da Italia Oggi del 08.11.2022 “Privacy, tutti i rischi dei presidi”

 

 

La procedura di gestione di una istanza di accesso civico generalizzato

L’accesso civico generalizzato è stato istituito per dar vita a forme di “controllo diffuso” sull’operato della PA in funzione di contrasto alla corruzione. Per questo motivo l’amministrazione deve evitare ogni formalismo inutile nella presentazione delle istanze, ed anzi deve cercare di agevolare il più possibile il cittadino che desideri avanzarle.

Di conseguenza, se l’istanza è presentata ad es. alla PEC sbagliata, o all’ufficio sbagliato, non dovrà essere respinta ma inoltrata all’ufficio corretto (al massimo, se proprio il soggetto è radicalmente diverso, si può indicare l’ente in possesso dei dati invitando il cittadino a ripresentare a là la domanda). Non occorre indicare formule specifiche nè si può imporre l’uso di moduli particolari.

L’importante è che sia chiaro chi avanza la richiesta e cosa chiede.

Se il richiedente presenta una richiesta di “accesso agli atti” che non può essere accolta come tale ma sarebbe legittima come accesso generalizzato, va trattata come tale.

I dati richiesti

Diversamente dalle altre forme di accesso, nell’accesso generalizzato non è necessario che sia chiesto un “documento amministrativo” ma può avere ad oggetto ad es. fotografie, mappe ecc. L’istanza può riguardare anche semplici “dati” o “informazioni”, o documenti individuati per relationem, ma in modo sufficientemente chiaro da permettere di capire cosa venga chiesto. Tendenzialmente quindi il cittadino è legittimato a chiedere qualunque cosa, salvo i limiti che vedremo.

Il legislatore infatti non ha voluto gravare il cittadino con la necessità di individuare esattamente l’atto da chiedere (perchè difficilmente ne conosce ad es.il protocollo) per evitare rigetti dell’istanza pretestuosi. E’ sufficiente quindi indicare i dati voluti, e non gli atti che li contengano.

D’altra parte però questi dati minimi devono essere indicati. Affermano infatti le linee guida ANAC sull’accesso civico: “non è ammissibile una richiesta meramente esplorativa, volta semplicemente a “scoprire” di quali informazioni l’amministrazione dispone. Le richieste, inoltre, non devono essere generiche, ma consentire l’individuazione del dato, del documento o dell’informazione, con riferimento, almeno, alla loro natura e al loro oggetto“.

Ciò che viene chiesto deve essere già in possesso dell’amministrazione, non deve essere raccolto o creato sul momento. Sempre le linee guida sottolineano che “resta escluso che – per rispondere a tale richiesta – l’amministrazione sia tenuta a formare o raccogliere o altrimenti procurarsi informazioni che non siano già in suo possesso. Pertanto, l’amministrazione non ha l’obbligo di rielaborare i dati ai fini dell’accesso generalizzato, ma solo a consentire l’accesso ai documenti nei quali siano contenute le informazioni già detenute e gestite dall’amministrazione stessa”.

Riguardo ai dati statistici, si possono chiedere le statistiche ma non i dati elementari di queste (riservati ai soli ricercatori).

I costi

Generalmente il cittadino non dovrebbe sostenere costi per ottenere quanto desidera. La richiesta non deve essere in bollo. L’art. 5 co.4 del D.Lgs. 33 infatti prevede il solo rimborso dei costi effettivamente sostenuti dall’amministrazione per la riproduzione su supporti materiali. Pertanto, se il richiedente domanda esclusivamente documenti digitali, non potrà essergli richiesto alcunchè. Se richiede copie cartacee, dvd o altri supporti materiali potrà essergli chiesto esclusivamente il rimborso dei costi di riproduzione su questi supporti e l’importo della spedizione.

E’ bene evidenziare che la scelta del supporto è rimessa al richiedente, e che l’importo chiesto dalla PA deve essere da questa “documentato”, al fine di evitare richieste pretestuosamente alte.

Chiaramente, se vengono chieste copie “conformi all’originale”, l’imposta di bollo è dovuta.

I limiti all’accesso civico generalizzato

Non tutte le richieste di accesso generalizzato devono essere accolte. Il legislatore infatti prevede delle eccezioni:

Limiti assoluti (tassativi): quando ricorrono, la PA deve respingere l’istanza

Limiti relativi: quando ricorrono, la PA può respingere l’istanza dopo aver esaminato le circostanze concrete.

