Il GDPR si applica anche ai gruppi societari. In questo articolo, esploreremo come garantire una corretta condivisione dei dati.

Qualsiasi settore produttivo rientra nel campo di applicazione del Regolamento UE n. 2016/679, comunemente noto come GDPR, a condizione che l’azienda tratti dati personali. Questo vale anche per le imprese che operano in forma di gruppo societario, sia a livello nazionale che internazionale.

Il GDPR ha facilitato la condivisione dei dati personali all’interno dell’Unione Europea, consentendo alle multinazionali di trasferire liberamente i dati trattati da uno Stato membro all’altro.

Ma quali sono gli obblighi in caso di gruppi societari nazionali o europei? È sempre possibile la condivisione dei dati? Facciamo chiarezza.

Iniziamo a definire il concetto di “gruppo societario”: si tratta di un insieme di società collegate da un rapporto di controllo esercitato da una società capogruppo, nota come holding. Questo stretto legame di collaborazione richiede uno scambio continuo di informazioni tra le diverse società, per garantire un coordinamento efficace delle attività.

In questo scambio informativo rientrano anche i dati personali, come le banche dati dei dipendenti o gli elenchi clienti.

Per giustificare e legittimare queste esigenze di business, il Regolamento europeo ha introdotto l’istituto dell’accordo di contitolarità del trattamento, noto come joint controller agreement.

L’articolo 26 del GDPR stabilisce che: “Quando due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, sono considerati contitolari del trattamento. Devono stabilire in modo chiaro, attraverso un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi previsti dal presente regolamento, in particolare riguardo all’esercizio dei diritti degli interessati, e le modalità di comunicazione delle informazioni di cui agli articoli 13 e 14, salvo che nella misura in cui le rispettive responsabilità siano stabilite dalla legislazione dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può anche indicare un punto di contatto per gli interessati.”

In questo modo, è possibile legittimare la condivisione dei dati all’interno di un gruppo societario o tra più realtà imprenditoriali che collaborano per raggiungere obiettivi comuni (come nel caso di diverse società sotto la stessa proprietà).

Sarà sufficiente stipulare un accordo tra le società partecipanti che disciplini i trattamenti condivisi all’interno del gruppo. Il contratto dovrà necessariamente contenere:

• Un chiaro riparto delle competenze per i trattamenti condivisi.
• Una regolamentazione condivisa per l’esercizio dei diritti degli interessati.
• L’individuazione dei soggetti responsabili per la comunicazione delle informazioni.

Per garantire la sicurezza dei trattamenti condivisi, è consigliabile stabilire regole comuni semplici da attuare, per mantenere standard e procedure uniformi, specialmente in caso di violazioni (data breach).

Il contenuto essenziale dell’accordo dovrebbe sempre essere accessibile agli interessati.

Infine, è fondamentale che l’informativa fornita agli interessati faccia esplicito riferimento al rapporto di contitolarità del trattamento in caso di dati condivisi, indicando anche a quale soggetto possono essere rivolte le richieste per l’esercizio dei diritti.

Le regole descritte si applicano ai trattamenti condivisi all’interno dell’Unione Europea. È importante prestare attenzione se i membri del gruppo sono situati in paesi al di fuori dell’UE, poiché in questi casi i principi da seguire saranno più rigorosi, come evidenziato negli articoli riguardanti i trasferimenti di dati personali al di fuori dell’Unione.

A molti di noi capita, sempre più spesso, di essere vittima di telemarketing aggressivo se non proprio di stalking da parte di fantomatici “consulenti indipendenti”

Si tratta spesso di un’azione illegale anche solo perché, ad esempio, il chiamante non sa o non vuole indicare la fonte dalla quale ha ricevuto il nostro nome e numero di telefono.

Pare che alcuni acquistino indirizzi “rubati” o acquisiti illegalmente oppure accedendo al Dark Web (Cos’è il Dark Web: https://it.wikipedia.org/wiki/Dark_web).

Se volete fare una verifica sui vostri dati presenti nel dark web potete usare il nuovo servizio offerto gratuitamente da Google.

Nel caso in cui vi siate iscritti nel registro delle opposizioni, anche in presenza di un acquisto lecito dei vostri dati, avete cioè acconsentito al fatto che i vostri dati fossero venduti a terzi, il vostro numero e contatto non sono più utilizzabili, in nessun caso.

Chi fa diversamente commette un illecito!

Il Garante ha sanzionato Imprese e Centri di Telemarketing a ripetizione, dai 60 mila euro (novembre 2023) ad un centro di telemarketing alla sanzione ad ENEL (79 MILIONI di euro).

Personalmente ho vissuto recentemente almeno due “aggressioni” telefoniche da persone che non solo non hanno accettato il: “la ringrazio, non sono interessato” ma che a seguito di mia interruzione della telefonata e blocco del chiamante hanno pensato bene di insistere raggiungendo le 10 chiamate da 10 numeri di telefono diversi (tutti bloccati) in 2/3 minuti con toni e messaggi poco cortesi. Al limite della commissione del reato di stalking telefonico (così come previsto dall’art. 612 bis del codice penale).

