.

.

Ciao

Benvenuta e benvenuto nel Blog di Christian Bernieri. Sei in un posto dove riflettere e rimuginare in libertà su privacy, sicurezza, protezione dei dati personali e sui fatti che accadono nel mondo, sempre in salsa privacy. Con una tempistica assolutamente randomica, con format per nulla omogenei, con un linguaggio decisamente inappropriato, senza alcuna padronanza della grammatica e della sintassi, ti propongo articoli che nessun editore accetterebbe mai di pubblicare... Divertiti.
Visualizzazione post con etichetta gdpr. Mostra tutti i post
Visualizzazione post con etichetta gdpr. Mostra tutti i post

27 settembre 2024

"Esiste, dunque, un giudice a Berlino"... ed un Garante a Roma.



"Esiste, dunque, un giudice a Berlino"...

ed un Garante a Roma.




 ANNUNCIAZIONE ANNUNCIAZIONE

Questo blog cambia nome e si sposta...


LO TROVI QUI:

    https://garantepiracy.it/



Dal 01/11/2024 non saranno più pubblicati articoli e saranno progressivamente cancellati quelli attualmente presenti su blogger. Per continuare a leggere "il pensatoio" visita il nuovo sito.



Ancora non ho capito perché mi abbiano chiamato “No-FSE” ma, alla luce dei recenti accadimenti, non è stata una buona idea.



Qualche mese fa, si è creata registrata una certa agitazione, generale e mediatica, riferita al “termine di opposizione al pregresso”, prevista dalla normativa di riforma del Fascicolo Sanitario Elettronico. La scadenza del termine per l’esercizio del diritto di opposizione, fissata per il 30 giugno 2024, era rimasta in sordina per molti mesi, anche perché la campagna informativa che il governo avrebbe dovuto realizzare ha avuto la stessa risonanza di un petardo bagnato.


All’epoca scrissi un articolo abbastanza ruvido (https://bernieri.blogspot.com/2024/06/dark-pattern-di-stato.html) per evidenziare una serie di problemi legati all rispetto della normativa in materia di protezione dei dati personali: dark pattern, esclusione di determinate categorie dal diritto di accesso, mancanza di informazione relativa ai trattamenti, ecc. Fui intervistato dal Corriere della sera, da Radio 24 ed ebbi occasione di spiegare i termini della questione in varie sedi. Solo negli ultimi giorni, molte persone hanno preso coscienza della situazione.

Negli stessi giorni, come spesso accade, il dibattito si polarizzò su schieramenti opposti, mortificando il concetto stesso di esercizio di un diritto ed il valore della libertà di scelta.

In quegli stessi giorni, inoltre, ho avuto modo di dialogare con professionisti della sanità, convinti che si possa fare ricerca con i dati, approssimativi, parziali e non significativi, contenuti nel Fascicolo Sanitario Elettronico. Altri professionisti erano convinti che, senza accesso alle analisi del sangue risalenti al decennio precedente, non sarebbero stati in grado di curare una distorsione alla caviglia di un loro paziente in pronto soccorso. Che dire, non tutti possono essere aiutati.



Il 30 giugno arrivò, la possibilità di opporsi al trattamento del pregresso cessò, la pagina del portale venne chiusa e tutto fu dimenticato sia dalla cronaca che dalla gente.


Fortunatamente non da tutti.

Alcune persone mi hanno chiesto aiuto e, con loro, ho preparato e presentato alcuni reclami al Garante Privacy.


Dopo complessi passaggi tecnici e molto lavoro nei palazzi del potere, oggi è arrivata la pec che annuncia l’esito dell’istruttoria.


Forse le mie osservazioni non erano del tutto peregrine dal momento che il Garante ha accolto le richieste presentate recependo le osservazioni nel provvedimento del 12 settembre 2024, di imminente pubblicazione sul sito https://www.garanteprivacy.it/.


Dietro le quinte, sono state organizzate specifiche interlocuzioni con il Ministero dell’economia e delle finanze e con il Ministero della salute per superare le difficoltà segnalate e valutare la possibilità di una riapertura dei termini per l’esercizio della facoltà di opposizione nei confronti di determinate categorie di interessati.

