RT @GDPRhub
Find daily new #GDPR decisions from across Europe for free on GDPRhub.eu/@noybeu.rss!

➡️ Read and edit this decision from Denmark at gdprhub.eu/Datatilsynet_(Denma…
📥 experts already signed up to our free newsletter: noyb.eu/pf/433/5gqtL

#persoonsgegevens

mastodon.social/@noybeu/108288…

La CNIL pubblica il “Rapporto di attività 2021”

L’autorità francese per la protezione dei dati, Commission nationale de l’informatique et des libertés, ha pubblicato il suo “Rapporto di attività 2021”. Il rapporto ha evidenziato la creazione di una “sandbox” di dati personali per la salute. La CNIL ha risposto a 22 audizioni parlamentari e ha emesso 121 pareri su progetti di legge, 16 dei quali riguardavano l’elaborazione dei dati in risposta al COVID-19. Il Garante ha elaborato 576 autorizzazioni sanitarie e rilasciato 54 autorizzazioni di ricerca in merito al COVID-19. Sono state 14.143 le denunce presentate alla CNIL e 12.522 sono state archiviate. Ci sono state 135 diffide e 18 sanzioni con sanzioni superiori a 214 milioni di euro.

CNIL publishes ‘2021 Activity Report’

The French data protection authority, Commission nationale de l’informatique et des libertés, published its “2021 Activity Report.” The report highlighted the creation of a personal data “sandbox” for health. The CNIL responded to 22 parliamentary hearings and issued 121 opinions on bills, 16 of which concerned data processing in response to COVID-19. The DPA processed 576 health authorizations and issued 54 research authorizations regarding COVID-19. There were 14,143 complaints lodged with the CNIL and 12,522 were closed. There were 135 formal notices and 18 sanctions with fines exceeding 214 million euros.

cnil.fr/fr/la-cnil-publie-son-…

Il Regno Unito riforma la protezione dei dati, mettendo in dubbio l’adeguatezza dell’UE

L’agenda legislativa del Regno Unito per il prossimo anno include un disegno di legge sulla riforma dei dati che potrebbe mettere in dubbio il futuro della sentenza dell’UE sull’adeguatezza dei dati, la decisione che ha continuato a facilitare i trasferimenti di dati attraverso la Manica dopo che il Regno Unito ha lasciato il blocco nel gennaio 2020. Il disegno di legge era tra quelli inclusi nel discorso della regina di quest’anno, l’apertura formale del Parlamento, in cui il monarca espone i piani legislativi del governo per il prossimo anno. Quest’anno, però, la regina non ha partecipato per motivi di salute e l’ordine del giorno è stato presentato dai principi Carlo e William.

UK to reform data protection, throwing EU adequacy ruling into doubt

The UK’s legislative agenda for the next year includes a data reform bill that could cast doubts on the future of the EU’s data adequacy ruling, the decision that continued to facilitate data transfers across the Channel after the UK left the bloc in January 2020. The bill was amongst those included in this year’s Queen’s Speech, the formal opening of Parliament, in which the monarch sets out the government’s legislative plans for the upcoming year. This year, however, the Queen did not attend for health reasons and the agenda was presented by Princes Charles and William.

euractiv.com/section/digital/n…

Le autorità canadesi per la privacy firmano un accordo per migliorare la collaborazione

L’Ufficio del Commissario per la privacy del Canada, il Commissario per l’informazione e la privacy dell’Alberta, il Commissario per l’informazione e la privacy della Columbia Britannica e la Commission d’accès à l’information du Québec hanno firmato un memorandum d’intesa per rafforzare la collaborazione sulle questioni relative alla privacy del settore privato . Attraverso l’accordo, le autorità possono condividere informazioni, consultarsi sull’applicazione e sulle politiche e sviluppare documenti di conformità e iniziative di istruzione pubblica. Alberta IPC Jill Clayton ha dichiarato: “La necessità di collaborazione per far rispettare efficacemente le leggi sulla privacy del Canada non è mai stata così grande”.

