Casi di violazione della privacy in italia

Risposta

Si verifica una violazione dei dati quando i dati di cui la tua azienda/organizzazione è responsabile subiscono un incidente di sicurezza con conseguente violazione della riservatezza, della disponibilità o dell’integrità. Se ciò si verifica ed è probabile che la violazione costituisca un rischio per i diritti e le libertà di una persona, la tua azienda/organizzazione deve informare l’autorità di vigilanza senza indebito ritardo e al più tardi entro 72 ore dopo aver preso conoscenza della violazione. Se la tua azienda/organizzazione è responsabile del trattamento è necessario notificare ogni violazione di dati al titolare del trattamento.

Se la violazione dei dati comporta un rischio elevato per le persone interessate, devono essere tutte informate, a meno che non siano state adottate misure efficaci di protezione tecnica e organizzativa o altre misure che garantiscano che il rischio non si verifichi più.

Come organizzazione, è fondamentale attuare misure tecniche e organizzative adeguate per evitare possibili violazioni dei dati.

Esempi

L’organizzazione deve informare l’autorità di protezione dei dati e le persone
I dati dei dipendenti di un’azienda tessile sono stati divulgati. I dati includevano gli indirizzi personali, la composizione della famiglia, lo stipendio mensile e le spese mediche di ciascun dipendente. In questo caso, l’azienda tessile deve informare della violazione l’autorità di vigilanza. Poiché i dati personali includono dati sensibili, come i dati relativi alla salute, l’azienda deve informare anche i dipendenti.

Un dipendente ospedaliero decide di copiare i dati dei pazienti su un CD e li pubblica online. L’ospedale lo scopre qualche giorno dopo. Non appena l’ospedale lo scopre, ha 72 ore di tempo per informare l’autorità di vigilanza e, poiché i dati personali contengono informazioni sensibili (se un determinato paziente ha il cancro, se una paziente è incinta ecc.), deve informare anche i pazienti. In questo caso, è dubbio che l’ospedale abbia messo in atto misure di protezione tecniche e organizzative adeguate. Se le avesse messe in atto (ad esempio, criptando i dati), il rischio sarebbe stato improbabile e avrebbe potuto essere esentato dall’obbligo di informare i pazienti.

L’azienda deve informare i clienti e questi possono quindi dover informare l’autorità di protezione dei dati e le persone interessate
Un servizio cloud perde diversi hard disk contenenti dati personali di molti dei suoi clienti. Deve informarli non appena viene a conoscenza della violazione. I suoi clienti devono informare l’autorità di protezione dei dati e le persone a seconda dei dati trattati dal responsabile del trattamento.

Riferimenti

• Linee guida del comitato europeo per la protezione dei dati sulla notifica di violazione dei dati personali ai sensi del regolamento 2016/679
• Articoli 4, paragrafo 12, 33, 34; Considerando 85, 86, 87, 88 del GDPR

Il diritto alla privacy

La privacy è qualcosa che riguarda tutti noi da vicino, bisogna quindi avere ben chiaro in quali casi con il nostro comportamento rischiamo di fare qualcosa di illecito, o quando subiamo un torto in questo senso.

Ad esempio spiare i messaggi Whatsapp nel cellulare del nostro partner è un reato? Se un nostro vicino ci controlla spesso dalla finestra lo possiamo denunciare? Se qualcuno pubblica nostre foto su Facebook sta facendo qualcosa di illecito?

Innanzitutto il diritto alla privacy si riferisce alla volontà di mantenere segreti i nostri dati personali, è quindi legato al concetto di riservatezza. Ma cosa si intende per dati personali?

Leggi Anche: Garante della Privacy: quali compiti svolge?

Sono le informazioni inerenti a un individuo e si possono dividere in diverse categorie:

• identificativi: come dice il nome stesso, servono a identificare una persona, e sono quindi il nome, il cognome, l’indirizzo di residenza, il numero di cellulare, la targa della macchina,  e le foto.
• sensibili: informazioni relative all’origine razziale ed etnica, il credo religioso, le convinzioni filosofiche, le opinioni politiche, l’adesione a sindacati o partiti, l’orientamento sessuale e lo stato di salute
  
• giudiziari: inerenti ai procedimenti penali a carico dell’individui

Violazione privacy: cosa fare?

Se un soggetto ritiene di avere subito una violazione della privacy, cioè se alcune informazioni che lo riguardano non sono state trattate nel modo corretto, può fare valere i propri diritti rivolgendosi a uno dei seguenti organi:

Leggi Anche: Spiare WhatsApp: è possibile e legale?