Per questo motivo ho verificato e rinnovato la mia iscrizione al registro delle opposizioni a questo indirizzo: https://cittadino.registrodelleopposizioni.it/autenticazione/iscrizione/ scoprendo che l’iscrizione andava rinnovata. Così ho fatto.

Per poi procedere alla denuncia al Garante della privacy a questo indirizzo: https://servizi.gpdp.it/diritti/s/tel-indesiderate-scelta-auth dove ho segnalato i numeri di telefono tramite i quali sono stato contattato.

Sia l’iscrizione che la segnalazione sono facili e immediate (anche per un Boomer quale sono) e sono certo che il Garante con l’aiuto del nucleo speciale della Guardia di Finanza, destinato a queste attività, porranno in essere ogni azione per punire i colpevoli.

Credo che ogni regolamento e legge vengano percepiti come “burocrazia” quando non se ne vedano in concreto i benefici.

Ma i benefici sono possibili, come in questo caso, a seguito di un nostro impegno personale.

Pochi minuti a testa per decine di segnalazioni possono davvero “migliorarci la vita” ed evitando di subire queste fastidiose azioni commerciali scorrette e persecutorie.

Francesco De Lucia

È di 10 mila euro la sanzione comminata dal Garante per la protezione dei dati a un Centro medico che ha scambiato, per errore, nel proprio gestionale le informazioni e i dati sanitari di due pazienti omonimi.

Uno dei due pazienti interessati lamentava di aver ricevuto, periodicamente, SMS di promemoria di visite mediche mai prenotate e di aver trovato nella dichiarazione dei redditi fatture di circa 4 mila euro, emesse con il proprio codice fiscale, per prestazioni mai effettuate. Dopo aver presentato reclamo, l’Autorità si è immediatamente attivata facendo emergere l’inesatta attribuzione del codice fiscale e dell’indirizzo di residenza tra i soggetti omonimi, anche al momento della consegna di alcune fatture.

Numerose, quindi, le violazioni riscontrate dal Garante da parte del Centro, il quale aveva effettuato un trattamento trasgredendo al principio di esattezza, di integrità e di riservatezza, non avendo registrato correttamente i dati dei pazienti.

Con questo provvedimento, l’Autorità ha voluto ribadire come anche le strutture sanitarie debbano adottare tutte le misure tecniche e organizzative adeguate a garantire che il trattamento dei dati personali dei pazienti rispetti il Regolamento (UE) 679/2016.

12 linee guida per la gestione dei dati personali in un Centro medico

Ecco, allora, alcune delle principali linee guida per la gestione adeguata dei dati personali in un Centro medico:

1. Consapevolezza e formazione: assicurarsi che tutto il personale del centro medico sia consapevole dell’importanza della protezione dei dati personali e abbia ricevuto una formazione appropriata sulla sicurezza delle informazioni e le leggi sulla privacy.
2. Designare un responsabile della protezione dei dati (DPO): nel caso in cui sia richiesto dalla legge, designare un responsabile della protezione dei dati per supervisionare e garantire la conformità alle normative sulla privacy.
3. Limitare l’accesso: assicurarsi che solo il personale autorizzato abbia accesso ai dati personali dei pazienti. Implementare sistemi di autenticazione e autorizzazione appropriati per proteggere l’accesso non autorizzato.
4. Crittografare i dati: utilizzare la crittografia per proteggere i dati sensibili memorizzati e trasmessi. La crittografia garantisce che, anche se i dati dovessero essere intercettati, non sarebbero leggibili senza la chiave corretta.
5. Utilizzare sistemi di sicurezza informatica: assicurarsi che i sistemi informatici del centro medico siano protetti da firewall, antivirus e altre misure di sicurezza per proteggere i dati da accessi non autorizzati o malware.
6. Effettuare backup regolari: mantenere copie di backup dei dati e verificare regolarmente che i backup siano funzionanti e disponibili in caso di necessità, come un malfunzionamento del sistema o un attacco informatico.
7. Distruggere i dati in modo sicuro: assicurarsi che i dati personali siano correttamente eliminati e distrutti quando non sono più necessari, in conformità con le normative sulla conservazione dei dati.
8. Monitoraggio delle attività: implementare sistemi di monitoraggio delle attività per rilevare comportamenti anomali o accessi non autorizzati.
9. Politiche di accesso e privacy: definire chiaramente le politiche di accesso e privacy all’interno del centro medico e comunicarle a tutto il personale.
10. Conformità alle normative: assicurarsi che il centro medico sia conforme alle leggi e alle regolamentazioni sulla privacy dei dati personali, come il Regolamento Generale sulla Protezione dei Dati (GDPR) nell’Unione Europea o altre leggi locali in vigore.
11. Proteggere i dati fisici: non trascurare la sicurezza dei dati fisici, come documenti cartacei o dispositivi di archiviazione esterni. Conservare tali elementi in luoghi sicuri e limitare l’accesso fisico ad essi.
12. Consenso informato: assicurarsi di ottenere il consenso informato dei pazienti per la raccolta e l’uso dei loro dati personali in conformità con le normative vigenti.

Vuoi ulteriori informazioni? Partecipa ad una call in Zoom con il nostro esperto privacy! Completa il form qui sotto ↓