gravi carenze nell’informativa fornita ai lavoratori, tra cui la mancata indicazione delle specifiche modalità con cui il trattamento veniva realizzato e la informazione relativa alla diretta identificabilità dei conducenti dei veicoli geolocalizzati. Tali trattamenti sono risultati contrari anche alle specifiche misure di garanzia indicate dall’Ispettorato del lavoro nel provvedimento di autorizzazione che era stato rilasciato all’azienda, che infatti prevedeva l’anonimizzazione dei dati raccolti e l’adozione di soluzioni tecnologiche in grado di limitare la raccolta di dati personali non necessari o eccedenti rispetto alle finalità di sicurezza e organizzazione aziendale. Inoltre, i dati raccolti venivano conservati per oltre 5 mesi, in violazione dei principi di minimizzazione e limitazione della conservazione dei dati stabiliti dal Regolamento UE. Il Garante, in considerazione delle numerose e gravi violazioni riscontrate, oltre al pagamento di una sanzione di 50mila euro, ha ordinato all’azienda di fornire un’idonea informativa ai dipendenti e di adeguare i trattamenti effettuati attraverso il sistema Gps alle garanzie prescritte nel provvedimento autorizzatorio rilasciato, a suo tempo, dall’Ispettorato territoriale del lavoro all’azienda.
“Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148” ), pubblicato nella Gazzetta Ufficiale del 01.10.2024 n. 230” Oggetto Con il decreto legislativo 4 settembre 2024, n. 138, l’Italia ha recepito nell’ordinamento nazionale la direttiva (UE) 2022/2555 (“ NIS 2 ”) relativa a misure per un livello comune elevato di cybersicurezza nell'Unione. Le disposizioni normative prevedono specifici obblighi applicabili a tutti i soggetti che si riconoscono in uno dei settori previsti dalla nuova normativa e presentino i requisiti dimensionali previsti (>50 dipendenti e >10.000.000,00 € di fatturato annuo riferito al gruppo). Entro il 28 febbraio 2025 i soggetti privati a cui si applica la NIS2 avevano l’obbligo di registrarsi sulla piattaforma digitale dell’Autorità per la Cybersicurezza Nazionale ( ACN ). La registrazione si compone di tre fasi: il censimento del Punto di Contatto (soggetto destinatario delle comunicazioni con l’ACN), la sua associazione al soggetto NIS 2 e la compilazione della dichiarazione. La mancata registrazione è una violazione assistita da una sanzione amministrativa pecuniaria con un importo fino al 0.1% del fatturato annuo del soggetto obbligato. Ambito di applicazione Il decreto NIS2 si applica ai soggetti dei c.d. “settori ad alta criticità” e “altri settori critici” che superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla Raccomandazione 2003/361/CE. L’art. 3, comma 2, del decreto NIS, testualmente riporta che “ il presente decreto si applica ai soggetti di cui all’allegato I e II, che superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione 2003/361/CE ”. L’articolo 2, paragrafo 2, dell’allegato alla Raccomandazione 2003/361/CE stabilisce che “ nella categoria delle PMI si definisce piccola impresa un’impresa che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR ”. Dunque, si rinvengono criteri di calcolo dei dati delle imprese per l’assoggettamento alla normativa, ma nessuna disposizione sulla rilevanza – cumulativa o alternativa – degli effettivi e/o delle soglie finanziarie di un’impresa che si aggiunga a quanto previsto dall’articolo 2, paragrafo 2, della Raccomandazione 2003/361/CE A ciò si aggiunga che l’Agenzia per la Cybersicurezza Nazionale ha pubblicato la FAQ 2.3 - Sezione “ Ambito di applicazione ” -, fornendo un indirizzo interpretativo che integra il dettato normativo del Decreto NIS, rinviando anche alla Raccomandazione 2003/361/CE, ma discostandosi dai commi 2 e 4 del medesimo decreto, in quanto ritiene che gli elementi afferenti agli effettivi e alle soglie finanziarie di