Privacy guardians sign collaboration agreement

A new Memorandum of Understanding (MOU) will promote greater collaboration between the Office of the Privacy Commissioner of Canada (OPC), the Information and Privacy Commissioner of Alberta, the Information and Privacy Commissioner for British Columbia and the Commission d’accès à l’information du Québec. Domestic and international enforcement cooperation in the area of privacy law is increasingly critical in a digitized world where data flows transcend borders. Cross-jurisdictional collaboration helps to ensure better protection of the rights of citizens. It can also benefit organizations by streamlining investigative processes and promoting a greater harmonization in the application of laws.

priv.gc.ca/en/opc-news/news-an…

guidoscorza.it/privacy-daily-1…

👉Your Chance to join the @noybeu Team as a #Trainee! 😊

We are looking for young lawyers that want to gain experience in #GDPR litigation and enforcement.

⏩Find out more & apply now for May 2022 onward at noyb.eu/en/traineeship

mastodon.social/@noybeu/108287…

Lo scorso 30 marzo è stato pubblicato sulla Gazzetta Ufficiale il Regolamento di Banca d’Italia concernente il trattamento di dati personali effettuato nell’ambito della gestione degli esposti riguardanti la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra intermediari e clienti e i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento.

Come noto, Banca d’Italia (in qualità di Autorità di vigilanza bancaria e finanziaria) riceve numerose segnalazioni riguardanti la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra intermediari vigilati e clientela, nonché i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento.

Al fine di gestire detti esposti e vista l’ingente quantità di esposti che quotidianamente vengono trasmessi alle diverse filiali della Banca d’Italia, questa utilizza un sistema di IA al fine di ottimizzare il patrimonio informativo contenuto negli esposti, per poterne ricavare elementi utili su fenomeni d’interesse per l’attività di vigilanza che la stessa conduce sugli intermediari bancari e finanziari e, in particolare, al fine di: (i) individuare le fattispecie che presentano similarità; (ii) trarre informazioni utili per la trattazione dell’esposto e per l’attività di vigilanza.

In particolare, l’attività di analisi effettuata dall’IA viene effettuata attraverso l’uso di un motore di ricerca in grado di accedere ai documenti presentati all’Autorità e di ricercare tutte le informazioni presenti negli esposti riconducibili a un determinato servizio o prodotto finanziario. Successivamente, il sistema aggrega gli esposti in cluster (assegnando tag esemplificativi del contenuto) che, tuttavia, non sono determinati sulla base dei dati personali degli esponenti, né dei soggetti terzi.

In tal senso, è escluso che l’algoritmo possa effettuare una qualsiasi forma di profilazione o predizione di comportamenti delle persone fisiche che a vario titolo possono essere coinvolte nella vicenda. Tanto è confermato dalla circostanza che dai risultati dell’analisi non derivano conseguenze sanzionatorie o decisioni automatiche su sugli interessati, né impattano sulle decisioni rimesse alla Banca d’Italia in relazione agli esposti.

Nel Regolamento, l’Autorità approfondisce, inoltre, le misure di sicurezza implementate ai sensi dell’art. 32 del GDPR e, nello specifico, quelle applicate all’utilizzo dei sistemi di IA. In tal senso, è stato previsto il periodico monitoraggio e aggiornamento delle logiche che gli algoritmi di machine learning utilizzano su un determinato insieme di dati (cosiddetto “training dataset”), che, pertanto, sotto sottoposti ad un processo continuo di riaddestramento.

In tale contesto, l’algoritmo viene, pertanto, periodicamente riaddestrato non appena si ritiene che il set di informazioni (o l’interpretazione ad essi associata) possa impattare sui risultati delle analisi.

Inoltre, l’applicazione di machine learning è costruita in modo tale da fornire una “spiegazione” del funzionamento interno dell’algoritmo.

Ariella Fonsi

L'articolo UTILIZZO DI ALGORITMI DI CLUSTERING PER FINALITÁ DI INTERESSE PUBBLICO RILEVANTE NEL RECENTE REGOLAMENTO DI BANCA D’ITALIA proviene da E-Lex.