I limiti assoluti sono il segreto di Stato e gli altri casi di divieto di accesso o divulgazione previsti dalla legge, inclusi quelli in cui l’accesso è subordinato dalla disciplina vigente al rispetto di specifiche modalità o limiti. Tra questi vi sono le norme per l’accesso agli Archivi di Stato, sull’accesso agli atti di gara ecc.

Le eccezioni relative sono previste all’art. 5-bis del D.Lgs. 33-2013 e sono legate alla necessità di evitare un pregiudizio concreto a sicurezza pubblica e ordine pubblico; sicurezza nazionale; difesa e questioni militari; relazioni internazionali; politica e stabilità finanziaria ed economica dello Stato; conduzione di indagini sui reati e il loro perseguimento; regolare svolgimento di attività ispettive.

Chiaramente, i limiti relativi sono quelli che pongono i maggiori problemi, e ogni istanza fa storia a sè perchè va esaminata in concreto. Vi rimandiamo alle linee guida ANAC (soprattutto), ai pareri del Garante privacy, alle circolari del Dipartimento della Funzione Pubblica (in particolare la n. 2-2017) oltre che alla giurisprudenza che si sta formando pian piano sul tema, per ogni approfondimento su questi argomenti.

Quello che ci preme analizzare, piuttosto, è l’iter da seguire nella trattazione di una istanza di accesso civico generalizzato perchè è molto dettagliato e complesso.

Qui di seguito esaminiamo in dettaglio la procedura di gestione di un’istanza di accesso civico generalizzato.

L’iter della procedura, che deve concludersi entro 30 giorni dalla presentazione dell’istanza (NB non dalla protocollazione!), è descritto ai commi da 3 a 10 dell’art. 5 del D.Lgs. 33-2013.

I controinteressati

Per prima cosa l’ufficio destinatario della richiesta (presumiamo che sia quello che effettivamente detiene i dati) deve valutare se esistono soggetti “controinteressati”. In particolare, può accadere che l’istanza riguardi o contenga dati personali di terzi che potrebbero essere danneggiati dalla loro divulgazione, o che possa incidere sulla libertà e segretezza della corrispondenza, o ledere gli interessi economici e commerciali (compresi la proprietà intellettuale, il diritto d’autore e i segreti commerciali) di terzi. In tutti questi casi, la norma prevede che i controinteressati vadano obbligatoriamente informati e il termine di conclusione del procedimento sia sospeso fino a 10 giorni dal ricevimento dell’ultima delle comunicazioni ai controinteressati.

A questo riguardo ci preme evidenziare che i controinteressati devono essere avvisati soltanto mediante raccomandata (o PEC solo se hanno consentito a questa forma di comunicazione), il che può porre oggettivi problemi pratici qualora ve ne siano molti. Basti pensare a quando vengono richiesti i dati sugli assegnatari di case popolari, ad esempio. In ogni caso i controinteressati hanno 10 giorni dal ricevimento della raccomandata per opporsi formalmente e motivatamente all’accoglimento dell’istanza di accesso.

La presa di posizione dei controinteressati

A questo punto l’amministrazione può trovarsi davanti a un’alternativa: se i controinteressati non si sono opposti o hanno rilasciato una liberatoria espressa, la PA può decidere in tutta libertà e solitamente accoglierà l’istanza, trasmettendo immediatamente (o comunque appena possibile) i dati richiesti. Chiaramente, se sono richieste copie cartacee o su supporti per cui è necessario rimborsare un costo, prima di trasmettere quanto richiesto la PA dovrà informare il richiedente del costo e attendere il pagamento del dovuto.

Se invece i controinteressati hanno presentato opposizione, la PA dovrà esaminarla e valutarla.

Se riterrà di accogliere l’opposizione, dovrà emanare un provvedimento contenente una motivazione adeguata circa il pregiudizio che l’ostensione dei documenti arrecherebbe ai terzi o agli interessi tutelati dall’art. 5-bis e lo notificherà al richiedente.