un’impresa non debbano intendersi come cumulativi (come visto sopra, da un’interpretazione del Decreto NIS in combinazione con la Raccomandazione 2003/361/CE), ma come criteri potenzialmente alternativi. La FAQ 2.3 infatti indica che: “(…) Se i valori dei parametri contabili sono superati entrambi, oppure se si supera anche solo il criterio del numero di effettivi, si ricade nella categoria di PMI superiore ”, chiarendo, a titolo esemplificativo, che “ un’organizzazione con meno di 10 occupati, un fatturato di almeno 50 milioni e un bilancio di almeno 43 milioni, ricade nella categoria delle grandi imprese ”. Ciò apparentemente genera contrasto interpretativo, che occorre superare di volta in volta, vagliando il caso concreto, tenendo a mente che le FAQ non sono fonti del diritto, né possono essere assimilate a strumenti di interpretazione autentica. Obblighi per le aziende Le aziende soggette alla Direttiva NIS2 devono adottare misure tecniche, organizzative e operative per ridurre il rischio di incidenti informatici garantendo la conformità alla normativa Le aziende devono implementare le misure tecniche e organizzative già in essere tenuto conto delle disposizioni in materia di privacy e sicurezza già vigenti, al fine di migliorarle e adeguarle al nuovo contesto di mercato
Per quanto tempo è lecito conservare le email di un dipendente dopo che il rapporto di lavoro è cessato? Come gestire correttamente questi dati? Una sentenza del Garante Privacy fa chiarezza sul tema: l’avvocato Carla Dehò ne ha parlato in una video-intervista ora online su 4clegal.com Il caso è emblematico: un'azienda conserva per tre anni email e log di accesso di un ex dipendente, utilizzandoli poi in una vertenza giudiziaria. Il risultato? Sanzione per violazione della privacy e controlli a distanza illeciti. Abbiamo ripercorso la vicenda analizzando le motivazioni del Garante, gli errori da evitare e le best practice per tutelare gli interessi aziendali. Il video completo è disponibile a questo link .
Con il provvedimento del 17 luglio 2024 il Garante Privacy ha sanzionato una società che, attraverso un software, aveva salvato tutte le e-mail di un proprio collaboratore, conservando sia i contenuti sia i log dui accesso alla e-mail ed al gestionale aziendale e dette informazioni erano stato poi utilizzate in una successiva vertenza giudiziaria. Il Garante ha ritenuto che tale trattamento di dati personali violi non solo la disciplina in materia di protezione dei dati personali ma costituisce altresì un illecito controllo a distanza del lavoratore, vietato dall’art. 4 dello Statuto dei Lavoratori. Nel caso di specie la Società aveva attuato la conservazione delle e-mail e dei log di accesso alla posta elettronica in modo sistematico e prolungato (pari a tre anni successivamente alla cessazione del rapporto). Il trattamento, quindi, violava i principi generali di trattamento di proporzionalità e di necessità in quanto andava oltre alle finalità dichiarate dalla Società di garantire la sicurezza della rete informatica e la continuità dell’attività aziendale. Ra l’altro, la Società aveva anche reso ai Lavoratori una informativa inidonea, in quanto prevedeva la possibilità, per il datore di lavoro, di accedere alla posta elettronica dei propri dipendenti e collaboratori per garantire la continuità dell’attività aziendale, in caso di loro assenza o cessazione del rapporto, senza però citare l’effettuazione del backup e il relativo tempo di conservazione. La lettura ragionata del provvedimento porta quindi, ancora una volta, ad allertare i datori di lavoro sui rischi di una gestione superficiale della posta elettronica dei propri dipendenti e collaboratori. Il trattamento dei dati, infatti, deve essere effettuato in modo professionale, con sistemi adeguati, procedure ragionate e di documentazione completa.