A conclusione di questo lavoro di indirizzo, il Governo ha presentato all’autorità lo schema del decreto di riapertura dei termini per l’esercizio della facoltà di opposizione. Il Garante ha esaminato il testo e ha dato parere favorevole. Oltre alla riapertura dei termini, il decreto introduce le modifiche necessarie per garantire l’esercizio dei diritti a chi non era nemmeno stato preso in considerazione dalla versione originaria della norma.


Parallelamente, il Garante ha analizzato le informative dedicate al FSE predisposte dalle Regioni, riscontrando gravi violazioni e aprendo specifici procedimenti correttivi e sanzionatori  nei confronti di 18 Regioni e 2 Province autonome. Anche questo punto è stato oggetto di segnalazione da parte di molti cittadini ed esperti della materia.


Sono state riscontrate, dunque, intere categorie di interessati alle quali il diritto di opposizione, previsto dalla legge, è stato negato. Una “piccola” dimenticanza che, tuttavia, non può essere ignorata. In effetti, come evidenziato nell’articolo sui Dark Pattern di stato, alcuni elementi farebbero pensare più ad una azione intenzionale che ad un mero errore. Le categorie di interessati escluse, o meglio, le persone escluse devono poter esercitare il loro diritto di opposizione e lo stato deve garantire loro la possibilità di farlo.


Basta questo per ridimensionare le accuse di luddismo e cancellare la suggestiva ma inconsistente l’etichetta “NoFSE” subito attribuita a chi ha osato farsi una domanda e mettere in discussione la faciloneria con la quale il Governo ha gestito il passaggio da FSE ad FSE2.0  (Si veda l’articolo citato per ogni dettaglio in merito).



Il Garante ha supportato le correzioni della norma in modo eccellente, ampliandone la portata originaria in modo da includere una platea decisamente più ampia e abbracciando, finalmente, anche i più deboli ed invisibili.


Ecco in sintesi i principali contenuti del decreto di imminente pubblicazione:


  1. Riapertura dei termini di opposizione per tutti gli assistiti, al fine di consentire a coloro che non abbiano potuto esercitare la predetta facoltà, anche per impedimenti di natura tecnica dipesi dai sistemi regionali e da quello centrale, di esercitare tale facoltà per un ulteriore periodo di trenta giorni dalla pubblicazione in Gazzetta Ufficiale del predetto decreto;


  1. L’estensione del diritto di opposizione anche alle persone con codice fiscale o con codice STP (straniero temporaneamente presente in Italia) che non siano più assistiti dal servizio sanitario nazionale;


  1. L’estensione del diritto di opposizione sine die per i soggetti non più assistiti dal SSN, ma che lo siano stati in passato, entro 30 giorni dalla riattivazione dell’assistenza al SSN;


  1. L’estensione del diritto di opposizione per tutti gli assistiti che nel tempo diventeranno maggiorenni, entro 30 giorni dal compimento della maggiore età;


  1. Uno specifico onere alle Asl di dare informazione circa tale facoltà di opposizione al soggetto che riattiva l’assistenza sanitaria specificando i termini e le modalità per l’esercizio di tale diritto.




In conclusione, a brevissimo verrà pubblicato il provvedimento del Garante con il parere favorevole sul decreto ministeriale; successivamente, il decreto completerà il suo iter e verrà pubblicato in gazzetta ufficiale.

Da allora, tutti avranno nuovamente 30 giorni per esercitare il diritto di opposizione, per non far confluire i dati pregressi (ante maggio 2020) dal fascicolo sanitario elettronico vecchia maniera al nuovo FSE2.0.


Ricordo che il FSE vecchia maniera aveva finalità di trattamento dei dati imitate unicamente alla gestione sanitaria e l’accesso era possibile solo nell’ambito della sanità. Il FSE2.0 ha molte finalità aggiuntive (descritte QUI) che nulla hanno a che vedere con la sanità e, inoltre, l’ambito di condivisione dei dati è enormemente amplificato.


A breve, chi non si è accorto di nulla e chi si è sentito escluso potrà beneficiare nuovamente della facoltà di scelta che non ha esercitato. Chi ha già scelto, potrà riconsiderare la propria posizione e cambiare idea.


