BOLETÍN N. 525 del 26 de junio de 2024
FSE 2.0, Garante de Privacidad: se están llevando a cabo procesos contra 18 Regiones y 2 Provincias autónomas
La grave situación denunciada al Primer Ministro y al Ministro de Sanidad en los últimos días
Es urgente intervenir para proteger los derechos de todos los pacientes italianos involucrados en el procesamiento de datos de salud realizado a través de la Historia Clínica Electrónica 2.0.
Con este motivo, el Garante de la Privacidad ha notificado a 18 Regiones y a las Provincias autónomas de Bolzano y Trento el inicio de procedimientos correctivos y sancionadores por las numerosas infracciones detectadas en la aplicación de la nueva normativa sobre el FSE 2.0, introducida con el decreto del Ministerio de Sanidad de 7 de septiembre de 2023.
En los días anteriores, se había informado al Presidente del Consejo de Ministros y al Ministro de Salud de la grave situación y de la urgencia de intervenciones correctivas.
Los resultados de la investigación preliminar sobre el FSE, iniciada a finales de enero, mostraron que 18 regiones y las dos provincias autónomas de Trentino-Alto Adigio, que no se ajustaban a lo dispuesto en el decreto del 7 de septiembre de 2023, han modificado , incluso significativamente, el modelo de información elaborado por el Ministerio, siguiendo el dictamen del Garante, el cual debió ser adoptado en todo el territorio nacional.
Las discrepancias encontradas dejaron claro que algunos derechos (por ejemplo, bloqueo, delegación, consentimiento específico) y medidas (por ejemplo, medidas de seguridad, niveles de acceso diferenciados, calidad de los datos) introducidos por el decreto, específicamente para proteger a los pacientes, no están garantizados de manera uniforme en todo el país. O bien son ejercitables y pagaderos únicamente por los beneficiarios de determinadas Regiones y Provincias autónomas, con un potencial y significativo efecto discriminatorio sobre los beneficiarios.
Esta falta de homogeneidad también contradice el espíritu de la reforma del FSE 2.0, encaminada a introducir medidas, garantías y responsabilidades homogéneas en todo el territorio nacional, con el riesgo de comprometer la funcionalidad, la interoperabilidad y la eficiencia del sistema FSE 2.0.
Las infracciones cometidas por Regiones y Provincias autónomas, con diferentes niveles de gravedad y responsabilidad, podrán dar lugar a la aplicación de las sanciones previstas por el Reglamento europeo.
Telemarketing, el Garante multa con más de 6 millones de euros a Eni Plenitude
De los 747 contratos celebrados en una “semana muestra”, 657 provinieron de contactos ilícitos
Convocatorias promocionales realizadas sin el consentimiento del interesado o dirigidas a números inscritos en el registro público de oposiciones y falta de control de los contratos adquiridos a través de contactos ilícitos: el Garante de protección de datos personales ha multado a Eni Plenitude con 6.419.631 euros.
La medida se produce tras 108 denuncias y 7 denuncias contra la empresa, que se quejaba de recibir llamadas telefónicas no deseadas.
Durante la investigación, el Garante también solicitó a Eni Plenitude los datos de las propuestas de compra realizadas por la red de ventas y concluyó con la activación de servicios energéticos, correspondientes a una “semana modelo”: de 747 contratos estipulados en el período de tiempo identificado , 657 llegaron por contacto ilegítimo. Cifras que, hipotéticamente proyectadas a lo largo de un año, llevarían a 32.850 suministros activados de forma ilícita.
En particular, son graves las lagunas en cuanto al control y seguimiento de las agencias y sub-agencias y la mezcla de bases de datos. Según el Garante, para cumplir con la ley no basta con destituir al agente individual o realizar actividades de auditoría en caso de anomalías, sino que se necesitan medidas que impidan que los contratos estipulados sobre la base de contactos telefónicos ilícitos entren en los sistemas de la empresa o sacar provecho económico de conductas ilegítimas.
Además del pago de la multa, el Garante impuso a Eni Plenitude una prohibición de seguir procesando los datos de los denunciantes y denunciantes. La empresa también deberá comunicar a los 657 interesados contactados ilícitamente los resultados del procedimiento sobre la base de un texto que deberá acordarse con la Autoridad, preparar controles para garantizar que los contratos generados por contactos ilícitos no entren en el patrimonio de la empresa y garantizar cumplimiento de los principios de tratamiento, con especial referencia a las obligaciones de actualizar, suprimir y rectificar los datos personales de los clientes.
Reconocimiento facial: el garante multa a un concesionario
No a los controles de asistencia ilícitos
El Garante de Privacidad impuso una multa de 120 mil euros a un concesionario por haber violado los datos personales de los empleados mediante el uso de sistemas de reconocimiento facial para controlar la asistencia al lugar de trabajo. La Autoridad intervino a raíz de una denuncia de un empleado que denunciaba el tratamiento ilícito de datos personales, a través de un sistema biométrico instalado en las dos unidades de producción de la empresa. La denuncia también denunciaba el uso de un software de gestión con el que se exigía a cada empleado registrar las reparaciones realizadas en los vehículos asignados, los tiempos y métodos de realización de los trabajos, así como los tiempos de inactividad con los motivos específicos.