Il Garante Privacy ha pubblicato sul sito di riferimento nel mese di agosto un documento sottoforma di FAQ per fornire chiarimenti ai cittadini sul diritto all’oblio oncologico nonché a per dare indicazioni concrete a tutti i datori di lavoro pubblici e privati e a banche, assicurazioni, intermediari del credito e finanziari affinché possano applicare correttamente la nuova normativa. L’obiettivo è quello di prevenire le discriminazioni e tutelare i diritti delle persone che sono guarite da malattie oncologiche. Il compito di vigilanza sulla corretta applicazione della legge è affidato al Garante Privacy stesso, il quale in caso di eventuali violazioni della disciplina sulla protezione dei dati potrà infliggere le sanzioni previste dal Gdpr. In particolare, viene chiarito che la normativa vieta a banche, assicurazioni, e a tutti i datori di lavoro (sia nella fase di selezione del personale sia durante il rapporto lavorativo), di richiedere all’utente e al dipendente informazioni su una patologia oncologica da cui sia stato precedentemente affetto e il cui trattamento si sia concluso - senza episodi di recidiva – da più di dieci anni (ridotti a cinque se il soggetto aveva meno di 21 anni al momento in cui è insorta la malattia).
Con provvedimento del 6 giugno 2024 il Garante per la protezione dei dati personali aggiorna il documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” e fornisce nuove indicazioni in merito ai criteri che possono orientare i datori di lavoro nell’individuazione del periodo di conservazione dei metadati (LOG). Il documento ha natura orientativa e di indirizzo e pertanto non contiene prescrizioni né introduce nuovi adempimenti a carico dei titolari del trattamento; l’obiettivo è fornire una ricostruzione sistematica delle disposizioni applicabili e richiamare l’attenzione su alcuni punti di intersezione tra la disciplina di protezione dei dati e le norme che stabiliscono le condizioni per l’impiego degli strumenti tecnologici nei luoghi di lavoro. I Metadati di cui al provvedimento sono le informazioni registrate nei log generati dai sistemi di server di gestione e smistamento della posta elettronica e dalle postazioni nell’interazione tra i diversi server interagenti e tra questi e i client (postazioni terminali che effettuano l’invio dei messaggi e che consentono la consultazione della corrispondenza in entrata) . I Metadati possono comprendere gli indirizzi e-mail del mittente e del destinatario, gli indirizzi IP dei server o dei clienti coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, in relazione al sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto. Le indicazioni non riguardano, quindi, i contenuti dei messaggi di posta elettronica (né le informazioni tecniche che ne fanno comunque parte integrante) che rimangono nella disponibilità dell’utente/lavoratore, all’interno della casella di posta elettronica attribuitagli Il datore di lavoro, in quanto titolare del trattamento, deve rispettare tutti i principi generali di trattamento e quindi: deve verificare la sussistenza di un idoneo presupposto di liceità prima di effettuare trattamenti di dati personali dei lavoratori, rispettando le condizioni per il lecito impiego di strumenti tecnologici nel contesto lavorativo (non può acquisire e comunque trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore o comunque afferenti alla sua sfera) deve fornire ai Lavoratori prima che il trattamento abbia inizio una informativa corretta e completa contenente tutti gli elementi informativi essenziali previsti dal Regolamento (specificando i tempi di conservazione dei dati, gli eventuali controlli, ecc.). nel rispetto del principio di “responsabilizzazione” deve valutare se i trattamenti da realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite – che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (tale necessità ricorre, in particolare, in caso di raccolta e memorizzazione dei log della posta elettronica, stante la particolare “vulnerabilità” degli interessati nel contesto lavorativo, nonché il rischio di “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti). Deve adottare tutte le misure tecniche ed organizzative per assicurare il rispetto del principio di limitazione della finalità, l’accessibilità selettiva da parte dei soli soggetti autorizzati e adeguatamente istruiti e la tracciatura degli accessi effettuati. deve, altresì, adottare misure volte ad assicurare il rispetto dei principi della protezione dei dati fin dalla progettazione del trattamento e per impostazione predefinita durante l’intero ciclo di vita dei dati, deve garantire che l’attività di raccolta e conservazione dei metadati/log sia limitata a quelli necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione, può essere effettuata, di norma, per un periodo limitato a pochi giorni (a titolo orientativo, 21 giorni ). l’eventuale conservazione per un termine ancora più ampio potrà essere effettuata, solo in presenza di particolari condizioni che ne rendano necessaria l’estensione, comprovando adeguatamente, in applicazione del principio di accountability (ad esempio, finalità connesse alla sicurezza informatica e alla tutela del patrimonio informatico giustificano la conservazione dei metadati per un arco temporale congruo rispetto all’obiettivo di rilevare e mitigare eventuali incidenti di sicurezza, adottando tempestivamente le opportune contromisure) Gli obblighi sopra previsti rimangono anche quando il titolare del trattamento utilizza prodotti o servizi realizzati da terzi. Da ciò ne consegue che il Titolare deve verificare, anche avvalendosi del supporto del Responsabile della protezione dei dati, ove designato, la conformità ai principi applicabili al trattamento dei dati adottando, nel rispetto del principio di responsabilizzazione, le opportune misure tecniche e organizzative e impartendo le necessarie istruzioni al fornitore del servizio.