Ringrazio personalmente la tenacia di chi ha creduto di poter cambiare le cose, di chi non si è limitato a protestare dal divano e si è speso per il bene di tutti. Queste persone avranno sempre la mia stima e, entro le mie competenze, potranno contare sul mio supporto.



Prosit.









SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 


19 settembre 2024

Informative fantastiche e dove trovarle


Informative fantastiche e dove trovarle



 ANNUNCIAZIONE ANNUNCIAZIONE

Questo blog cambia nome e si sposta...


LO TROVI QUI:

    https://garantepiracy.it/



Dal 01/11/2024 non saranno più pubblicati articoli e saranno progressivamente cancellati quelli attualmente presenti su blogger. Per continuare a leggere "il pensatoio" visita il nuovo sito.





Non so perchè ma le leggo sempre.

Gli amici mi prendono in giro per questo ma non posso farci niente, è più forte di me: se trovo un’informativa privacy devo leggerla. Mi dicono che scuoto la testa, sbuffo, a volte picchio i pugni sul tavolo e alla fine mi arrabbio, rimanendo, poi, di malumore per un po’.


Al ristorante, quando trovo cartoline con iscrizioni a newsletter, prenotazioni online, qrcode per il menù e simili, mentre aspetto il mio piatto, mi metto a correggere i testi  delle informative e li lascio in regalo con una avvertenza: “cambiate consulente”. Stranamente nessuno pare apprezzare questo gesto perché, in cambio, non mi hanno mai offerto nemmeno un caffè.


Molto spesso trovo formulari molto standard, presi da qualche circolare delle associazioni di categoria, altre volte trovo testi spudoratamente copiati da altri siti o altre realtà produttive, assai differenti da quella che vedo attorno a me.

In alcuni casi riesco ad ampliare la mia collezione degli orrori con reperti archeologici che citano oscure norme risalenti al secolo scorso, ormai dimenticate.


Qualche volta sorrido, trovo spunti interessanti per migliorare il mio lavoro e imparo qualcosa di nuovo.

Un'informativa suscita in me la stessa trepidazione che ho visto nelle mie figlie la notte di Natale.


Le uniche informative che non leggo sono quelle di Iubenda. Evito di farlo per tre buoni motivi: 

  1. sono tutte ontologicamente sbagliate e contengono, come minimo, gli stessi errori concettuali.

  2. contengono dei tracker di profilazione del traffico e i miei sistemi di autodifesa le bloccano. Sono per me inaccessibili.

  3. sono sempre incomplete perché il titolare del trattamento non sa cosa fa realmente, e iubenda nemmeno.


Ho già avuto modo di approfondire l’argomento iubenda in un articolo che richiamo volentieri: https://bernieri.blogspot.com/2024/02/il-taccone-e-peggio-del-buco.html 



In alcuni casi trovo delle vere e proprie perle, meraviglie dell’ingegno umano e mi piacerebbe poter fare i complimenti all’autore.

Eccone una: la metropolitana di Torino.







Si, lo so, non è una informativa privacy ma è l’unico difetto che ha. Si tratta di un'informativa legata alla sicurezza e destinata ai bambini per evitare che mettano le mani vicino la bordo scorrevole delle porte automatiche.


Perfetta!


Chi l’ha scritta ha fatto esattamente ciò che dovrebbe fare un titolare del trattamento nella stesura delle sue informative privacy: mettersi nei panni di chi le leggerà.




La passione per le informative mi ha spinto a sperimentare e, una volta, ho coinvolto anche le mie figlie.

Un divertente progetto, nato in seno ai Legal Hackers Roma (https://www.legalhackersroma.it/), ha attirato la mia attenzione e ho deciso di partecipare assieme a tre Minions.

HACK THE DOC (qui spiegato bene dalla ottima Stefania Passera @StewieKee https://www.youtube.com/watch?v=qlZuzrRoA7Y  e qui descritto bene https://www.utopiathesoftware.com/blog-post/privacy-policy-leggibile-hackthedock ) ci ha permesso di reinventare un’informativa pallosissima, quella di MS TEAMS, proponendola in una veste più adatta ai reali fruitori (bambini che a scuola ne fanno largo uso) e con un tocco di maggiore trasparenza.

