TITOLARE DEVE RISPONDERE A DOMANDA ACCESSO DA PARTE LAVORATORE
Il Titolare del trattamento dei dati non può ignorare una richiesta di accesso ai propri dati personali da parte di un lavoratore, anche se pensa che la domanda sia infondata. Lo ha scritto chiaramente il Garante Privacy in un provvedimento di agosto in cui ha sanzionato un’azienda per 39 mila euro per varie violazioni. In sostanza a fronte della domanda, il Titolare/proprietario o facente veci dell’azienda deve rispondere a norma del GDPR. Nello specifico il dipendente aveva chiesto l’accesso ai propri dati, relativamente a un dispositivo GPS installato su un’auto aziendale. L’azienda aveva ritenuto di non dover fornire il materiale, in quanto avrebbe potuto diventare una prova che il lavoratore avrebbe potuto usare in un contenzioso già aperto. Invece il Garante ha sottolineato che anche se sicuramente il dato verrà usato in una memoria difensiva o per un procedimento disciplinare, questo deve essere fornito al lavoratore in qualità di Interessato. Nel caso in cui l’azienda non voglia dare il documento deve spiegare le motivazioni al dipendente e informarlo sulla possibilità di adire all’Autorità garante per inoltrare un reclamo. Il provvedimento spiega anche come il Titolare che installa GPS su auto aziendali abbia l’obbligo non solo di avere un accordo sindacale, ma anche di fornire una specifica informativa privacy ai dipendenti in cui vengono elencati i dati trattati dal dispositivo. L’azienda si è difesa spiegando che il GPS non associa direttamente auto e tracciato del dipendente, ma secondo il Garante è possibile comunque risalire al tragitto fatto dal dipendente.
IL GARANTE HA MULTATO CON OLTRE 183 MILIONI MARKETING SELVAGGIO
A tutti capita di ricevere telefonate di marketing da parte di aziende o enti a cui non ha mai dato il consenso alle telefonate, al marketing appunto. Consola sapere che il Garante dal 2018 a oggi ha inseguito diverse aziende che spesso usano call center abusivi e fuori della Ue multandole con oltre 183 milioni di euro. In compenso stanno diminuendo le segnalazioni al Garante relative a questo reato: erano oltre 104 mila nel 2025 e nel primo semestre 2026 sono state oltre 37 mila. Sempre lo scorso anno le multe erogate dall’Authority sono state quasi 4 milioni di euro. Ricordiamo che chi si iscrive al Registro pubblico delle opposizioni annulla tutti i consensi dati in passato. Oggi il Registro delle opposizioni annovera 33 milioni di numeri telefonici. Anche quando navighiamo sui siti occorre prestare attenzione ai consensi dati.
ISTITUTO METEO SANZIONATO PER TELECAMERE
L’attenzione dell’Authority per il tema della videosorveglianza non scema: lo prova l’ennesima sanzione, questa volta comminata contro l’Istituto nazionale della ricerca meteorologica di Torino. L’impianto aveva avuto le necessarie autorizzazioni ma doveva essere utilizzato solo sulle porte di accesso e i muri perimetrali, quindi a tutela del patrimonio aziendale. Come lamentato da due dipendenti, invece l’occhio indiscreto riprendeva i lavoratori e l’interno degli uffici. L’Istituto aveva sì avuto il via libera da parte delle organizzazioni sindacali, ma come emerso nell’inchiesta non è stata poi rispettata la planimetria nel posizionamento delle telecamere. Inoltre era previsto che l’impianto si attivasse solo con gli uffici vuoti, mentre è emerso che le videoriprese venivano fatte anche coi i lavoratori presenti, creando così un trattamento illecito di dati personali, perché appunto anche la ripresa audio e video costituisce un trattamento dei dati personali ed è perciò interamente sottoposta al GDPR. Contravvenendo a vari articoli del Regolamento europeo 679 e norme nazionali come lo Statuto dei lavoratori, l’Istituto è stato multato con 10 mila euro. L’episodio conferma la necessaria attenzione che le aziende devono porre ogni volta che si aggiungono delle telecamere, si cambia il sistema di videosorveglianza o se ne installa uno interamente nuovo. Verificate i passaggi necessari col vostro DPO. Anche per l’installazione dell’impianto video si applica il principio della Privacy by design, vale a dire in fase di progettazione, valutando tutti i rischi possibili per la libertà e i diritti degli interessati, quindi le ricadute sul sistema privacy aziendale.