Il 23 aprile 2024 è stato approvato dal Consiglio dei ministri il disegno di legge proposto dal Governo in tema di intelligenza artificiale. Il disegno di legge, composto da 26 articoli, mira a regolare e garantire un uso adeguato, etico e responsabile dell’IA, che ponga sempre al centro i diritti umani e tale da garantire un uso della nuova tecnologia che sia sicuro, trasparente, tracciabile, non discriminatorio e anche rispettoso dell’ambiente. In particolare, il disegno di legge, si concentra sulle seguenti macroaree: sviluppo e promozione dei nuovi sistemi di intelligenza artificiale; adozione di un piano nazionale per regolare l’uso dell’intelligenza artificiale e definire in modo chiaro i doveri delle autorità nazionali coinvolte; tutela del diritto d’autore; cyber security. Lo scopo della nuova normativa è per cui quello di assicurare che i sistemi e i modelli di intelligenza artificiale siano sviluppati e applicati nel rispetto dell’autonomia e del potere decisionale dell’uomo e in modo tale da non pregiudicare lo svolgimento con metodo democratico della vita istituzionale e politica. Viene altresì specificato che l’uso dell’intelligenza artificiale non dovrà andare a discapito di un’obbiettiva informazione, del pluralismo dei mezzi di comunicazione e del più ampio diritto di espressione. L’accesso all’IA dovrà inoltre essere sottoposto alla supervisione e autorizzazione dei genitori o di un tutore per quanto riguarda i minori di anni quattordici. Dal punto di vista economico, posti questi importanti paletti, l’Italia si impegna a promuovere e supportare lo sviluppo di imprese operanti nei settori dell'intelligenza artificiale, della cyber security, del calcolo quantistico, delle telecomunicazioni e delle tecnologie per questa abilitanti, anche tramite la creazione di poli di trasferimento tecnologico e programmi di accelerazione operanti nei medesimi settori.
L’uso del riconoscimento facciale per monitorare le presenze dei lavoratori in azienda infrange il diritto alla privacy dei dipendenti. Attualmente, non ci sono leggi che permettano l’impiego di informazioni biometriche per questo scopo, come indicato dal Regolamento. In seguito a ciò, l’ Autorità garante per la protezione dei dati personali , con provvedimenti del 22.02.2024, ha imposto multe a cinque aziende – tutte operanti in un impianto di trattamento rifiuti – con sanzioni che ammontano rispettivamente a 70.000, 20.000, 6.000, 5.000 e 2.000 euro, per aver gestito in maniera non autorizzata i dati biometrici di numerosi lavoratori, oltre ad imporre la cancellazione di tutte le informazioni raccolte.
Il Garante per la privacy ha fornito le linee guida per l’archiviazione, la conservazione e l’utilizzo delle password . La rilevanza del citato documento trae origine dalla sempre crescente frequenza di attacchi di tipo informatico a fronte della generalizzata diffusione di servizi informatici (ed annessi portali), accessibili previo percorso di autenticazione. Il documento pone, quindi, l’attenzione sulla necessità di utilizzare robuste funzioni crittografiche di password hashing . Nei vari capitoli che lo compongono, il documento si prefigge anzitutto di definire il concetto (e sulle proprietà che debbono caratterizzarlo) di password hashing , per poi indicare gli algoritmi più comunemente utilizzati, e quelli maggiormente raccomandati (ed annessi parametri).