• Garante della privacy: può semplicemente disporre il blocco o l’utilizzo dei dati in questione, ma non ha il potere per chiedere un risarcimento dei danni subiti
• Autorità Giudiziaria: può condannare il colpevole a pene civili e penali, e attribuire un risarcimento dei danni alla vittima

Le pene previste quando vengono trattati illecitamente i dati personali di un’altra persona possono essere sia civili, che penali, a seconda dei casi

In seguito proviamo ad analizzare cosa è cambiato per quanto riguarda i reati penali, con l’introduzione del nuovo codice della privacy, del 19 settembre 2018.

Violazione privacy penale: la nuova normativa

Abbiamo detto che in seguito all’introduzione del Regolamento Europeo sulla Protezione dei Dati (GDPR), in italia è stato emanato un nuovo Codice della Privacy, per recepire quanto stabilito attraverso le direttive europee.

Leggi Anche: Spiare i dipendenti è reato? Cosa dice la legge?

La nuova normativa italiana si muove secondo due diverse linee per quanto riguarda le sanzioni penali previste in caso di violazione della privacy:

• depenalizzazione: per alcune fattispecie incriminatrici presenti nella vecchia legge, per evitare il rischio di violazione del principio del “ne bis in indem” (letteralmente non due volte la stessa cosa), tra sanzione penale e amministrative
• introduzione di nuove ipotesi di reato: in particolare la diffusione illecita di dati personali su larga scala

Con l’approvazione della nuova legge, il legislatore ha deciso di avvalersi della cosiddette “clausole di apertura” previste nel GDPR, ossia particolari disposizioni che gli Stati membri possono decidere se mantenere o introdurre ulteriori norme specifiche per la protezione dei dati personali.

Leggi Anche: Registrare telefonate: quando è legale?

In particolare nel nostro Paese è sono state introdotte sanzioni penali per alcune violazioni alla privacy, che vanno ad aggiungersi a sanzioni amministrative già previste dal Regolamento europeo. 

Violazione privacy penale: quali sono i reati?

In Italia è stato deciso, attraverso l’introduzione del nuovo codice della Privacy di aggiungere delle sanzioni penali a fronte di determinati reati, considerati quindi gravi dal legislatore.

I reati in questione sono i seguenti:

• Trattamento illecito dei dati
• Dati personali oggetto di trattamento su larga scala
• Falsità nelle dichiarazioni al garante
• Inosservanza di provvedimenti del Garante
• Controlli a distanza e indagini sulle opinioni dei lavoratori

Analizziamoli ora, singolarmente.

Trattamento illecito dei dati

Viene punito chi, al fine di trarre un profitto per sé o per altri, arrechi un danno al proprietario dei dati. Ciò avviene anche quando le informazioni personali vengono trasferite verso un paese terzo o a un’organizzazione internazionale, recando dei danni all’interessato.

Ma, se per lo stesso fatto è stata applicata una norma che prevede una sanzione amministrativa pecuniaria e questa è già stata riscossa, la pena prevista può essere ridotta.

Dati personali oggetto di trattamento su larga scala

Si tratta di una nuova tipologia di reato, che va a colpire chi comunica e diffonde i dati personali di un soggetto su larga scala, per trarre dei profitti. Si pensi ad esempio agli archivi automatizzati che raccolgono i dati.

In questo caso, però, il concetto di larga scala non è stato chiaramente definito dalla normativa e potrebbe causare difficoltà interpretative. 

A questo reato può essere collegato quello di “acquisizione fraudolenta dei dati” per poi diffonderli su larga scala. 

Falsità nelle dichiarazioni al Garante

Viene punito chiunque, durante gli accertamenti di fronte al Garante, dichiari il falso o presenti documenti non veri. Ma, anche chi intenzionalmente interrompa o impedisca il corretto svolgimento di un procedimento presso il Garante può subire una sanzione.

Inosservanza di provvedimenti del Garante

Se non vengono rispettare le decisioni del Garante, è sempre prevista come sanzione la pena detentiva

Controlli a distanza e indagini sulle opinioni dei lavoratori

Nel nuovo Codice della Privacy è stato confermato il reato per la violazione degli articoli 4 e 8 dello Statuto dei lavoratori.

In particolare viene sempre punito l’utilizzo di impianti audiovisivi utilizzati per controllare a distanza i propri dipendenti, se non è stato prima concordato con le parti in questione. Si possono installare strumenti di videosorveglianza solo dopo avere avuto l’autorizzazione dei sindacati e dell’Ispettorato del lavoro.

E’ vietato, inoltre, svolgere indagini per conoscere le opinioni politiche, religiose e le appartenenze sindacali di un lavoratore, prima di decidere se assumerlo o meno.

Quali sono le violazioni della privacy?

Come avviene la violazione della privacy?

Quando la violazione della privacy è reato?

Quando si può denunciare una persona per violazione della privacy?