Buttare il computer, e i dati in esso contenuti? Ecco come fare

Come rottamare il pc, buttare CD e DVD (ma anche cellulari aziendali) e cancellare in maniera definitiva i dati personali in essi contenuti nel rispetto della privacy.
La cancellazione definitiva dei dati quali rubriche telefoniche, foto, filmati, numeri di conto bancario, eventuali dati sanitari ecc), è obbligo di legge

Misure preventive
Crittografare i dati presenti, ovvero applicare un sistema di cifratura ai dati in modo che senza la chiave crittografica (un codice in pratica) non si possano vedere.

Misure per lai cancellazione sicura
Usare programmi di “riscrittura” che provvedono a scrivere ripetutamente nelle aree vuote (file cancellati ma non del tutto in quanto recuperabili con appositi programmi), cancellando definitivamente e in modo irrecuperabile i dati. Si possono anche utilizzare sistemi di formattazione o di “demagnetizzazione” per la cancellazione rapida delle informazioni.

Smaltimento di rifiuti elettrici ed elettronici
Per la distruzione degli hard disk e di supporti magnetici non riscrivibili, come cd rom e dvd, è consigliabile l’utilizzo di sistemi di punzonatura o deformazione meccanica o di demagnetizzazione o di vera e propria distruzione fisica.

Comments(0)

È lecito trattare dati biometrici dei dipendenti in casi particolari, per specifiche e rilevanti finalità, come ad esempio  la salute pubblica. Approvato dunque dal Garante Privacy l’impiego di un sistema di rilevazione delle impronte digitali dei dipendenti proposto da una società di risorse idriche per monitorare gli accessi all’area specifica di potabilizzazione dell’acqua. La rilevazione delle impronte è stata accettata in quanto la riservatezza in questo caso specifico è stata ritenuta non prevalente rispetto alle esigenze di sicurezza dell’impianto idrico, di tutela della qualità delle acque e di salute pubblica.
Ai dipendenti sarà richiesto comunque il consenso, le impronte saranno trasformate in codici numerici e archiviate in una smart card. I dati relativi alla rilevazione biometrica potranno essere conservati solo per una settimana e poi distrutti. L’accesso a tali dati sarà concesso solo agli interessati o all’autorità giudiziaria previa specifica richiesta.
 

Comments(0)

Il 31 marzo è il giorno di scadenza per la redazione del DPS (documento programmatico sulla sicurezza), un documento che fotografa la situazione aziendale in materia di privacy, dando conto di quanto fatto e progettando il da farsi.

Come ogni anno veniamo tempestati da chiamate e mail dell’ultimo momento. Ci permettiamo di darvi un consiglio: è impossibile adeguarsi in una settimana, programmate oggi il vostro adeguamento e mettetelo in atto gradualmente. Se non potete permettervi una consulenza tradizionale, avvaletevi del nostro servizio “un adeguamento alla settimana“. Programma di adeguamento progressivo. Con l’aiuto di un consulente personale on line capirete cosa fare e come farlo e ogni settimana ottempererete a un adempimento. Realizzererete da soli il DPS e in poco tempo sarete a norma in grado di gestire autonomamente l’attuazione della legge privacy. 20 moduli, 25 euro a modulo, primo modulo di prova gratuito, per informazioni scrivere a comunicazioni@consulentiprivacy.it

Comments(0)

I dati sul fallimento rientrano nelle informazioni utili a valutare la situazione finanziaria ed il merito creditizio di un soggetto e sono informazioni pubbliche desunte dal registro delle imprese. Se contenuti in archivi separati dal complessivo sistema di informazioni creditizie e non interconnessi ad esso possono essere legittimamente trattati dai Sistemi di informazioni creditizie (Sic) e dalle “centrali rischi”.

Comments(0)

Il requisito di legge è che il documento sia aggiornato almeno annualmente. Coloro che si sono adeguati alle diverse e differenti scadenze (giugno, dicembre, marzo) non devono aggiornare obbligatoriamente a marzo. E’ sufficiente che non detengano un documento di oltre 12 mesi.