Today, the European Commission presented publicly for the first time an EU draft law on mandatory chat control. With the stated intention of fighting against “child pornography”, the Commission plans to oblige all providers of e-mail, chat and messaging services to search for suspicious messages in a fully automated way and disclose them to the police. This requires them to monitor and scan the communications of all citizens. End-to-end encryption would have to be undermined by “client-side” scanning on all mobile phones.

MEP and civil rights activist Dr Patrick Breyer (Pirate Party), who filed a lawsuit on Monday against the chat control already voluntarily practiced by Facebook/Meta, comments:

“Apart from ineffective web blocking, the proposed chat control threatens to destroy digital privacy of correspondence and secure encryption. Scanning personal cloud storage would result in the mass surveillance of private photos. Mandatory age verification would end anonymous communication. Appstore censorship would be the end of secure messenger apps and patronise young people. The proposal does not include the overdue obligation on law enforcement agencies to report and remove known abusive material on the net, nor does it provide for Europe-wide standards for effective prevention measures, victim support and counselling and effective criminal investigations. Von der Leyen continues to chart the territory of censorship, mass surveillance, anonymity bans and paternalism, while leaving the activities of child porn rings completely untouched. The proposed measures deprive the entire population of trust, self-determination and security on the net. This plan is nothing other than terrorism against our digital fundamental rights, which I will not relent to fight.

This Big Brother attack on our mobile phones, private messages and photos with the help of error-prone algorithms is a giant step towards a Chinese-style surveillance state. Chat control is like the post office opening and scanning all letters – ineffective and illegal. Even the most intimate nude photos and sex chats can suddenly end up with company personnel or the police. Those who destroy the digital secrecy of letters destroy trust. We all depend on the security and confidentiality of private communication: People in need, victims of abuse, children, the economy and also state authorities.”

Breyer summarises the content and effects of the bill in the following overview:

Voices against the proposed law are coming from across the board: EDRi has criticised the proposal would “allow the widespread scanning of people’s private communications” and “inevitably require the use of notoriously inaccurate AI-based scanning tools of our most intimate conversations”. The German Child Protection Association has also described the EU Commission’s planned warrantless scanning of private communication via messenger or email as disproportionate and not effective. Instead, they stress the majority of child pornography material is shared via platforms and forums. What was needed is “above all the expansion of human and technical resources at the law enforcement agencies, more visible police presence on the net, more state reporting offices and the decriminalisation of the dissemination of self-generated material among young people.”

In Berlin people today protested against the proposal.

patrick-breyer.de/en/eu-chat-c…

Next week on Wednesday (May 11), the EU Commission will present an EU draft law on mandatory chat control to the public for the first time. Similar to Apple’s highly controversial “SpyPhone” plans, the Commission wants to oblige all providers of email, chat and messaging services to search for suspicious messages in a fully automated way and forward them to the police in the fight against “child pornography”. This will require them to monitor and scan the communications of citizens en masse – even if they are still securely encrypted end-to-end so far.

MEP and civil rights activist Dr. Patrick Breyer (Pirate Party) comments:

“This spying attack on our private messages and photos by error-prone algorithms is a giant step towards a Chinese-style surveillance state. Will the next step be for the post office to open and scan all letters? Organized child porn rings don’t use email or messenger services, but darknet forums. With its plans to break secure encryption, the EU Commission is putting the overall security of our private communications and public networks, trade secrets and state secrets at risk to please short-term surveillance desires. Opening the door to foreign intelligence services and hackers is completely irresponsible. To stop chat control, the net community must go to the barricades as!”

In March, 35 organisations worldwide, including the German Lawyers Association, Digitale Gesellschaft, and the Committee to Protect Journalists (CPJ), had warned against the EU’s chat control law.

In an expert opinion, a former ECJ judge pointed out last year that the warrantless interception of private communications violates the case law of the European Court of Justice. According to a poll 72% of citizens oppose the indiscriminate scanning of their private communications. The German government coalition agreement states on the topic on chat control: “We reject measures to scan private communications.”