Erano tempi duri, tempi di scuola a distanza e pandemia… la trasparenza era una "fisima" passata in secondo piano. Ma non per tutti.


Ne è uscito un fumetto in stile Scottecs (chiediamo per sempre scusa a Sio per averlo accostato a questo lavoro) che ha meritato una menzione d’onore della giuria della manifestazione.


Una grande soddisfazione, un divertente esperimento e una informativa anomala che ora è a disposizione di tutti:



Hack The Doc

Informativa Privacy di MS TEAM rivisitata e corretta dai Minions.



https://youtu.be/FNvSXv2Zh0w 


 


HackTheDoc è stato solo un gioco ma ha richiesto il coinvolgimento diretto dei destinatari dell’informativa.


Quando un professionista deve preparate lo stesso documento, da usare nel mondo reale, non può accontentarsi di due disegnini ma ha bisogno di capire quale trattamento deve descrivere, deve indagare sui possibili destinatari, possibilmente deve esplorare la storia e la cultura aziendale, lo stile, il modo in cui l’impresa si relaziona con i clienti (o utenti) e, in alcuni casi, prevedere il futuro. 


Tutto ciò non è solo necessario per predisporre un testo coerente con l’azienda, ma è un vero e proprio adempimento poiché costituisce la manifestazione e applicazione concreta del principio di trasparenza.


Non si può essere trasparenti se si fa compilare l’informativa ad un professionista tuttofare, come spesso accade di vedere in certi studi legali. Occorrono diverse competenze tra le quali il legal-design, la comunicazione, l’esperienza del DPO e la conoscenza della materia e dei suoi meandri e applicazioni. Purtroppo queste sono doti rare perchè, troppo spesso, prevale la forma alla sostanza, difficilmente si riesce a scrollarsi di dosso i tecnicismi, il linguaggio esoterico che caratterizza la professione del consulente di riferimento. Così, sovente, l’avvocato scriverà pensando che il testo verrà letto da un altro avvocato. Tutto ciò è normale, fisiologico, ma è anche un grosso ostacolo all’applicazione corretta del GDPR.


Prosit.






(C) immagine di apertura: https://www.vangogheverything.com/


SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 


21 agosto 2024

Pensieri d’estate: niente privacy in mezzo al mare.


Pensieri d’estate: niente privacy in mezzo al mare.


Passeggiando sul molo mi imbatto in una boa decisamente particolare: una boa con videosorveglianza.

Questa mi mancava!


Normalmente le boe sono oggetti rudimentali, fatti per galleggiare e sopportare enormi sollecitazioni, incidenti, collisioni, maltrattamenti di ogni tipo. Una boa fissa non può sperare di durare granchè perchè il mare si mangia tutto: se non è la salsedine, ci pensano il sole, i raggi UV, gli sbalzi termici, i flutti, le correnti galvaniche e, se questo non basta, arriva Poseidone in persona.


Ma la videosorveglianza non conosce limiti e ti raggiunge anche li, in mezzo al mare, vicino ad una meda, su un gavitello di segnalazione o una stazione di misurazione marina. Un navigante potrebbe serenamente pensare di essere nel posto più isolato del mondo ma ecco che spunta una telecamera corredata di informativa privacy! Fantastico.


Non sto parlando di un palo piantato nella placida laguna di Venezia, poco differente da un lampione in autostrada, ma di una boa galleggiante, ancorata al fondale, in mezzo al nulla, senza corrente elettrica, con poco campo GSM, con una batteria alimentata solo da un pannellino solare, un obbiettivo che nessuno pulisce, ecc.


L’arcipelago toscano conta su varie tecnologie per la protezione dell’ambiente ma non mi aspettavo una telecamera fluttuante. Eppure eccola.

Così, dopo un breve approfondimento, scopro che di telecamere ce ne sono effettivamente tante, tecnologicamente avanzate, posizionate a protezione delle isole e della fauna. I bandi di gara riportano planimetrie e rilievi con posizione esatta e raggio visualizzato da ogni singola camera fissa. 


Monitor di controllo delle telecamere di una delle isole dell'arcipelago.

Dettaglio delle baie videosorvegliante

Esempio di posizionamento.



Effettivamente sapere dove sono esattamente gli occhi elettronici può facilitare chi intenda violare le aree protette evitando di essere ripreso.