Se deciderà di ignorare l’opposizione, l’amministrazione dovrà emanare un provvedimento contenente una motivazione adeguata sul fatto che l’accoglimento dell’istanza non pregiudica in concreto gli interessi tutelati. In particolare, visto che bisogna cercare di contemperare il diritto alla trasparenza e quello alla riservatezza, la PA potrebbe decidere di differire l’accesso o di accoglierlo solo in parte, oscurando le parti più ‘sensibili’ dei documenti, e così via. Se c’è stata opposizione dei controinteressati, la norma prescrive che questi vengano informati della decisione e che i dati non possano essere trasmessi al richiedente prima di 15 giorni dalla ricezione di questa comunicazione. La ratio di questa previsione è evidente: una volta consegnati i documenti, il pregiudizio è irreparabile perchè ormai i dati sono conosciuti da chi li ha chiesti; pertanto è necessario lasciare al controinteressato il tempo di opporsi a questo provvedimento e astenersi dal trasmettere le informazioni.

In ogni caso il procedimento deve sempre concludersi con un provvedimento espresso e motivato.

Sia il richiedente che si vede opporre un diniego che il controinteressato che non vede accolta la sua opposizione possono sia ricorrere al TAR, che presentare richiesta di riesame al Responsabile della Trasparenza dell’ente (oltre che al difensore civico in caso di enti locali).

In conclusione:

Quindi, riassumendo, l’iter del procedimento di accesso civico generalizzato ha otto passaggi:

1) ricezione dell’istanza

2) istruttoria volta a reperire i dati ed individuare eventuali controinteressati

3) comunicazione via raccomandata ai controinteressati (sospensione del termine)

4) presa di posizione dei controinteressati (liberatoria, opposizione o silenzio)

5) decisione motivata della P.A. (accoglimento, rigetto o differimento dell’istanza)

6) comunicazione ai controinteressati ed al richiedente

7) eventuali richieste di riesame

8) (in caso di accoglimento dell’istanza) trasmissione di dati, informazioni e documenti richiesti.

da: funzionarioamministrativo.it

 

Pa: attenzione a quando si pubblicano dati on line

Quando pubblicano atti e documenti on line, le Pubbliche amministrazioni devono porre la massima attenzione a non diffondere dati che non siano pertinenti rispetto alle finalità di trasparenza perseguite. Lo ha ribadito il Garante privacy nel comminare una sanzione di 10 mila euro a un Comune.

L’Autorità è intervenuta su richiesta di un reclamante che lamentava la diffusione di dati personali contenuti all’interno di un curriculum vitae pubblicato sul sito web istituzionale di un Comune, con cui da tempo aveva cessato l’attività lavorativa. Con il reclamo l’interessato aveva anche fatto presente la peculiare condizione personale, in ragione della quale la diffusione dei dati avrebbe potuto comportare dei rischi per sé e per la famiglia.

Nel corso dell’istruttoria il Garante ha accertato che il curriculum era rimasto disponibile online oltre l’arco temporale previsto dalla disciplina di settore e che la circostanza aveva comportato la diffusione dei dati in assenza di base giuridica. Il Comune non aveva neanche operato un’attenta selezione dei dati in esso contenuti (indirizzo di residenza, numero di cellulare e indirizzo di posta elettronica personali).

Quanto alla tesi difensiva avanzata dal Comune, secondo la quale la pubblicazione del curriculum del reclamante sarebbe dipesa dalla condotta negligente del fornitore cui era stata affidata all’epoca la gestione della pagina “Amministrazione Trasparente” del sito, il Garante ha ricordato che spetta al titolare del trattamento, quindi nel caso in esame al Comune, impartire adeguate indicazioni ai fini della corretta gestione del ciclo di vita dei dati a chi li tratta per suo conto. Indicazioni che l’Ente aveva mancato di dare alla società affidataria del servizio informatico.

La diffusione dei dati personali del reclamante era pertanto avvenuta in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”. Tra le altre violazioni riscontrate dall’Autorità, anche la mancata risposta da parte del Comune alla richiesta di esercizio dei diritti dell’interessato.

Nel determinare l’ammontare della sanzione il Garante privacy ha tenuto favorevolmente in considerazione che la violazione non ha riguardato categorie particolari di dati personali e ha coinvolto un solo interessato. Il titolare ha inoltre fornito assicurazioni in merito alle modalità con cui in futuro provvederà a pubblicare atti e documenti contenenti dati personali sul proprio sito web istituzionale.

Da Italia Oggi del 9 agosto 2022

 

Google: Garante privacy stop all’uso degli Analytics. Dati trasferiti negli Usa senza adeguate garanzie.