More info on chat control

patrick-breyer.de/en/chat-cont…

Limousine Beach \ Gengis Khan : Cosa direste se vi proponessero un gruppo musicale che riuscisse a fondere Thin Lizzy, Kiss, Van Halen e il glam rock anni settanta ?

iyezine.com/the-queen-is-dead-…

The Queen is Dead 49 - Limousine Beach Gengis Khan

Limousine Beach Gengis Khan : Cosa direste se vi proponessero un gruppo musicale che riuscisse a fondere Thin Lizzy, Kiss, Van Halen e il glam rock anni settanta ?

^{In Your Eyes ezine}

Di recente, la Corte di Giustizia dell’Unione europea (“CGUE”) si è pronunciata, in seguito a rinvio pregiudiziale, sull’interpretazione dell’art. 80, paragrafo 2, del Regolamento UE 679/2016 (“GDPR” o “Regolamento”) in materia di ricorsi, concludendo che anche un’associazione di tutela degli interessi dei consumatori può agire in giudizio, in assenza di un mandato e/o indipendentemente dalla violazione di specifici diritti degli interessati, contro il presunto autore di un atto pregiudizievole per la protezione dei dati.

I mezzi di ricorso a tutela dei diritti dell’interessato al Capo VIII del Regolamento

Preliminarmente all’analisi compiuta dalla CGUE sul tema dei ricorsi e dei reclami, giova ricordare che il Capo VIII del GDPR, intitolato “Mezzi di ricorso, responsabilità e sanzioni”, prevede che l’interessato ha il diritto di presentare un reclamo dinanzi ad un’autorità di controllo di uno Stato membro, secondo quanto previsto dall’art. 77 del GDPR, oppure un ricorso dinanzi ai tribunali ordinari nazionali, ai sensi degli artt. 78 e 79 del GDPR, sia avverso una decisione dell’autorità di controllo sia nei confronti del titolare del trattamento o del responsabile del trattamento.

In particolare, per quanto rileva in questa sede, merita soffermarsi sugli artt. 80, 81 e 84 del Regolamento. L’art. 80, paragrafo 1, del GDPR prevede che l’interessato ha il diritto di dare mandato di proporre ricorso per suo conto ad un organismo, un’organizzazione o un’associazione senza scopo di lucro, debitamente costituiti secondo il diritto di uno Stato membro e che perseguano obiettivi di pubblico interesse, oltre che essere attivi nel settore della protezione dei diritti e delle libertà degli interessati.

Dalla lettura del paragrafo 1, è evidente il ruolo attivo attribuito nei confronti degli organismi e delle organizzazioni nel promuovere una tutela, eventualmente anche risarcitoria, degli interessati, a condizione del possesso di due requisiti: i) la costituzione dell’organismo secondo il diritto di uno Stato membro; ii) essere attivi nel settore della protezione dei diritti e delle libertà degli interessati, perseguendo tali obiettivi da statuto. Il primo è un requisito meramente formale1. Il secondo requisito, invece, presuppone un’indagine da svolgere con riguardo all’attività concreta, sia per il tramite dello scrutinio dello statuto dell’ente, sia per il tramite della verifica effettiva delle attività nel settore della protezione dei diritti e delle libertà degli interessati.

L’art. 80, paragrafo 2, del GDPR, dall’altro lato, prevede che un organismo, un’organizzazione o un’associazione aventi le medesime caratteristiche descritte al paragrafo 1, possono agire, indipendentemente dal mandato conferito dall’interessato, sia di fronte all’autorità di controllo, sia di fronte ai tribunali ordinari nazionali, se si ritiene che i diritti di un interessato siano stati violati in seguito al trattamento.

Con riguardo a questa disposizione, la dottrina prevalente ha ritenuto che per attribuirsi un mandato istituzionale ex lege dovrebbe darsi esito positivo alle stringenti verifiche non soltanto statuarie, ma anche sostanziali, relativamente a quelle caratteristiche che l’art. 80, paragrafo 1, richiama.