Ma le boe con telecamera non se le aspettia proprio nessuno!



Concludendo questo breve pensiero estivo, desidero rassicurare gli amici marinai. A parte il faceto, questa boa non monta alcuna telecamera e non è li per sorvegliare i diportisti, è un semplice gavitello di segnalazione con luce lampeggiante notturna. Viene utilizzato proprio per segnalare i limiti delle aree protette e, come prevede la norma, riporta l'informativa privacy che avverte dell'esistenza degli impianti fissi.


La privacy arriva anche li, in mezzo al mare.


Prosit.






SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 


18 agosto 2024

Pensieri d’estate: dato personale e valutazione soggettiva.


Pensieri d’estate: dato personale e valutazione soggettiva



In questa quiete immobile d’Agosto mi sono preso dello snob.

Capita, anche perchè da tempo mi espongo su X/Twitter sia su temi tecnici, che mi competono, sia su temi differenti che rivelano tratti della personalità, idee, episodi di vita, fatti e circostanze che possono essere raccolti e messi in relazione gli uni con gli altri.


Ovviamente ho le spalle larghe e questo giudizio mi è scivolato addosso senza lasciare alcuna traccia, ma il fatto mi ha dato modo di appuntare un pensiero da sviluppare e ora mi pongo alcune domande.


Che un utente su Twitter (ora X) mi ritenga snob costituisce un dato personale? 


Più in generale, una valutazione soggettiva è un dato personale?

Se lo è, posso esercitare i miei diritti su di essa, al pari di ogni altro dato personale, ad esempio, costringendo una persona che ho di fronte a condividere il suo personalissimo giudizio sulla mia persona?

Se non ottengo risposta, posso chiedere l’intervento del Garante e, dopo 30 giorni, in caso di rifiuto, posso aspettarmi una giusta sanzione per il mancato riscontro?

Posso eventualmente chiedere la rettifica del giudizio se, per ipotesi, non ritengo il dato corretto?

A prescindere dalle opinioni, come cambia la natura del dato soggettivo se è oggettivamente corretto oppure oggettivamente errato?

E se questo giudizio viene inavvertitamente diffuso, magari creando un danno, si configura un data breach?


E come cambia la natura del dato se la valutazione viene solo pensata, oppure se viene scritta o, ancora, se viene pubblicata online o salvata in un archivio strutturato?


Queste domande, volutamente un po provocatorie, non sono peregrine e trovano applicazione in una moltitudine di casi pratici: basta pensare a tutte le valutazioni espresse da datori di lavoro, head hunter, auditor, commissioni esaminatrici o insegnanti, medici e terapeuti, banche, assicurazioni, ecc.



Beh, intanto il dato valutativo solamente pensato è totalmente escluso dall’applicazione del GDPR, quindi non ha alcun senso parlarne.


Se la valutazione prende forma e viene scritta, potrebbe ancora essere priva di ogni implicazione purchè resti in un ambito di uso “domestico” e privato.


Ma se la valutazione prendesse forma in un ambito non domestico, quindi, professionale, lavorativo, istituzionale, oppure se confluisse in un archivio, tutto cambierebbe e l’applicazione del GDPR diventerebbe identica a quella di qualsiasi altro dato personale.


Diritto di accesso

Diritto di rettifica

Diritto alla cancellazione

Dovere di gestione di un eventuale data breach

Inoltre sarebbe ovviamente necessaria anche una base di legittimazione e, in via preliminare, una informativa da rendere all’interessato.

Buona fortuna a chi ha sorvolato allegramente sulle implicazioni del trattamento di dati valutativi.



Tutte queste implicazioni associate ad un dato valutativo sono difficili da accettare principalmente per una ragione: il giudizio si riferisce ad una persona, ma ne coinvolge anche un’altra, il suo autore.

Il dato valutativo si riferisce a Tizio, che magari è un monellaccio, ma appartiene a Caio che ha formulato un  proprio personalissimo parere.



Torna alla mente Čechov, Il giardino dei ciliegi e la fatidica richiesta di Lopachin: “Permettetemi di farvi una domanda, che cosa ne pensate di me?”