Comments(0)

Si avvicina la scadenza annuale per l’aggiornamento del Documento Programmatico sulla sicurezza dei dati personali, e ci sembra il momento giusto per ricordarvi le semplificazioni approvate questo anno relative all’adeguamento privacy per le piccole realtà aziendali.
Se ne avete bisogno potete, al costo di 78 euro, acquistare le nostre schede Help Privacy con dettagliate indicazioni pratiche, altrimenti vi rimandiamo alle linee guida emanate dal Garante che troverete all’indirizzo:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1412271

Comments(0)

Per quanto riguarda la posta elettronica ecco i suggerimenti, talvolta poco praticabili del Garante Privacy:

- indirizzi e-mail comuni a più lavoratori (tipo info@ contatti@…) mostrano con chiarezza che l’indirizzo è aziendale e non personale;

- possibilità da parte dell’azienda di attribuire al lavoratore un indirizzo privato oltre a quello aziendale (?);

- autoreply in caso di assenza del lavoratore, in pratica una risposta automatica con le indicazioni dell’assenza e di altri colleghi a cui rivolgersi;

- individuazione da parte del lavoratore di un suo delegato di fiducia che controlli la posta in sua assenza e la inoltri al titolare dove necessario (solo in caso di assenza prolungata o non prevista del lavoratore e di improrogabili necessità legate all’attività lavorativa).

Comments(0)

Privacy e oneri burocratici delle imprese: ritirato l’emendamento resta il problema…

Il Garante Privacy aveva nei giorni scorsi sottolineato l’illegittimità degli emendamenti del ddl Bersani che mettevano a rischio la tutela dei dati personali dei lavoratori raccolti dalle imprese.
Gli emendamenti prevedevano l’eliminazione delle tutele per le persone giuridiche, gli enti e le associazioni e l’esclusione delle aziende dall’adozione di svariate misure.
L’ex Garante Rodotà aveva lanciato un appello, segnalando il contrasto degli emendamenti con la normativa europea.
Gli emendamenti sono stati ritirati. Resta la problematica della giusta proporzione tra la finalità della tutela dei diritti e gli oneri burocratici che gravano sulle attività economiche, in considerazione anche dei minori oneri a cui sono soggette le imprese di altri paesi europei. 

Comments(0)

Marketing diretto, uso dei nominativi pubblici e provvedimento del Garante privacy

Potrebbe essere di 30 mila posti di lavoro la perdita dovuta all’inasprimento delle regole sull’utilizzo delle liste di nominativi “pubblici”. Più che di inasprimento si dovrebbe parlare di “attuazione” visto che comunque le regole del gioco sono già sulla carta da molto tempo. Finora però le aziende hanno potuto operare grazie ad interpretazioni, rimandi, e assenza di reali prese di posizione.
Il Garante privacy Pizzetti chiede di interrompere l’utilizzo di numeri telefonici trattati a fini commerciali senza il previo consenso da parte degli interessati. Obbligatorio informare gli utenti al momento della chiamata circa l’origine dei dati (come li ho ottenuti) e l’uso che viene fatto.
Obbligatorio rispettare subito la volontà degli utenti di non essere nuovamente contattati, obbligatorio controllare l’operato degli eventuali soggetti esterni a cui l’attività di call center è data in outsourcing.
Entro il 10 settembre Telecom, Fastweb, Tele2, Wind e Fiscali, colpiti da un provvedimento il giugno scorso, dovranno mettersi in regola… ma non dovevano esserlo già, come tutte le altre aziende?
La stretta sulle regole pare essere imminente, ma come faranno le aziende a fare marketing con i soli nominativi che hanno acconsentito? Pensate che gli elenchi telefonici recano poco più di 250.000 nominativi di persone che hanno acconsentito ad essere contattati a fini promozionali…
E che dire delle barriere di accesso al mercato che incontrerebbero le aziende di nuova costituzione nel fare marketing telefonico (le vecchie potrebbero utilizzare i database acquisiti, le nuove società solo i nominativi che hanno dato il consenso “oggi”)?
Ma perchè non provare con una bella lista all’americana? Le aziende di marketing lavorano, i cittadini che dichiarano di loro iniziativa di non voler essere contattati si iscrivono ad una “lista nera” e le società controllano di non contattare soggetti facenti parte di tale lista… troppo semplice, siamo italiani…

Comments(0)

REGOLE DA RISPETTARE PER EFFETTUARE UN LEGITTIMO CONTROLLO DEL DIPENDENTE

In sintesi
Controllo posta elettronica e navigazione in Internet dei dipendenti possibile ma: devono essere necessari e proporzionati, devono essere rispettati i principi di pertinenza e non eccedenza, il datore di lavoro deve definirne le modalità dei controlli tenendo conto dei diritti dei lavoratori e della disciplina in tema di relazioni sindacali (accordo con le RSU o in assenza con l’Ispettorato).

Le regole da rispettare

Principio di necessità
Minimizzare l’uso di dati riferibili ai lavoratori.

Trasparenza
Vietati controlli all’insaputa dei lavoratori.
I datori di lavoro devono informare con chiarezza e in modo dettagliato i lavoratori sulle modalità di utilizzo di Internet e della posta elettronica e sulla possibilità e modalità di effettuazione di eventuali controlli.
Mettere in chiaro le regole significa evitare controlli successivi da parte del datore di lavoro per comportamenti non corretti (prevengo).