Il Parlamento europeo ha approvato ad ampia maggioranza (523 voti favorevoli, 46 voti contrari e 49 astenuti) la prima legge al mondo sull'intelligenza artificiale, l'AI Act. Si tratta della prima normativa che mira a garantire lo sviluppo etico e responsabile dell'IA, ponendo la sicurezza e i diritti umani al centro. Il Parlamento europeo non intende quindi porre un freno all’innovazione, ma solo assicurarsi che i sistemi di intelligenza artificiale siano sicuri, trasparenti, tracciabili, non discriminatori, oltre che rispettosi dell’ambiente. La legge stabilisce innanzitutto i limiti e divieti, ossia cosa le applicazioni di IA non possono fare, per i sistemi c.d. ad alto rischio, come la sorveglianza di massa e i sistemi di punteggio sociale. Si pensi alla classificazione biometrica, all’estrapolazione indiscriminata di immagini facciali da internet o da registrazioni di sistemi di telecamere a circuito chiuso per creare banche dati di riconoscimento facciale, ancora a sistemi di riconoscimento delle emozioni applicati ai luoghi di lavoro o nelle scuole, così come sistemi di credito sociale, o pratiche di polizia predittiva, basate esclusivamente sulla proliferazione o sulla valutazione delle caratteristiche di una persona (es. etnia). Si vuole evitare che i sistemi di intelligenza artificiale possano essere utilizzati per manipolare il comportamento umano o per sfruttare la vulnerabilità della persona. A queste limitazioni sono previste delle eccezioni per le forze dell’ordine per i casi di ricerca di persone scomparse e per la prevenzione di attacchi terroristici; anche in questi casi sarà comunque necessaria una previa autorizzazione giudiziaria e/o amministrativa e la stessa dovrà essere rilasciata per un uso limitato nel tempo e nello spazio. Il regolamento dovrà essere sottoposto alla verifica finale dei giuristi-linguisti ed essere adottato definitivamente prima della fine della presente legislatura. Dopo la pubblicazione in Gazzetta ufficiale entrerà in vigore dopo 20 giorni e inizierà ad applicarsi 24 mesi dopo l’entrata in vigore, che sarà, pertanto, graduale, con le prime restrizioni attive entro 6 mesi. Il correlatore della Commissione per il mercato interno e la protezione dei consumatori Brando Benifei durante il dibattito conclusivo prima dell’approvazione del Ai Act ha dichiarato: “ Dopo due anni intensi di lavoro siamo finalmente riusciti ad approvare la prima legge vincolante al mondo sull'intelligenza artificiale, volta a ridurre i rischi e aumentare opportunità, combattere la discriminazione e portare trasparenza. Grazie al Parlamento europeo, le pratiche inaccettabili di IA saranno proibite in Europa. Tuteliamo i diritti dei lavoratori e dei cittadini. Dovremo ora accompagnare le aziende a conformarsi alle regole prima che entrino in vigore. Siamo riusciti a mettere gli esseri umani e i valori europei al centro dello sviluppo dell'IA ”. L'AI Act sancisce un importante precedente a livello globale, aprendo la strada a una regolamentazione più diffusa dell'intelligenza artificiale.