Il sito web che utilizza il servizio Google Analytics (GA), senza le garanzie previste dal Regolamento Ue, viola la normativa sulla protezione dei dati perché trasferisce negli Stati Uniti, Paese privo di un adeguato livello di protezione, i dati degli utenti.
Lo ha affermato il Garante per la privacy a conclusione di una complessa istruttoria avviata sulla base di una serie di reclami e in coordinamento con altre autorità privacy europee. Dall'indagine del Garante è emerso che i gestori dei siti web che utilizzano GA raccolgono, mediante cookie, informazioni sulle interazioni degli utenti con i predetti siti, le singole pagine visitate e i servizi proposti. Tra i molteplici dati raccolti, indirizzo IP del dispositivo dell’utente e informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, nonché data e ora della visita al sito web. Tali informazioni sono risultate oggetto di trasferimento verso gli Stati Uniti. Nel dichiarare l’illiceità del trattamento è stato ribadito che l’indirizzo IP costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso.
All’esito di tali accertamenti il Garante ha adottato il primo di una serie di provvedimenti con cui ha ammonito Caffeina Media S.r.l. che gestisce un sito web, ingiungendo alla stessa di conformarsi al Regolamento europeo entro novanta giorni. Il tempo indicato è stato ritenuto congruo per consentire al gestore di adottare misure adeguate per il trasferimento, pena la sospensione dei flussi di dati effettuati, per il tramite di GA, verso gli Stati Uniti.
Il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, alla luce delle indicazioni fornite dall’EDPB (Raccomandazione n. 1/2020 del 18 giugno 2021), le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono, allo stato, un livello adeguato di protezione dei dati personali degli utenti.
Con l’occasione l’Autorità richiama all’attenzione di tutti i gestori italiani di siti web, pubblici e privati, l’illiceità dei trasferimenti effettuati verso gli Stati Uniti attraverso GA, anche in considerazione delle numerose segnalazioni e quesiti che stanno pervenendo all’Ufficio. E invita tutti i titolari del trattamento a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali.
Allo scadere del termine di 90 giorni assegnato alla società destinataria del provvedimento, il Garante procederà, anche sulla base di specifiche attività ispettive, a verificare la conformità al Regolamento Ue dei trasferimenti di dati effettuati dai titolari.

Google Analytics si può usare?

Google Analytics è uno strumento gratuito che consente di analizzare le prestazioni di un sito web. Lo strumento mette a disposizione due tipologie di cookie per fare questa analisi:  

- Cookie anonimi

- Cookie profilanti non anonimi  

L'autorità Garante per la protezione dei dati personali italiana, relativamente alla presenza di Cookie Analitici ha affermato nelle "LINEE GUIDA COOKIE E ALTRI STRUMENTI DI TRACCIAMENTO": "Affinché i cookie analytics siano equiparati ai tecnici è, in altri termini, indispensabile precludere la possibilità che si pervenga, mediante il loro utilizzo, alla diretta individuazione dell’interessato (cd. single out), il che equivale impedire l’impiego di cookie analytics che, per le loro caratteristiche, possano risultare identificatori diretti ed univoci."

 

Monitor PA

Nei giorni scorsi, una associazione chiamata Monitor PA ha inviato a circa 8.000 tra enti, pubblica amministrazione, società in house una lettera di diffida a continuare ad utilizzare Google Analytics, avvisandole che in caso contrario sarebbero state denunciate all'Autorità Garante della Protezione dei dati e al Difensore Civico Digitale.

 

Perché non si può utilizzare G.A.?

Come tutti sappiamo GA appartiene ad una società americana (Google LLC), che ha creato per l'Europa, una sede centrale in Irlanda.

Ricordo, inoltre, che nel 2020 la corte di Giustizia Europea ha abolito il Privacy Shield, e da allora siamo ancora in attesa di un nuovo accordo per il trasferimento dei dati personali negli USA.

Sulla base di questi due fatti, l'associazione NOYB ha fatto delle segnalazioni alle diverse Autorità di Protezione dei Dati contro Google LLC denunciando la non conformità al GDPR dello strumento Google Analytics.

A Dicembre 2021 e a Febbraio 2022 la DPA austriaca e quella francese hanno dichiarato illegale l'uso di Google Analytics. 

Inoltre, la DPA austriaca (DSB) ha ora emesso una seconda decisione: ha dichiarato l'uso dell'anonimizzazione dell'IP di Google una misura di protezione inutile per i trasferimenti di dati tra l'UE e gli Stati Uniti.