Esempi di misure da adottare suggerite  dal Garante:
- individuare preventivamente i siti considerati attinenti o meno l’attività lavorativa;
- utilizzare filtri che impediscano il prevengano download di file musicali o multimediali;
- determinare delle black list;
- prevedere indirizzi condivisi tra più lavoratori (info@ciccio.com, costumer@…. reclami@….), rendendo così chiara la natura non privata della corrispondenza;
- prevedere, in caso di assenza del lavoratore programmata, sistemi semplici per permettere al lavoratore di attivare un messaggio di risposta automatica con le coordinate di altri lavoratori cui rivolgersi;
- prevedere, in caso di assenza del lavoratore non programmata, l’attivazione da parte dell’amministratore di sistema di un messaggio di risposta automatica con le coordinate di altri lavoratori cui rivolgersi;
- mettere in grado il dipendente di delegare un altro lavoratore (fiduciario) a verificare  il contenuto dei messaggi a lui indirizzati e a inoltrare al titolare quelli ritenuti rilevanti per l’ufficio, ciò in caso di assenza prolungata o non prevista del lavoratore interessato e di improrogabili necessità legate all’attività lavorativa.

Controlli graduali
Nel caso in cui gli accorgimenti preventivi non siano stati sufficienti e si sia prodotto un evento dannoso, il datore di lavoro può adottare misure che consentano la verifica di comportamenti anomali.
Deve essere preferito un controllo preliminare su dati aggregati, riferiti all’intera struttura lavorativa o a sue aree.
Il controllo aggregato può concludersi con un avviso generalizzato relativo ad un rilevato utilizzo anomalo degli strumenti aziendali e con l’invito ad attenersi scrupolosamente a compiti assegnati e istruzioni impartite. In assenza di successive anomalie non è di regola giustificato effettuare controlli su base individuale.
Non ammissibili controlli prolungati, costanti o indiscriminati.
Controlli a distanza possibili
Il datore di lavoro, utilizzando sistemi informativi per esigenze produttive o organizzative (ad es., per rilevare anomalie o per manutenzioni) o, comunque, quando gli stessi si rivelano necessari per la sicurezza sul lavoro, può avvalersi legittimamente, nel rispetto dello Statuto dei lavoratori (art. 4, comma 2), di sistemi che consentono indirettamente un controllo a distanza.
Il trattamento di dati che ne consegue se rispetta le regole è lecito.

Vietata:
- La lettura e registrazione sistematica delle e-mail;
- Il monitoraggio sistematico delle pagine web visualizzate dal lavoratore;
- Altre misure quali la lettura e la registrazione dei caratteri inseriti tramite la tastiera o analogo dispositivo;
- l’analisi occulta di computer portatili affidati in uso.

Possibile a certe condizioni :
- l’analisi del contenuto della navigazione in Internet
- l’apertura di alcuni messaggi di posta elettronica contenenti dati necessari all’azienda.

Conservazione dei file di log
I sistemi software devono essere programmati e configurati in modo da cancellare periodicamente ed automaticamente (attraverso procedure di sovraregistrazione come, ad esempio, la cd. rotazione dei log file ) i dati personali relativi agli accessi ad Internet e al traffico telematico, la cui conservazione non sia necessaria.
In assenza di particolari esigenze tecniche o di sicurezza, la conservazione temporanea dei dati relativi all’uso degli strumenti elettronici deve essere giustificata da una finalità specifica e comprovata e limitata al tempo necessario –e predeterminato– a raggiungerla.

Un eventuale prolungamento dei tempi di conservazione va valutato come eccezionale e può aver luogo solo in relazione:

- ad esigenze tecniche o di sicurezza del tutto particolari;
- all’indispensabilità del dato rispetto all’esercizio o alla difesa di un diritto in sede giudiziaria;
- all’obbligo di custodire o consegnare i dati per ottemperare ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria.
Soggetti preposti
Nel caso di eventuali interventi per esigenze di manutenzione del sistema, va posta opportuna cura nel prevenire l’accesso a dati personali presenti in cartelle o spazi di memoria assegnati a dipendenti.
Resta fermo l’obbligo dei soggetti preposti al connesso trattamento dei dati (in particolare, gli incaricati della manutenzione) di svolgere solo operazioni strettamente necessarie al perseguimento delle relative finalità, senza realizzare attività di controllo a distanza, anche di propria iniziativa.
Gli amministratori di sistema o figure analoghe devono essere opportunamente formati. 

Comments(0)