Vai al contenuto principale
Seguici su
NEWSLETTER

News

Privacy · Focus

Privacy

Area

Area Civile
Tutte le areeLavoroAgenziaPrevidenza SocialeArea CivileInternazionale

Tipo

Focus
Tutti i tipi Focus Prassi Contrattazione collettiva Novità Legislative Pubblicazioni Sentenze
Azzera i filtri

5 risultati

Tema

TuttiIT, AI & Data ProtectionImmobiliareFamiglia e SuccessioniResponsabilità civile, danni e assicurazioniSocietà e contratti d'impresaDiritto fallimentare e crisi d'impresaContratti e tutela del creditoDiritto amministrativoDiritto civileTutela del consumatoreDiritto sportivo Tutti i temi
PrivacyFocus

Diritto al C.D. oblio oncologico nei servizi bancari: analisi della normativa comunitaria e nazionale

Per diritto al c.d. oblio oncologico nei servizi bancari si intende il diritto delle persone che sono guarite da patologie oncologiche a non essere discriminate nell’ambito della stipula o del rinnovo dei contratti relativi a servizi bancari, finanziari, di investimento e assicurativi. La normativa Europea ( Direttiva (U.E.) 2023/2225 (c.d. CCD2) , recepita in Italia con il D.Lgs. n. 212/2025), si pone l’obiettivo di rafforzare la tutela dei consumatori nel credito al consumo, imponendo la trasparenza nella valutazione del merito creditizio ed esigendo che i prestiti siano "sostenibili", con specifico riguardo alle pratiche assicurative abbinate ai finanziamenti. La direttiva c.d. CCD2 impone che l'eventuale polizza assicurativa richiesta dalla banca per l'erogazione di un prestito possa essere sottoscritta anche tramite un fornitore diverso e più conveniente scelto dal consumatore, prevenendo pratiche commerciali scorrette, tutelando i consumatori anche nella valutazione creditizia automatizzata, permettendo in qualsiasi momento di richiedere l'intervento umano per contestare decisioni basate su algoritmi o su dati sanitari non più trattabili. La suddetta Direttiva vieta l'applicazione di costi o tassi d'interesse eccessivi e ingiustificati, lavorando in parallelo con il diritto al s.d. oblio oncologico, al fine di valutare il cliente sulla base della sua attuale solvibilità, senza poter richiedere indagini o informazioni sullo storico clinico oncologico oltre i limiti previsti dalla legge. Il D.Lgs. 212 del 31.12.2025 (in vigore dal 12.01.2026) è il decreto di recepimento della Direttiva c.d. CCD2, inserendosi nel quadro delineato dalla Legge n. 193/2023, coordinando le tutele di non discriminazione per gli ex pazienti con le nuove regole per prestiti e finanziamenti. Il Decreto incide direttamente sul Testo Unico Bancario (T.U.B.), aggiornando le regole per la concessione del credito al consumo, assicurando che la richiesta di prestiti e mutui avvenga senza alcuna disparità di trattamento o discriminazione basata sulla storia clinica del consumatore. Relativamente al c.d. oblio oncologico, la Banca d’Italia dovrà emanare disposizioni attuative - predisponendo se del caso anche formulari/modelli standard - relativamente ai divieti informativi nelle fasi di stipulazione e rinnovo dei contratti nonché agli obblighi informativi da parte dell’intermediario in tutte le fasi di accesso a servizi bancari, ivi compresi le trattative precontrattuali e la stipulazione o il rinnovo di contratti. La violazione di tali divieti e obblighi comporta, infatti, la nullità parziale , come previsto dalle Legge n. 193/2023, vale a dire la nullità delle clausole contrattuali difformi e delle clausole “connesse” a quelle difformi.” La supervisione nel rispetto della normativa è demandato alla Consob nonché al Garante Privacy che opererà in coordinamento con le due Autorità di Vigilanza (Banca d’Italia e Consob), al fine di esercitare un controllo generale sul trattamento dei dati sensibili e di ordinare e/o sorvegliare la cancellazione delle informazioni.