L’art. 84, infine, prevede che gli Stati membri stabiliscono le norme relative alle altre sanzioni per la violazione del Capo VIII del Regolamento, in particolare con riguardo a quelle violazioni che non sono soggette alle sanzioni amministrative di cui all’art. 83 dello stesso Regolamento.

La vicenda del caso in analisi

La vicenda sottoposta alla CGUE ha avuto origine dalla creazione di un’applicazione denominata “App-Zentrum” da parte della società Meta Platforms Ireland (“Società”), finalizzata ad offrire giochi gratuiti agli utenti di social network. La suddetta App consentiva l’acquisizione di dati personali e, non solo, di procedere alla pubblicazione degli stessi a seconda delle vincite e dei punteggi totalizzati da parte degli utenti.

Sul punto, l’Unione federale (“Unione”) – associazione dei consumatori tedesca – ravvisava che le informazioni fornite agli utenti non fossero in conformità con quanto disciplinato dalla normativa sulla protezione dei dati e su quella a tutela del consumatore. In particolare, l’Unione sosteneva che il consenso non fosse validamente acquisito, oltre che le informazioni fossero da ritenersi sleali nei confronti dei consumatori.

Pertanto, l’Unione federale proponeva azione inibitoria di fronte al Tribunale del Land di Berlino contro la Società, pur in assenza di una violazione concreta del diritto alla tutela dei dati di un interessato e di un mandato a lui conferito. Sul punto, il giudice del rinvio in Cassazione, di fronte al quale è stato proposto ricorso contro la sentenza di accoglimento dell’azione, dubitava circa la ricevibilità dell’azione dell’Unione, nei termini di legittimazione attiva ad agire, alla luce dell’applicazione degli artt. 80, paragrafi 1 e 2, nonché dell’art. 84, paragrafo 1 del GDPR, e, pertanto, agiva di fronte alla CGUE su rinvio pregiudiziale.

Conclusione: l’interpretazione della CGUE dell’art. 80 del GDPR

Considerato quanto premesso, il rinvio pregiudiziale verteva principalmente sulla questione se un’associazione di tal genere – ossia quella che agisce a tutela dei diritti dei consumatori – possa agire contro una società in assenza di un mandato che le sia stato conferito ed indipendentemente dalla violazione di specifici diritti degli interessati.

La Commissione della CGUE ha ritenuto che, invero, la questione dipendesse dalla sola interpretazione dell’art. 80, paragrafo 2 del GDPR, alla luce del fatto che il paragrafo 1 dell’art. 80 presuppone la concessione di un mandato e che tale circostanza non riguardasse il caso di specie e che l’art. 84 del GDPR riguardasse l’applicazione delle sanzioni, aspetto che, in ogni caso, non era stato oggetto di discussione.

La Corte ha osservato che, anche in forza del margine di discrezionalità riconosciuto agli Stati membri nell’attuazione della disciplina europea secondo anche quanto previsto dall’art. 288 del TFUE in combinato disposto con i considerando 9, 10 e 13 del GDPR, la disciplina del Regolamento non ostava con la disciplina nazionale, rientrando nel predetto margine di discrezionalità. Per la precisione, la disciplina nazionale, difatti, prevede la legittimazione ad agire da parte delle associazioni dei consumatori a tutela della protezione dei dati.

Nella sua analisi, la Corte ha ritenuto che l’Unione, in qualità di associazione dei consumatori, fosse in possesso di quei requisiti di cui all’art. 80 del GDPR. In primo luogo, l’Unione rientra in quella nozione di organismo, organizzazione e associazione, senza scopo di lucro, costituita secondo il diritto interno e avente obiettivi statutari di pubblico interesse ed attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali. Difatti, l’Unione persegue un obiettivo di interesse pubblico, consistente nell’assicurare i diritti e le libertà degli interessati nella loro qualità di consumatori, correlandosi tale finalità con la protezione dei dati personali di questi ultimi.