Numerosas violaciones del Reglamento europeo por parte de la empresa surgieron de la actividad inspectora del Garante, realizada en colaboración con la Unidad Especial de Privacidad y Fraude Tecnológico de la Policía Financiera.
Con referencia al procesamiento de datos biométricos, el Garante reiteró una vez más que el uso de dichos datos no está permitido porque no existe ninguna disposición legal que prevea actualmente el uso de datos biométricos para la detección de asistencia. Por tanto, la Autoridad recordó que ni siquiera el consentimiento expresado por los empleados puede considerarse un requisito previo adecuado de legalidad, debido a la asimetría entre las respectivas partes de la relación laboral.
El Órgano ha comprobado también que desde hace más de seis años el concesionario, a través de un software de gestión, recopila datos personales relativos a las actividades de los empleados para elaborar informes mensuales que se envían a la sociedad matriz y que contienen datos agregados sobre los tiempos empleados por el Talleres para los trabajos realizados. Todo ello a falta de una base jurídica adecuada y de una información adecuada que, en el contexto de la relación laboral, sea expresión del principio de corrección y transparencia. La Autoridad, además de sancionar a la empresa, también le ordenó adaptar el tratamiento de datos realizado mediante el software de gestión a lo dispuesto en la legislación sobre privacidad.
PMI, con Olivia 15 cursos gratuitos sobre RGPD y pruebas de control
La herramienta permitirá a los responsables y procesadores de datos verificar el cumplimiento de las normas de privacidad
La protección de datos al alcance de todos, a través de lecciones escritas, seminarios en vídeo y cuestionarios para verificar las habilidades adquiridas. Esta es Olivia, la herramienta virtual gratuita, creada como parte del proyecto europeo ARC II del que Privacy Garantor es socio, presentado durante el reciente Simposio de Privacidad en Venecia.
Olivia (“Reglamento general de protección de datos sobre Asistente Virtual”) fue diseñado para ofrecer una oportunidad de formación a las pequeñas y medianas empresas y acompañarlas en su adaptación al Reglamento Europeo de Protección de Datos (GDPR). Pero puede representar una herramienta útil de conocimiento para todos los responsables y gestores de datos, incluidos los del sector público.
De hecho, la plataforma presenta una serie de módulos de aprendizaje, que van desde los conceptos básicos del RGPD hasta los principios y bases legales del procesamiento de datos, pasando por las condiciones para el uso de cookies o sistemas de videovigilancia en el lugar de trabajo. Pero, sobre todo, la herramienta, al procesar las respuestas a los cuestionarios puestos a disposición, permite a las empresas verificar el cumplimiento de las normas de privacidad.
En este sentido, los modelos de documentación propuestos por Olivia sobre la evaluación de impacto de la protección de datos (DPIA) y la evaluación del interés legítimo son particularmente útiles, ya que representan la base jurídica más compleja -especialmente para una PYME- sobre la que fundamentar un tratamiento. ya que requiere demostrar la prevalencia de los intereses de la organización sobre los derechos de los interesados.
Completamente gratuito y disponible en italiano, inglés y croata. Olivia será liberada permanentemente en septiembre.. Los usuarios registrados encontrarán en la plataforma las grabaciones en video de los 10 seminarios remotos realizados en el marco de ARC II y todas las presentaciones realizadas por los ponentes.
El proyecto ARC II, financiado por la Comisión Europea en el que participan la Autoridad Croata de Protección de Datos, el Garante de Privacidad y las Universidades de Florencia, Zagreb y Bruselas (Vrije Universiteit), fue creado para simplificar el cumplimiento del Reglamento por parte de las PYME y reducir las cargas de cumplimiento. y demostrar cómo el cumplimiento de la legislación de protección de datos puede mejorar los negocios y construir relaciones de confianza con usuarios y clientes.
LA ACTIVIDAD DEL GARANTE – PARA QUIENES QUIEREN SABER MÁS
Las intervenciones y disposiciones más importantes adoptadas recientemente por la Autoridad
-
Covid: Privacy Garanter abre una investigación sobre prácticas prohibidas en ASL Puglia – Comunicado de prensa del 12 de junio de 2024
-
Investigación científica: las preguntas frecuentes del Garante de Privacidad del IRCCS – 12 de junio de 2024
-
Documento de dirección. Programas y servicios informáticos para la gestión del correo electrónico en el contexto laboral y procesamiento de metadatos – 06 de junio de 2024
BOLETIN INFORMATIVO del Garante para la protección de los datos personales (Reg. al Trib. de Roma n. 654 de 28 de noviembre de 2002).
Director responsable: Baldo Meo.
Dirección y redacción: Garante para la protección de datos personales, Piazza Venezia, n. 11 – 00187 Roma.
Tel: 06.69677.2751- Fax: 06.69677.3785
El boletín se puede consultar en el sitio web www.gpdp.it