Il cosiddetto diritto “all’oblio” si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari che hanno “reso pubblici” i dati personali dell’interessato, ad esempio pubblicandoli su un sito web, di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”. L’interessato ha il diritto di chiedere la cancellazione dei propri dati, per esempio, anche dopo revoca del consenso al trattamento. Con particolare riferimento al diritto all’oblio delle persone guarite da un tumore, è partito l’iter per mettere a punto i provvedimenti attuativi come disposto dalla nuova legge 193 del 2023 entrato in vigore il 2 gennaio di questo anno. In particolare, la legge introduce il diritto delle persone guarite a non dare informazioni, né a subire indagini sulla precedente condizione di pazienti quando sottoscrivono un contratto o una polizza assicurativa Un settore su cui la nuova normativa avrà un impatto significativo è proprio quello delle assicurazioni e in particolare della polizze vita Per realizzare questi obiettivi antidiscriminatori, si prevede che l’assicurato possa rifiutarsi di fornire (all’assicuratore o all’intermediario) informazioni su malattie oncologiche guarite da oltre dieci anni e/o posa chiedere il diritto alla cancellazione se i dati siano in possesso della stessa. A ciò si aggiunga che tali informazioni, in qualunque modo ottenute, possano incidere sulle condizioni contrattuali e/o limitare il rinnovo e/o causare aumenti di costi e/o istituti contrattuali quali franchigie. È inoltre disposto il divieto alle imprese di assicurazione e ai loro intermediari di «richiedere l’effettuazione di visite mediche di controllo e di accertamenti sanitari» per verificare, in vista della stipula di una polizza, l’esistenza di tumori guariti. Le nuove norme non si applicano ai contratti in corso ma alle sole polizze stipulate dopo l’entrata in vigore della legge, senza attendere i decreti attuativi.
L’Autorità per la prima volta ha sanzionato il gestore di un sito di dating online, per aver violato i dati personali di circa 1 milione di iscritti. In particolare, il Garante ha rilevato ha rilevato l’illiceità dei trattamenti dei dati degli utenti, tra cui quelli relativi alle preferenze e agli orientamenti sessuali. Non solo, il titolare del sito non disponeva di una specifica privacy policy relativa alle tempistiche di conservazione dei dati e non aveva redatto il registro delle attività di trattamento, né aveva nominato il responsabile della protezione dati (RPD), né predisposto la valutazione d’impatto (DPIA). In considerazione delle numerose violazioni riscontrate, il Garante, oltre alla sanzione pecuniaria (di 200 mila euro), ha ordinato alla società che gestisce il sito di adottare una serie di misure correttive volte a conformare i trattamenti alla normativa privacy. La società, oltre ad individuare tempistiche di conservazione delle informazioni personali trattate, a cancellare i profili utenti la cui conservazione risulti eccedente e a redigere la valutazione d’impatto, dovrà dotarsi di sistemi volti a rafforzare la sicurezza dei dati dei clienti, quali, ad esempio, misure di cifratura o di pseudonimizzazione dei dati sensibili, file di log dotati di marche temporali, sistemi antintrusione. Vista l’importanza del tema, il Garante ha anche pubblicato la guida dal titolo “ Quando insegui Cupido online, fai attenzione alla privacy! ” per aiutare gli utenti dei siti di dating online a tutelare la propria privacy.
Per richiamare l’attenzione su alcuni aspetti che potrebbero essere in contrasto con la disciplina di protezione dei dati e le norme a tutela del lavoratore, l’Autorità ha recentemente pubblicato il documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” , con cui - in particolare - veniva indicato in 7 giorni, estensibili di 48 ore per comprovate esigenze, il periodo di conservazione dei metadati degli account dei servizi di posta elettronica. Per rispondere alle numerose richieste di chiarimenti ricevute, il Garante ha deciso di differire l’efficacia del documento di indirizzo e promuovere una consultazione pubblica di 30 giorni sulle forme e modalità di utilizzo che renderebbero necessaria una conservazione dei metadati superiore a quella ipotizzata nel documento di indirizzo. Datori di lavoro pubblici e privati, esperti della disciplina di protezione dei dati e tutti i soggetti interessati avranno a disposizione 30 giorni, a partire dalla pubblicazione in Gazzetta ufficiale, per inviare al Garante le proprie osservazioni, i commenti, le informazioni, le proposte e tutti gli elementi ritenuti utili, tramite posta ordinaria o alle caselle protocollo@gpdp.it oppure protocollo@pec.gpdp.it.