In secondo luogo, l’Unione agisce nella misura in cui ritenga che i diritti di cui un interessato gode siano stati violati in seguito al trattamento dei dati personali. La Corte precisava, nello specifico, che non è necessario che la violazione sia concreta, ma esclusivamente che vi sia un trattamento di dati contrario a disposizioni del Regolamento e che, pertanto, la violazione possa essere potenziale.

A valle di tale riflessione, la Corte ha ritenuto che il fatto di legittimare delle associazioni a tutela dei consumatori, come nel caso di specie l’Unione federale, ad instaurare, mediante un meccanismo rappresentativo, azioni intese a far cessare trattamenti di dati contrari alle disposizioni del Regolamento, indipendentemente dalla violazione dei diritti di una persona individualmente e concretamente pregiudicata dalla violazione, contribuisse – in modo incontestabile – a “rafforzare i diritti degli interessati e ad assicurare loro un elevato livello di protezione”. Anzi, la Corte ha aggiunto che il ricorso da parte di un’associazione potesse ritenersi ancora più efficace rispetto all’azione di un singolo individuo.

Pertanto, posto quanto sopra riportato, la Corte ha concluso che l’art. 80 GDPR deve essere interpretato nel senso che non osta ad una normativa nazionale che consente ad un’associazione di tutela degli interessi dei consumatori di agire in giudizio, in assenza di un mandato che le sia stato conferito per quel determinato scopo ed indipendentemente dalla violazione di specifici diritti degli interessati, qualora il trattamento dei dati in questione sia idoneo a pregiudicare i diritti riconosciuti dal GDPR agli interessati.

Si ritiene chela decisione della CGUE abbia indubbiamente contribuito ad innovare l’interpretazione dell’art. 80 del GDPR chiarendone l’ambito di applicazione e configurando la concreta possibilità di estensione della legittimazione ad agire a tutela dei dati personali.

Fabiola Iraci Gambazza

1 A titolo esemplificativo, in Italia, tale requisito può essere soddisfatto con l’iscrizione nel registro unico nazionale del terzo settore, ai sensi dell’art. 22 del D. lgs. n. 117/2017.

L'articolo La Corte di Giustizia sui mezzi di ricorso previsti dal GDPR: anche le associazioni dei consumatori possono agire per la protezione dei dati personali proviene da E-Lex.

Utilizzo di algoritmi valutativi nelle scuole: rating reputazionale sotto la lente del Garante privacy

Con un comunicato del 3 maggio 2022, il Garante per la protezione dei dati personali ha inviato una richiesta di informazioni all’Associazione Crop News Onlus, operante nel settore del rating “reputazionale”, che avrebbe promosso un progetto per sperimentare, nei confronti degli studenti, il rating “reputazionale” elaborato sulla base di algoritmi dalla Piattaforma Mevaluate.

Sul tema dell’utilizzo di piattaforme per l’elaborazione di profili reputazione, peraltro, il Garante Privacy si era espresso con il provvedimento n. 488 del 2016, ritenendo che i trattamenti di dati personali effettuati dal titolare della piattaforma oggetto di verifica da parte dell’Autorità non fossero conformi con gli artt. 2, 3, 11, 13, 23, 24 e 26 dell’ex Codice Privacy.

Il Garante, considerata la delicatezza del progetto che si rivolge a soggetti particolarmente vulnerabili (studenti e minori), ha chiesto all’Associazione di far pervenire entro 30 giorni ogni informazione utile alla valutazione del trattamento di dati effettuato.

Leggi il comunicatoLeggi il provvedimento

Il Garante Privacy chiede maggiori garanzie sulla piattaforma per i referendum online

Il Garante per la protezione dei dati personali ha fornito un parere non favorevole al Ministero per l’innovazione tecnologica sullo schema di Dpcm che fissa le regole della piattaforma per la raccolta delle firme per referendum e progetti di legge.

L’Autorità ritiene che siano troppi i profili critici emersi dall’esame di un provvedimento che incide su istituti di democrazia diretta costituzionalmente garantiti, quali appunto i referendum.