Il DSB ha inoltre respinto la nozione di un "approccio basato sul rischio" che era stato sostenuto da Google.

 

Garante Privacy italiano

In Italia il Garante Privacy non si è ancora mai pronunciato contro questo strumento, ma è ovvio che se Google non modificherà qualcosa, rischia di diventare illegale in tutta Europa.

Da Italia Oggi del 5 aprile 2022

 

Il Garante della Privacy blocca la diffusione della chat tra studente e preside del liceo di Roma

 Il Garante interviene nel caso della presunta relazione tra la dirigente scolastica e uno studente maggiorenne. Disposto il blocco d'urgenza per il quotidiano "la Repubblica" 

Il Garante per la protezione dei dati personali ha disposto, in via d'urgenza, "il blocco provvisorio di ogni ulteriore diffusione, anche on line, dei contenuti dei messaggi acquisiti e presentati, come loro trascrizione, in alcuni articoli pubblicati oggi da 'la Repubblica', riguardanti la relazione intima che sarebbe intercorsa tra la dirigente di un liceo romano ed uno studente dello stesso istituto". Lo comunica lo stesso Garante in una nota. 

Il Garante è intervenuto in maniera netta sul caso del liceo romano, sottolineando che "gli stralci dei messaggi riportano dettagli relativi ai rapporti personali, anche attinenti alla sfera sessuale, tra la preside (identificata con il nome e cognome e con alcune sue fotografie) e lo studente del liceo, maggiorenne, di cui viene pubblicato il (presunto) nome, indugiando sulle frasi che si sono scambiati e sulle circostanze dei loro incontri, che nulla aggiungono alla necessità di fare chiarezza sulla vicenda". 

Così "il Garante, nel richiamare il Codice privacy,  il quale prevede che in caso di diffusione o di comunicazione di dati personali per finalità giornalistiche devono essere sempre rispettati i limiti del diritto di cronaca - rappresentati dalla tutela della dignità, della riservatezza, dell'identità personale e della protezione dei dati personali e, in particolare, il limite dell'essenzialità dell'informazione riguardo a fatti di interesse pubblico, ha ritenuto di conseguenza necessario disporre il 'blocco' provvisorio del trattamento nei confronti di Gedi, Gruppo Editoriale SPA, riservandosi ogni altra decisione a conclusione dell'istruttoria avviata sul caso". 

Inoltre, "l'Autorità sta valutando la diffusione della chat e dei dati personali anche su altre testate".

www.studiolobrutto.eu

Guerra e volti dei bambini: monito del Garante a media e social I minori rischiano una esposizione mediatica senza fine

“Basta con i volti disperati dei bambini in televisione, sui giornali e sui social network. Evitiamo di portare, almeno i più piccoli, in guerra una seconda volta, nella dimensione digitale”.  E’ il monito che il Garante per la protezione dei dati personali rivolge ai media, alle grandi piattaforme di condivisione di contenuti e a ciascun utente dei social network.

L’immagine del bambino, come qualsiasi dato personale che lo riguardi – ricorda l’Autorità - in realtà, dovrebbe entrare nel sistema mediatico solo quando ciò sia indispensabile o, ancora meglio, solo quando la sua pubblicazione sia nell’interesse del bambino.

Perché, altrimenti, quelle fotografie e quei dati, nella dimensione digitale, perseguiteranno quei bambini per sempre, e, magari, in molti casi li esporranno a conseguenze discriminatorie di carattere sociale, culturale, religioso o politico di ogni genere, conseguenze, forse, oggi, in molti casi persino imprevedibili. E, certamente, quelle immagini finiranno in pasto ad algoritmi di ogni genere per le ragioni più diverse.

Il Garante richiama quindi tutti i mezzi di comunicazione di massa, pur nell’indispensabile lavoro di testimonianza dei tragici effetti della guerra, ad una maggior tutela dei minori.

www.studiolobrutto.eu

Corsi di formazione PES - PAV - PEI

Lo sapevi che secondo la nuova norma CEI 11-27 nessuno può intraprendere una qualsiasi attività lavorativa con pericoli elettrici in assenza dei requisiti di PES PAV PEI, o senza essere sottoposto alla supervisione o alla sorveglianza che il lavoro richiede?

Scopri i nostri Corsi di Formazione sulla CEI 11-27 disponibili in E-Learning. 

Scrivi a: cermed.customer@gmail.com