N.6 - Ottobre 2024

• Parere del Garante sul DDL riguardo all'IA
  
• Sanzione a un comune per uso improprio di videosorveglianza
• Le conseguenze di un rifiuto di nomina a incaricato del trattamento di dati personali
• Un parere dell'EDPB sui responsabili del trattamento
• Ottobre è il mese della cybersecurity
  
• Notizie

Il 2 Agosto 2024 il Garante ha pubblicato il parere sullo schema di disegno di legge “Disposizioni e delega al governo in materia di intelligenza artificiale”.

Il parere è favorevole, ma subordinato ad alcune condizoni (riportiamo sotto le principali) e alla designazione del Garante tra le autorità competenti alla tutela dei diritti fondamentali (articolo 77 dell’AI Act).

Le condizioni mirano a garantire che l'implementazione dell'intelligenza artificiale in Italia non comprometta i diritti fondamentali dei cittadini e rispetti gli standard di protezione dei dati.

Conformità ai Regolamenti

Poiché molte norme hanno un impatto significativo in materia di protezione dei dati personali è necessario un migliore coordinamento con la disciplina di riferimento, introducendo un articolo che stabilisca un vincolo generale di conformità dei trattamenti di dati personali ai regolamenti nazionali ed europei, in particolare al Regolamento (UE) 2016/679 (GDPR) e al Codice privacy.

Verifica dell'età

È richiesta l'introduzione di misure adeguate per la verifica dell'età degli utenti, specialmente per limitare l'accesso ai minori ai sistemi di IA.

Dati sanitari

Per i sistemi di IA ad alto rischio in ambito sanitario, il Garante ha chiesto specifiche limitazioni sull'uso dei dati personali, inclusa la preferenza per dati sintetici o anonimi e restrizioni sulla trasmissione e conservazione dei dati.

Trattamento dati per fini di ricerca nella realizzazione dei sistemi di IA

Il Garante propone modifiche all'articolo 8 per chiarire le basi legali per l'utilizzo di dati personali nella ricerca sull'IA, introducendo la pseudonimizzazione dei dati e rafforzando le garanzie per l'uso secondario dei dati.

Settore giuslavoristico

Il Garante evidenzia la necessità di integrare l'articolo 10 con garanzie specifiche per l'utilizzo dell'IA nel settore lavorativo, richiamando gli articoli del GDPR e del Codice Privacy in materia di non discriminazione e riservatezza dei dati, estendendo tali garanzie alla fase preassuntiva.

Il Garante ha concluso quindi che l'utilizzo della telecamera rientrava nell'ambito dell'art. 4, comma 1, della legge 300/1970, che regola l'utilizzo di sistemi di videosorveglianza nei luoghi di lavoro e richiede l'accordo sindacale o l'autorizzazione dell'Ispettorato del Lavoro. Accordo o autorizzazione che il Comune non aveva ottenuto prima di iniziare a utilizzare la telecamera. A questo proposito, il Garante ricorda che la videosorveglianza nei contesti lavorativi, privati o pubblici, può essere giustificata solo rispettando le garanzie previste dalla legge nazionale, senza le quali costituisce un'interferenza illecita nella vita privata del dipendente, ai sensi dell'art. 8, par. 2, della Convenzione europea dei diritti dell’uomo

Per quanto riguarda invece la correttezza e la trasparenza del trattamento, quando si utilizzano sistemi di videosorveglianza, il titolare del trattamento, oltre a fornire l’informativa di primo livello, con l'apposizione di segnaletica di avvertimento nei pressi della zona sorvegliata, deve fornire anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13" del Regolamento ed essere facilmente accessibili per l’interessato.

Il Garante ha concluso infine che l’utilizzo dei dati raccolti mediante il sistema di videosorveglianza in questione nell’ambito del procedimento disciplinare nei confronti della dipendente è avvenuto in violazione sia della disciplina di settore in materia di controlli a distanza sia di quella in materia di protezione dei dati.

Il dipendente che svolge mansioni che comportano il trattamento di dati personali e che si rifiuta di sottoscrivere per accettazione la lettera ad autorizzato al loro trattamento, che il datore di lavoro, in qualità di titolare del trattamento, gli deve sottoporre in base alla normativa privacy, è soggetto a un procedimento disciplinare e  il conseguente provvedimento di sospensione  dal servizio e dalla retribuzione è legittimo.

Cosi ha stabilito il Tribunale di Udine (sezione lavoro, ordinanza 504 del 2 agosto 2024),  ritenendo che il datore di lavoro, senza una sua reazione, avrebbe di fatto violato le norme di garanzia previste dalla normativa in materia, esponendosi al rischio di incorrere nelle sanzioni previste.