Provvedimento del Garante per la Protezione dei dati personali 21 dicembre 2023 n. 642 - Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” Nell’ambito di accertamenti condotti dal Garante con riguardo ai trattamenti di dati personali effettuati nel contesto lavorativo, è emerso il rischio che programmi e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori in modalità cloud, possano raccogliere, per impostazione predefinita, in modo preventivo e generalizzato, i metadati relativi all’utilizzo degli account di posta elettronica in uso ai dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’email), conservando gli stessi per un esteso arco temporale. A ciò si aggiunga che è altresì emersa la presenza di limitazioni alla possibilità di modificare le impostazioni di base del programma informatico in capo al cliente – datore di lavoro e al fine di disabilitare la raccolta sistematica di tali dati o di ridurre il periodo di conservazione degli stessi. Tenuto conto di quanto precede, visto che il Garante ha il compito di promuovere la consapevolezza e la comprensione del pubblico, dei titolari e dei responsabili del trattamento riguardo a norme, obblighi, rischi, garanzie e diritti stabiliti dal Regolamento e ha il potere di adottare documenti di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento anche per singoli settori, ha ritenuto di adottare il Documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, volto a fornire talune indicazioni ai datori di lavoro pubblici e privati e agli altri soggetti a vario titolo coinvolti, al fine di promuovere la consapevolezza delle scelte, anche organizzative, dei titolari del trattamento, nonché a prevenire iniziative e trattamenti di dati in contrasto con la disciplina in materia di protezione dei dati e le norme che tutelano la liberà e la dignità dei lavoratori, favorendo, in tal modo, la più ampia comprensione riguardo alle norme e alle garanzie che devono essere rispettate nel contesto lavorativo, tenuto conto degli elevati rischi per i diritti e le libertà degli interessati. Il documento chiede ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti in cloud o as-a-service) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Periodo considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della posta elettronica in uso al lavoratore. I datori di lavoro che per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro). L’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante può infatti comportare un indiretto controllo a distanza dell’attività del lavoratore. E’ quindi opportuno alla luce dell’invito ivi contenuto rivedere le proprie politiche privacy e aggiornare il registro dei trattamenti.
Dal 06 luglio 2023 tutti i cittadini, dotati di PEC, potranno eleggere il proprio domicilio digitale, dove ricevere tutte le comunicazioni ufficiali con la Pubblica Amministrazione. Il domicilio digitale del privato cittadino potrà essere consultato sull’Indice Nazionale dei Domicili Digitali (INAD). Il domicilio digitale è, quindi, un indirizzo elettronico, che coincide con la PEC o con un recapito certificato qualificato a norma eIDAS – Regolamento UE n. 910/2014. Si tratta di uno strumento di semplificazione, volto a migliorare i rapporti tra amministrazione, cittadini e aziende e in grado di garantire la sicurezza e la tracciabilità delle notifiche di atti pubblici e di comunicazioni. Con la registrazione del proprio domicilio digitale su INAD, le notifiche arriveranno, per cui, in tempo reale, senza ritardi o problemi relativi al mancato recapito, con notevole risparmio di tempo e costi di spedizione. Le comunicazioni tra Pubblica Amministrazione e cittadini mediante domicilio digitale hanno, pertanto, valore legale di notifica . Gli effetti dell’utilizzo del domicilio digitale sono equiparati agli effetti prodotti dalla raccomandata ordinaria, ragione per cui il domicilio digitale deve essere un dato pubblico, reperibile per il suo utilizzo. Possono eleggere il proprio domicilio digitale, consultabile nel registro INAD: Le persone fisiche maggiorenni; I professionisti che svolgono una professione non organizzata in ordini, albi, o collegi ai sensi della l. 4/2013; Gli enti di diritto privato non tenuti all’iscrizione nel registro INI-PEC. Le Pubbliche Amministrazioni saranno tenute, a partire dal 6 luglio 2023, ad utilizzare per tutte le comunicazioni con valenza legale (es. verbali di