Il testo sottoposto all’Autorità, infatti, risulta attualmente privo di adeguate tutele per il pieno rispetto dei diritti e delle libertà fondamentali dei cittadini e, per tale ragione, ha indicato al Ministero una dettagliata serie di condizioni e osservazioni alle quali attenersi, al fine di scongiurare il rischio che si verifichino trattamenti di dati personali non conformi alla normativa vigente.

Leggi il provvedimento

Il Garante Privacy sanziona un ente di ricerca pubblico per l’inadeguatezza delle misure di sicurezza a protezione delle password

Con il provvedimento n. 46 del 2022, il Garante per la protezione dei dati personali ha applicato nei confronti di un ente di ricerca pubblico, titolare del trattamento, una sanzione di € 6.000,00, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f e 32 del Regolamento (UE) 2016/679.

Dal provvedimento si evince che se il titolare del trattamento è tenuto ad individuare le migliori misure a protezione delle password, in ossequio al principio di responsabilizzazione, il fatto di non adottare neanche le misure contenute nell’Allegato B del Codice o nella Circolare n. 2/2017 dell’AgID, precedenti al Regolamento UE (2016/679), non può che comportare il rischio, per il titolare del trattamento, di vedersi irrogata una sanzione da parte del Garante Privacy.

Leggi il provvedimento

Telemarketing: nuovo registro pubblico delle opposizioni

Il 13 aprile 2022 è entrato in vigore il d.p.r. 26/2022, vale a dire il regolamento di riforma del registro pubblico delle opposizioni (RPO), che sarà operativo dal 27 luglio 2022.

Il nuovo RPO amplia il suo originale ambito di iscrizione e modifica, di conseguenza, le modalità con cui società e operatori potranno svolgere attività di telemarketing.

Tra le principali novità si segnalano:

• l’inclusione nella definizione di “contraente” anche delle persone giuridiche, degli enti e delle associazioni;
• estensione dell’ambito di applicazione anche ai numeri telefonici fissi, siano essi presenti in elenchi pubblici o meno, ai numeri telefonici mobili e agli indirizzi postali;
• estensione del diritto di opposizione alle forme di marketing svolte mediante telefonate automatizzate, ossia effettuate in via automatizzata senza l’intervento di un operatore.

Leggi il decreto

Il Garante Privacy sanziona un Responsabile del trattamento per l’inadeguatezza delle misure di sicurezza adottate

L’Autorità ha ingiunto una sanzione pecuniaria di € 10.000,00 esclusivamente nei confronti di un Responsabile del trattamento, una società fornitrice di software, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f) e 32 del Regolamento (UE) 2016/679 (di seguito “GDPR” o “Regolamento”), a seguito di una violazione dei dati personale concernente i dati contenuti in una piattaforma utilizzata per la gestione delle contravvenzioni al Codice della strada.

Secondo l’Autorità, non si ravvisavano i presupposti per adottare un provvedimento nei confronti del titolare del trattamento, un ente pubblico, poiché il responsabile del trattamento era risultato inadempiente all’obbligo di prevedere misure di sicurezza adeguate sulla base del contratto stipulato con il titolare del trattamento. Si deve ricordare, infatti, che l’art. 28 del GDPR consente al titolare del trattamento di affidare un trattamento a terzi soggetti che presentino le competenze per adottare adeguate misure di sicurezza.

Si tratta di una pronuncia dalla portata decisamente innovativa se si considera che, in linea generale, le sanzioni del Garante sono rivolte principalmente a Titolari del trattamento o, al più, in maniera congiunta a Titolari e Responsabili del trattamento.

Leggi il provvedimento

L'articolo What’s new in Italy on Data Protection<BR> n.4 – Maggio 2022 proviene da E-Lex.

i figli degli Zoundz, dei Subhumans, degli Omega Tribe e dei nostri I Refuse It, stavano mettendo le basi per un nuovo, insperato, ritorno.

iyezine.com/straw-man-army-sos

Straw Man Army - SOS

Straw Man Army i figli degli Zoundz, dei Subhumans, degli Omega Tribe e dei nostri I Refuse It, stavano mettendo le basi per un nuovo, insperato, ritorno.

^{In Your Eyes ezine}