Sicurezza delle banche dati, Caf, recupero crediti nel mirino del Garante
Verifiche sulle misure di sicurezza adottate dai soggetti che hanno subito violazioni alle loro banche dati ("data breach"), attività dei Caf legata alla trasmissione online del 730 precompilato, società di recupero crediti, agenzie per la ricerca di personale. Sono questi alcuni dei settori che verranno interessati dall'attività di accertamento del Garante per la protezione dei dati personali nei prossimi mesi. Nelle scorse settimane l'Autorità ha varato il piano ispettivo per il primo semestre 2016 che prevede nuovi ambiti di intervento [doc. web n. 4807706].
L'attività ispettiva verrà svolta anche in collaborazione con il Nucleo speciale privacy della Guardia di finanza. Proprio di recente è stato firmato il nuovo protocollo di intesa che rafforza l'attività di collaborazione tra la Guardia di Finanza e il Garante.
Oltre che sui settori ricordati, le verifiche si incentreranno anche sui trattamenti di dati svolti nell'ambito del dossier sanitario; sulle agenzie di investigazione privata, sul trasferimento dei dati negli Usa delle multinazionali; sulla implementazione delle misure per la tracciabilità delle operazioni bancarie. Le ispezioni riguarderanno, come di prassi, anche le istruttorie avviate su segnalazioni, reclami e ricorsi dei cittadini; la verifica dell'obbligo di notificazione; il rispetto delle norme sull'informativa e il consenso; l'adozione delle misure di sicurezza a protezione dei dati sensibili trattati da soggetti pubblici e privati.
Per quanto riguarda il 2015, l'attività ispettiva ha segnato un significativo incremento dell'attività sanzionatoria del Garante. Le sanzioni contestate, circa 1700, hanno segnato un aumento di oltre il 190 per cento rispetto all'anno precedente, mentre le sanzioni già riscosse dall'erario sono state pari a 3 milioni e 500 mila euro. 33 sono state le segnalazioni all'autorità giudiziaria.
Gli accertamenti, svolti anche con il contributo delle Unità Speciali della Guardia di finanza, Nucleo speciale privacy, hanno riguardato numerosi e delicati settori, sia nell'ambito pubblico che privato. Per quanto riguarda il settore privato le ispezioni si sono rivolte principalmente ai trattamenti di dati effettuati da software house che forniscono servizi di supporto all'attività della polizia giudiziaria e alla magistratura; alla geolocalizzazione dei dipendenti; al marketing telefonico svolto dai call center, anche operanti all'estero; agli istituti bancari; alla conservazione dei dati tlc e Internet; al trasferimento di dati verso Paesi extra Ue; alle strutture alberghiere e ai centri fitness; alle centrali rischi. Per quanto riguarda il settore pubblico l'attività di verifica si è concentrata particolarmente sul sistema della fiscalità, con speciale riguardo alle misure di sicurezza e al sistema degli audit, e sulla sanità elettronica, dal fascicolo sanitario elettronico al dossier sanitario alle prenotazioni di prestazioni online.
Il bilancio traccia un quadro persistenti elementi di criticità nel trattamento dei dati delle persone; una ancora insufficiente informazione agli utenti sull'uso dei dati personali, sia da parte di Pa che delle aziende (223 violazioni riscontrate); la mancata adozione delle misure di sicurezza; tempi eccessivi di conservazione dei dati di traffico telefonico e telematico.
Diversi anche i procedimenti sanzionatori per omessa notificazione al Garante con riferimento a trattamenti di particolare delicatezza e le sanzioni per non aver risposto alle richieste di informazione e documentazione del Garante.
Un capitolo a parte merita l'azione svolta dalla Guardia di finanza nell'ambito di una complessa indagine antiriciclaggio che ha visto coinvolte alcune società operanti nel settore del trasferimento di denaro (money transfer) e ha portato a 1.172 sanzioni contestate. Dagli accertamenti è emerso che tali società avevano utilizzato illecitamente i dati di centinaia di persone o clienti ignari per frazionare fittiziamente il trasferimento all'estero di ingenti somme di denaro ed eludere così i limiti che impongono agli operatori la segnalazione di transazioni al di sopra di certe soglie.
Per quanto riguarda, invece, le violazioni penali, le segnalazioni inviate alla magistratura hanno riguardato soprattutto casi di mancata adozione delle misure minime di sicurezza e violazioni connesse al controllo a distanza dei lavoratori.
NEWSLETTER N. 413 del 29 marzo 2016