Gestione del personalePrivacyFocus

Il Garante torna ancora una volta sulle e-mail dei dipendenti

Con il provvedimento del 17 luglio 2024 il Garante Privacy ha sanzionato una società che, attraverso un software, aveva salvato tutte le e-mail di un proprio collaboratore, conservando sia i contenuti sia i log dui accesso alla e-mail ed al gestionale aziendale e dette informazioni erano stato poi utilizzate in una successiva vertenza giudiziaria. Il Garante ha ritenuto che tale trattamento di dati personali violi non solo la disciplina in materia di protezione dei dati personali ma costituisce altresì un illecito controllo a distanza del lavoratore, vietato dall’art. 4 dello Statuto dei Lavoratori. Nel caso di specie la Società aveva attuato la conservazione delle e-mail e dei log di accesso alla posta elettronica in modo sistematico e prolungato (pari a tre anni successivamente alla cessazione del rapporto). Il trattamento, quindi, violava i principi generali di trattamento di proporzionalità e di necessità in quanto andava oltre alle finalità dichiarate dalla Società di garantire la sicurezza della rete informatica e la continuità dell’attività aziendale. Ra l’altro, la Società aveva anche reso ai Lavoratori una informativa inidonea, in quanto prevedeva la possibilità, per il datore di lavoro, di accedere alla posta elettronica dei propri dipendenti e collaboratori per garantire la continuità dell’attività aziendale, in caso di loro assenza o cessazione del rapporto, senza però citare l’effettuazione del backup e il relativo tempo di conservazione. La lettura ragionata del provvedimento porta quindi, ancora una volta, ad allertare i datori di lavoro sui rischi di una gestione superficiale della posta elettronica dei propri dipendenti e collaboratori. Il trattamento dei dati, infatti, deve essere effettuato in modo professionale, con sistemi adeguati, procedure ragionate e di documentazione completa.

Gestione del personalePrivacyFocus

Il Garante Privacy rivede la propria posizione sui metadati

Con provvedimento del 6 giugno 2024 il Garante per la protezione dei dati personali aggiorna il documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” e fornisce nuove indicazioni in merito ai criteri che possono orientare i datori di lavoro nell’individuazione del periodo di conservazione dei metadati (LOG). Il documento ha natura orientativa e di indirizzo e pertanto non contiene prescrizioni né introduce nuovi adempimenti a carico dei titolari del trattamento; l’obiettivo è fornire una ricostruzione sistematica delle disposizioni applicabili e richiamare l’attenzione su alcuni punti di intersezione tra la disciplina di protezione dei dati e le norme che stabiliscono le condizioni per l’impiego degli strumenti tecnologici nei luoghi di lavoro. I Metadati di cui al provvedimento sono le informazioni registrate nei log generati dai sistemi di server di gestione e smistamento della posta elettronica e dalle postazioni nell’interazione tra i diversi server interagenti e tra questi e i client (postazioni terminali che effettuano l’invio dei messaggi e che consentono la consultazione della corrispondenza in entrata) . I Metadati possono comprendere gli indirizzi e-mail del mittente e del destinatario, gli indirizzi IP dei server o dei clienti coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, in relazione al sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto. Le indicazioni non riguardano, quindi, i contenuti dei messaggi di posta elettronica (né le informazioni tecniche che ne fanno comunque parte integrante) che rimangono nella disponibilità dell’utente/lavoratore, all’interno della casella di posta elettronica attribuitagli Il datore di lavoro, in quanto titolare del trattamento, deve rispettare tutti i principi generali di trattamento e quindi: deve verificare la sussistenza di un idoneo presupposto di liceità prima di effettuare trattamenti di dati personali dei lavoratori, rispettando le condizioni per il lecito impiego di strumenti tecnologici nel contesto lavorativo (non può acquisire e comunque trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore o comunque afferenti alla sua sfera) deve fornire ai Lavoratori prima che il trattamento abbia inizio una informativa corretta e completa contenente tutti gli elementi informativi essenziali previsti dal Regolamento (specificando i tempi di conservazione dei dati, gli eventuali controlli, ecc.). nel rispetto del principio di “responsabilizzazione” deve valutare se i trattamenti da realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite – che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (tale necessità ricorre, in particolare, in caso di raccolta e memorizzazione dei log della posta elettronica, stante la particolare “vulnerabilità” degli interessati nel contesto lavorativo, nonché il rischio di “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti). Deve adottare tutte le misure tecniche ed organizzative per assicurare il rispetto del principio di limitazione della finalità, l’accessibilità selettiva da parte dei soli soggetti autorizzati e adeguatamente istruiti e la tracciatura degli accessi effettuati. deve, altresì, adottare misure volte ad assicurare il rispetto dei principi della protezione dei dati fin dalla progettazione del trattamento e per impostazione predefinita durante l’intero ciclo di vita dei dati, deve garantire che l’attività di raccolta e conservazione dei metadati/log sia limitata a quelli necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione, può essere effettuata, di norma, per un periodo limitato a pochi giorni (a titolo orientativo, 21 giorni ). l’eventuale conservazione per un termine ancora più ampio potrà essere effettuata, solo in presenza di particolari condizioni che ne rendano necessaria l’estensione, comprovando adeguatamente, in applicazione del principio di accountability (ad esempio, finalità connesse alla sicurezza informatica e alla tutela del patrimonio informatico giustificano la conservazione dei metadati per un arco temporale congruo rispetto all’obiettivo di rilevare e mitigare eventuali incidenti di sicurezza, adottando tempestivamente le opportune contromisure) Gli obblighi sopra previsti rimangono anche quando il titolare del trattamento utilizza prodotti o servizi realizzati da terzi. Da ciò ne consegue che il Titolare deve verificare, anche avvalendosi del supporto del Responsabile della protezione dei dati, ove designato, la conformità ai principi applicabili al trattamento dei dati adottando, nel rispetto del principio di responsabilizzazione, le opportune misure tecniche e organizzative e impartendo le necessarie istruzioni al fornitore del servizio.