E, di fronte a questa pretesa di accesso ad un dato personale, Torfimov cofessa: “Penso, Ermolaj Alekseiè, che siete un uomo ricco e che diventerete presto milionario. Come nell'ordine della natura è necessaria la bestia feroce che mangia tutto ciò che incontra sulla sua strada, così sei necessario anche tu.”


Anche avendone dritto, a volte, certe domande è meglio non farle.






La questione è sorprendente anche sotto il profilo normativo.

Il vecchio Codice Privacy, prima dell’avvento del GDPR, prevedeva espressamente i “dati valutativi” (art. 8, comma 4)

4. L'esercizio dei diritti di cui all'articolo 7, quando non riguarda dati di carattere oggettivo, può avere luogo salvo che concerna la rettificazione o l'integrazione di dati personali di tipo valutativo, relativi a giudizi, opinioni o ad altri apprezzamenti di tipo soggettivo, nonché l'indicazione di condotte da tenersi o di decisioni in via di assunzione da parte del titolare del trattamento.


Oggi l’articolo 8 del Codice Privacy è abrogato e l’unico appiglio utile ci arriva in soccorso dalla definizione di dato personale contenuta nel GDPR: “«dato personale» : qualsiasi informazione riguardante una persona fisica identificata o identificabile”. La definizione comprende sicuramente ogni dato anche valutativo se è riferito ad una persona poichè il termine “qualsiasi” è indubitabilmente ampio ed inclusivo.


Anche il considerando 75 del GDPR ci parla di dati valutativi: (... n.d.r.) 


I rischi per i diritti e le libertà delle persone fisiche … possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: ... in caso di valutazione di aspetti personali, in particolare mediante l’analisi o la previsione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti, al fine di creare o utilizzare profili personali… .


Tuttavia, questi elementi non sono utili per sgomberare il campo da interpretazioni, forzature di parte e posizioni di comodo. In ottica intransigente e sistematica, ci sono abbastanza elementi per includere le valutazioni soggettive tra i dati personali ma, in ottica più maliziosa, si potrebbe anche sostenere l’esatto contrario.

Il garante è intervenuto sul tema in diversi momenti, sotto la vigenza di differenti norme e, quindi, ha modificato la propria posizione nel tempo. I recenti provvedimenti riguardano tuttavia situazioni troppo particolari per permettere di  estrarre principi di carattere generale e per supportare una corretta interpretazione del dato valutativo.


Cercando meglio negli archivi è possibile trovare un testo, a mio parere, dirimente: WP 139. Quanto mi sento vecchio a ricordare questo testo che appare oggi una reliquia.


“Dal punto di vista della natura dell'informazione, il concetto di dati personali comprende qualsiasi tipo di affermazione su una persona; può quindi includere informazioni "oggettive" come la presenza di una data sostanza nel sangue di una persona, ma anche informazioni "soggettive" come opinioni o valutazioni.

Quest'ultimo tipo di informazioni rappresenta un'ampia parte del trattamento dei dati personali nei settori bancario, per la valutazione dell'affidabilità di chi richiede un prestito ("Tizio è un cliente affidabile") e assicurativo ("Tizio probabilmente non morirà presto"), o nel mercato del lavoro ("Tizio è un buon lavoratore e merita una promozione").

Perché l'informazione diventi un 'dato personale' non è necessario che sia vera o dimostrata.”


Personalmente mi basta. Fin dagli albori della data protection, dunque, questo concetto era perfettamente chiaro e le intenzioni del legislatore decisamente esplicite. Ad oggi il concetto permane e il fatto che il GDPR non preveda alcuna distinzione per i dati valutativi, ai miei occhi, pare una semplice conferma: è un elemento  consolidato, acquisito, ormai integrato a nella definizione senza bisogno di richiami espliciti e senza necessità una previsione differenziata.


Registro comunque molti tentativi di sottrarre elementi valutativi al concetto di dato personale e temo che sarà necessario tornare sull’argomento, per fortuna non mancano certo le occasioni: si potrebbe sfruttare l’imminente  revisione del GDPR e non mancano gli strumenti interpretativi grazie a chiarimenti ufficiali delle autorità Garanti, magari con un documento di indirizzo o un provvedimento a carattere generale.



Prosit




SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