MULTINAZIONALE DATI SANITARI MULTATA PER 7 MILIONI
Cedeva i dati sanitari di milioni di persone anche a produttori di farmaci, l’azienda multinazionale IQVIA Solutions Italy S.r.l. multata di recente per 7 milioni di euro. Come dimostrato da una lunga inchiesta del personale del Garante Privacy, l’azienda aveva raccolto nel tempo e custodiva in una sua banca dati i dati sanitari di un milione di pazienti e i referti di 800 medici italiani. L’azienda sosteneva che i dati venivano raccolti e subito anonimizzati, ma non era così. Infatti ogni paziente aveva un codice che permetteva di seguire passo passo l’evolversi di una malattia, lo stato di salute del paziente, i farmaci presi o le cure. In sostanza Iqvia trattava illegalmente i dati sanitari delle persone coinvolte, senza alcuna autorizzazione/consenso e senza aver fornito alcuna informativa agli interessati. Inoltre una parte dei dati risaliva al 2001 quindi con una data retention esagerata. Per di più i pazienti venivano anche geolocalizzati. La multa di 7 milioni è stata contenuta rispetto alle numerosissime violazioni, in quanto dal 2023 i medici non hanno più alimentato il data base.
DATA BREACH ALL’FBI
Persino l’FBI, i servizi segreti americani, hanno subito un attacco informatico che ha rubato i dati dei dipendenti. Dietro questo tipo di attacchi spesso ci sono informatici che fanno capo a Stati e sono interessati a rubare dati di intelligence, segreti industriali e strategie nazionali e li rivendono sul dark web. Inizialmente l’FBI ha cercato di tenere tutto in sordina senza dare alcuna notizia. Ma dopo inchieste giornalistiche, è stata costretta ad ammettere che sono stati esfiltrati i dati dei dipendenti del gruppo e anche di altri 800 agenti che agiscono temporaneamente. Nei dati c’erano anche le mansioni e le missioni in cui il personale era coinvolto.
DECRETO SU PIATTAFORME DIGITALI RIGUARDA ANCHE RIDER
Il lavoro dei rider che fanno consegne a domicilio è stato al centro di rivolte sindacali, scioperi, rivendicazioni su migliori pagamenti e controlli meno pressanti. Finalmente anche l’Italia si sta adeguando alla Direttiva europea 2024/2831 sul lavoro con piattaforme digitali e il testo ha avuto l’approvazione anche del Garante Privacy per quel che attiene il trattamento dei dati personali da parte delle piattaforme di impiego, specie per i rider. Il Garante nel parere ha augurato un’ottimizzazione delle leggi e degli enti di controllo in quanto molte applicazioni con cui vengono monitorati i rider, utilizzano l’IA (Intelligenza artificiale) per calcolare il lavoro e il pagamento del prestatore di servizio e questo coinvolge diverse Authority e normative.
Il Notiziario, coperto da copyright e creato senza il ricorso all’Intelligenza artificiale, è stato realizzato dall’Avv. Gianluca Amarù, l’Avv. Eleonora Maschio, il Dpo Marco Fossi consulente aziendale e Alessandra Fava giornalista e Dpo, riuniti nell’acronimo A2F Privacy&Compliance. Amarù, Fava e Fossi hanno pubblicato Manuale di accoglienza enti e autorità (Liberodiscrivere, 2019) , Howto – Come scrivere i documenti privacy (Liberodiscrivere 2020), Privacy in progress (editore FrancoAngeli, giugno 2021) e La Privacy dei dati digitali (FrancoAngeli editore, 2023), La Privacy del dato sanitario (FrancoAngeli, 2024), a firma di Amarù, Fava, Fossi e del DPO Ferdinando Mainardi. Nel 2025 è uscito per Mondadori l’instant book Smetti di farti spiare, a cura del presidente di Federprivacy Nicola Bernardi, con Amarù, Fava, Fossi. Infine Amarù, Fava, Fossi, Maschio hanno pubblicato NIS2: come rafforzare la cybersicurezza (FrancoAngeli, 2025). Per il 2027 stiamo preparando un volume sull’IA.