Infatti il datore di lavoro affida al dipendente non solo risorse e strumenti adeguati perché possa effettuare un corretto trattamento dei dati personali, ma anche la responsabilità di trattare tali dati con la dovuta riservatezza, correttezza e diligenza. Se dunque è vero che la nomina a persona designata ha natura unilaterale -- essendo un atto che promana dalla parte datoriale -- è altrettanto vero che la mancata accettazione da parte del lavoratore porta a conseguenze nella gestione del rapporto di lavoro che producono, su diversi piani:

• violazione del generale dovere di lealtà e correttezza nell’esecuzione del rapporto;
• inadempimento dei doveri contrattuali;
• integrazione di condotta disciplinarmente rilevante.

Il parere riguarda situazioni in cui i titolari del trattamento si affidano a uno o più responsabili  e sub-responsabili.

I titolari dovrebbero avere le informazioni sull'identità di tutti i responsabili e sub-responsabili -- almeno nome, indirizzo e persona di contatto --  sempre disponibili. Questa informazione è fondamentale per garantire la trasparenza e consentire al titolare l'adempimento dei propri obblighi, per esempio rispondere alle richieste di accesso ai sensi dell'articolo 15 del GDPR.

Il titolare è tenuto a verificare se i responsabili e i sub-responsabili offrano garanzie sufficienti per attuare misure tecniche e organizzative appropriate a garantire la protezione dei diritti degli interessati. La portata della verifica può variare in base al rischio associato al trattamento. Le misure adotttate e la verifica devono essere adeguatamente documentate.

Il responsabile dovrebbe garantire di proporre sub-responsabili con garanzie sufficienti, ma comunque la decisione finale e la responsabilità sull'assunzione di uno specifico sub-responsabile spetta al titolare.  L'EDPB ritiene che il titolare non abbia il dovere di verificare sistematicamente che i  contratti di subtrattamento trasmettano correttamente gli obblighi in materia di protezione dei dati: spetta a lui valutare se la verifica sia necessaria per la dimostrazione della conformità al GDPR.

Qualora i trasferimenti di dati al di fuori dello spazio economico europeo avvengano tra due (sub)responsabili, il responsabile dovrebbe preparare la documentazione pertinente, ad esempio relativa al motivo del trasferimento, alla valutazione d'impatto del trasferimento e alle eventuali misure supplementari. Spetta comunque al titolare garantire che il livello di protezione non sia compromesso dal trasferimento, utilizzando la documentazione fornita dal responsabile e mostrandola, se del caso, all'autorità di protezione dei dati competente

Il contratto tra il titolare e il responsabile deve stabilire che quest'ultimo elabora i dati personali solo su istruzioni documentate del titolare, a meno che non sia tenuto a farlo dalla legge dell'Unione o dello Stato membro  (Art. 28(3)(a) GDPR). Nel caso di dati personali trasferiti in paesi terzi, l'EDPB ritiene "improbabile" che la frase "unless required to do so by law or binding order of a governmental body” di per se stessa sia sufficiente ad ottenere il rispetto dell'articolo 28(3)(a). La possibilità che una legge del pase terzo non consenta il rispetto del GDPR è un fattore che dovrebbe essere tenuto in considerazione prima della stesura del contratto tra le parti.

Già da qualche anno il mese di ottobre si caratterizza per una serie di iniziative dedicate alla cybersecurity, al punto da essere ormai definito internazionalmente "mese della cybersecurity".

Segnaliamo in particolare la pagina del GARR. Quest'anno la campagna dedica un'attenzione particolare all'Ingegneria Sociale: l'utilizzo, da parte di malintenzionati, di metodi che hanno come scopo quello di ottenere informazioni personali quali username e password, numeri di conto corrente, codici per l'apertura di porte o cassaforti ecc. ecc..

Il delicato tema della protezione dei dati personali è al centro di questa serie di iniziative e ci richiama all'importanza della privacy e della cura che dobbiamo avere verso i dati personali: i nostri e quelli che ci vengono affidati!

Il G7 dei Garanti privacy

L'11 ottobre 2024 si è concluso, a Roma, il quarto incontro del G7 dei Granti privacy, cui hanno partecipato le Autorità competenti di Italia, Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, Il Comitato europeo della protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS).

Numerose le dichiarazioni approvate.

Per quanto riguarda l'IA, le Autorità hanno convenuto sull’importanza di adottare garanzie adeguate per i minori nel suo sviluppo e uso, hanno convenuto sul ruolo determinante delle Autorità nella sua regolamentazione e hanno deciso di svolgere un monitoraggio sugli sviluppi legislativi e il proprio ruolo all’interno delle giurisdizioni coinvolte.