sanzioni amministrative) il domicilio digitale eventualmente eletto dal cittadino. L’indice Nazionale dei Domicili Digitali potrà essere consultato da chiunque, senza necessità di autenticazione e solo inserendo il codice fiscale della persona di cui si vuole conoscere il domicilio digitale. Per eleggere il proprio domicilio digitale sarà necessario accedere al portale: https://domiciliodigitale.gov.it e registrarsi al servizio utilizzando il Sistema Pubblico d’Identità Digitale (SPID), la Carta di Identità Elettronica (CIE), o la Carta Nazionale dei Servizi (CNS). Una volta effettuata la registrazione, si dovrà inserire il proprio indirizzo pec, da eleggere come domicilio digitale. Per i professionisti iscritti già a INI-PEC è prevista l’automatica importazione su INAD del domicilio digitale, in qualità di persona fisica, ferma la possibilità di modificarlo, indicando un diverso indirizzo pec. Il registro INAD andrà quindi ad affiancarsi al Registro INI-PEC (Indice nazionale dei domicili digitali delle imprese e dei professionisti) e al Registro IPA (Indice dei domicili digitali delle pubbliche amministrazioni e dei gestori di pubblici servizi). Tutte le informazioni relative ai domicili digitali (elezione, modifica o cessazione) sono, per cui, contenute in tre diversi elenchi pubblici di libera consultazione: Registro INI-PEC per le imprese e i professionisti iscritti in albi e ordini professionali o presenti in elenchi pubblici gestiti dallo Stato (obbligati ad eleggere domicilio digitale). Registro IPA per la Pubblica Amministrazione e i gestori di pubblici servizi (obbligati ad eleggere domicilio digitale). Registro INAD (indice nazionale dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato non tenuti all’iscrizione in albi, elenchi o registri professionali o nel registro delle imprese) per le persone fisiche maggiorenni, i professionisti e gli enti di diritto privato non presenti negli elenchi INI-PEC o IPA (facoltà e non obbligo di eleggere domicilio digitale).
Sì all’accesso alla relazione investigativa Il Garante per la protezione dei dati personali, con provvedimento 6.7.2023 stabilisce che il lavoratore ha diritto ad avere accesso ai propri dati personali, compresi quelli contenuti nella relazione dell’agenzia investigativa incaricata dall’azienda di raccogliere informazioni sul suo conto, anche con riferimento a tutte le informazioni non trasferite in una contestazione disciplinare (fotografie, una rilevazione Gps, descrizioni di luoghi, persone e situazioni), nel rispetto dell’esercizio del diritto di difesa. Stante il comportamento, il Garante ha accertato l’illiceità del trattamento dati e sanzionato un’azienda. (Newsletter Garante dell’11 settembre 2023),
Prima dell’estate il Garante Privacy ha pubblicato sul sito una guida che si pone come strumento da consultare per segnale i principali aspetti che imprese e soggetti pubblici devono tenere presenti per dare piena attuazione al Regolamento. Il Garante coglie l’occasione per ricordare che la privacy non deve essere intesa solo come obbligo formale e come adempimento da scadenziare per essere in regola ma deve diventare parte integrante delle attività di un’organizzazione attraverso l’adozione di comportamenti e attività finalizzate al rispetto della normativa. E’ quindi importante analizzare quanto ad oggi effettuato in azienda e alla periodicità degli aggiornamenti. Ricordiamo che il Titolare deve: fornire l’informativa all’interessato; valutare le circostanze in cui il titolare deve notificare al Garante privacy, ed eventualmente agli interessati, la violazione di dati personali; provvedere alla nomina dele figure introdotte dalla normativa per occuparsi della protezione dei dati e delle relative misure di sicurezza. Dal lato, invece, delle persone fisiche, il Garante ricorda che il Regolamento Ue ha introdotto anche nuovi diritti riconosciuti alle persone, come quello di poter trasferire i propri dati da un titolare del trattamento a un altro, compresi i social network ("diritto alla portabilità"), o come il diritto all’oblio, cioè il diritto di non veder riproposte informazioni personali quando non sono più necessarie rispetto alle finalità per le quali sono state raccolte. Un ulteriore approfondimento è dedicato agli strumenti legali che regolano il trasferimento dei dati personali in Paesi extra Ue. La pubblicazione è disponibile sul sito del Garante ( www.gpdp.it ).