Gestione del personalePrivacyFocus

Gestione della posta elettronica dipendenti – privacy - modalità conservazione dei dati

Provvedimento del Garante per la Protezione dei dati personali 21 dicembre 2023 n. 642 - Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” Nell’ambito di accertamenti condotti dal Garante con riguardo ai trattamenti di dati personali effettuati nel contesto lavorativo, è emerso il rischio che programmi e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori in modalità cloud, possano raccogliere, per impostazione predefinita, in modo preventivo e generalizzato, i metadati relativi all’utilizzo degli account di posta elettronica in uso ai dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’email), conservando gli stessi per un esteso arco temporale. A ciò si aggiunga che è altresì emersa la presenza di limitazioni alla possibilità di modificare le impostazioni di base del programma informatico in capo al cliente – datore di lavoro e al fine di disabilitare la raccolta sistematica di tali dati o di ridurre il periodo di conservazione degli stessi. Tenuto conto di quanto precede, visto che il Garante ha il compito di promuovere la consapevolezza e la comprensione del pubblico, dei titolari e dei responsabili del trattamento riguardo a norme, obblighi, rischi, garanzie e diritti stabiliti dal Regolamento e ha il potere di adottare documenti di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento anche per singoli settori, ha ritenuto di adottare il Documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, volto a fornire talune indicazioni ai datori di lavoro pubblici e privati e agli altri soggetti a vario titolo coinvolti, al fine di promuovere la consapevolezza delle scelte, anche organizzative, dei titolari del trattamento, nonché a prevenire iniziative e trattamenti di dati in contrasto con la disciplina in materia di protezione dei dati e le norme che tutelano la liberà e la dignità dei lavoratori, favorendo, in tal modo, la più ampia comprensione riguardo alle norme e alle garanzie che devono essere rispettate nel contesto lavorativo, tenuto conto degli elevati rischi per i diritti e le libertà degli interessati. Il documento chiede ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti in cloud o as-a-service) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Periodo considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della posta elettronica in uso al lavoratore. I datori di lavoro che per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro). L’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante può infatti comportare un indiretto controllo a distanza dell’attività del lavoratore. E’ quindi opportuno alla luce dell’invito ivi contenuto rivedere le proprie politiche privacy e aggiornare il registro dei trattamenti.