Quesito: privacy registrazioni contabili dipendenti ditta privata.

Nelle registrazioni contabili relative ai pagamenti delle retribuzioni ai dipendenti è corretto indicare il nominativo? Per la tutela della riservatezza e nel rispetto della privacy non dovrebbe essere omesso il riferimento alla persona in modo che non sia identificabile un dato "sensibile" come quello della retribuzione (che poi va stampato nel libro giornale???).<br /> <br /> Quale è la normativa di riferimento in caso affermativo?

Quesito: privacy registrazioni contabili dipendenti ditta privata.

Nelle registrazioni contabili relative ai pagamenti delle retribuzioni ai dipendenti è corretto indicare il nominativo? Per la tutela della ...

Continua a leggere...»

Garante privacy e redditometro: aggiornate le indicazioni operative.

L’Agenzia delle Entrate, con la circolare n. 6/E del 11 marzo, fornisce alcune precisazioni in merito alle istruzioni operative dettate in materia di redditometro con la circolare 24/2013.<br /> Per garantire che il trattamento dei dati personali effettuato ai fini dell’accertamento sintetico sia conforme alla disciplina in materia, l’Agenzia ha infatti richiesto al Garante della privacy una verifica preliminare della procedura relativa al controllo finalizzato alla ricostruzione sintetica del reddito complessivo delle persone fisiche (articolo 38, commi quarto e seguenti del Dpr 600/1973).<br /> Il Garante, con parere del 21 novembre 2013, ha, in primo luogo, precisato che l’intervento del funzionario prima dell’adozione dell’atto di accertamento esclude di fatto la possibilità che questo sia fondato unicamente sul trattamento automatizzato di dati personali. Ha, tuttavia, prescritto l’adozione di alcuni interventi relativi alla qualità e conservazione dei dati, all’informativa al contribuente, all’individuazione della reale situazione familiare dello stesso, alla determinazione del contenuto induttivo degli elementi di capacità contributiva.<br /> <br /> La selezione dei soggetti<br /> Può accadere che non vi sia coincidenza tra “famiglia fiscale” e “famiglia anagrafica”.<br /> In sede di selezione, infatti, viene attribuito a ogni contribuente il tenore di vita (lifestage) risultante dalla famiglia fiscale presente in Anagrafe tributaria, determinata in base ai dati delle dichiarazioni presentate dai contribuenti: contribuente, coniuge (anche se non fiscalmente a carico), figli e/o altri familiari a carico. La famiglia anagrafica, invece, comprende anche i figli maggiorenni e gli altri familiari conviventi, nonché i conviventi di fatto, non fiscalmente a carico.<br /> L’ufficio dell’Agenzia, prima di inviare invito formale, dovrà effettuare i necessari riscontri sulla situazione familiare del contribuente, eventualmente aggiornando la composizione del nucleo familiare, per evitare la selezione di soggetti che, con il reddito complessivo dichiarato dalla famiglia, giustificano l’apparente scostamento individuale. Il riscontro potrà avvenire tramite collegamento telematico con l’Anagrafe comunale o, in alternativa, colloquiando con il Comune tramite Pec.<br /> Il disallineamento fisiologico tra famiglia fiscale e famiglia anagrafica è comunque destinato a essere superato, quando sarà completata l’Anagrafe nazionale della popolazione residente e la sua integrazione con l’Anagrafe tributaria.<br /> <br /> L’attività istruttoria<br /> Il Garante della privacy ha evidenziato che la ricostruzione sintetica del reddito deve basarsi su “dati relativi alle spese certe, alle spese per elementi certi e al fitto figurativo che, nonostante sia un dato presunto, si presta ad essere facilmente verificato anche in sede di contraddittorio con il contribuente”.<br /> Le spese medie Istat, pertanto, sono utilizzabili per il calcolo delle spese solo se connesse ad elementi certi, quali il possesso e le caratteristiche di immobili e di mobili registrati (spese per la manutenzione ordinaria degli immobili, per acqua e condominio, parametrate ai metri quadrati dell’abitazione; spese per l’utilizzo di veicoli, parametrate ai kW).<br /> Le spese medie Istat non avranno invece alcun peso nella selezione dei contribuenti da sottoporre ad accertamento sintetico.<br /> Inoltre, non saranno oggetto di contraddittorio le spese per beni e servizi di uso corrente, il cui contenuto induttivo è determinato con esclusivo riferimento alla media Istat della tipologia di nucleo familiare e area geografica di appartenenza (vedi tabella A allegata al Dm 24 dicembre 2012). Gli importi relativi a tali spese saranno oggetto di contraddittorio e potranno concorrere alla ricostruzione sintetica del reddito soltanto se individuati puntualmente dall’ufficio. Analogamente, le spese per elettrodomestici, arredi e altri beni e servizi per la casa.<br /> Viene poi ribadito il concetto, già affermato nella circolare 24/2013, secondo cui, se il contribuente fornisce chiarimenti esaustivi su "spese certe", "spese per elementi certi", investimenti e quota di risparmio dell'anno, l'attività di controllo basata sulla ricostruzione sintetica del reddito si esaurisce nella prima fase del contraddittorio.<br /> <br /> Il “fitto figurativo”<br /> In base al Dm 24 dicembre 2012, al contribuente, per il quale non risulta nel comune di residenza alcune delle tipologie di possesso (proprietà o altro diritto reale, locazione o leasing immobiliare, uso gratuito), viene attribuita la spesa per il “fitto figurativo”. Questo, però, non rileva ai fini della selezione.<br /> In sede di contraddittorio, il contribuente potrà rappresentare la sua reale condizione abitativa, consentendo in tal modo di sostituire la spesa per “fitto figurativo” con la determinazione delle “spese per elementi certi” connesse alle caratteristiche dell’immobile di cui dispone.<br /> <br /> Controlli preventivi sui dati<br /> L’Agenzia, per limitare i rischi di errori ed evitare di selezionare posizioni che richiedono riscontri in ordine alla correttezza dei dati presso gli enti fornitori, sta effettuando una preliminare analisi delle informazioni presenti nelle banche dati. Analogamente gli uffici, prima di procedere all’invito del contribuente, dovranno effettuare ulteriori controlli preventivi sulla correttezza dei dati utilizzati e provvedere alle eventuali opportune modifiche.<br /> <br /> <br /> <i>Fonte: Agenzia Entrate</i>

Garante privacy e redditometro: aggiornate le indicazioni operative.

L’Agenzia delle Entrate, con la circolare n. 6/E del 11 marzo, fornisce alcune precisazioni in merito alle istruzioni operative dettate in m...

Continua a leggere...»

Modalità ancora più semplificate per il rilascio dell'informativa privacy.

L'ANCIC ottiene dal Garante privacy per le proprie imprese associate delle ulteriori semplificazioni per il rilascio dell'informativa privacy con ulteriori benefici economici. Il Garante privacy, a seguito della richiesta dell'ANCIC, vale a dire dell'Associazione nazionale delle imprese di informazioni commerciali e di gestione del credito, ha emesso con provvedimento di carattere generale del 15 dicembre 2011 pubblicato sulla GU del 9 gennaio 2012, una modifica al provvedimento del maggio 2009 con il quale era già stata riconosciuta la possibilità di avvalersi di modalità semplificate per il rilascio delle informative privacy a tutti quei soggetti, quali imprese, professionisti, persone fisiche o enti, di cui vengono appunto raccolte informazioni da banche dati pubbliche di carattere commerciale.<br />In via specifica il provvedimento generale del 2009 accogliendo la tesi dell'ANCIC, secondo cui l'esecuzione dell'adempimento era manifestamente sproporzionata considerato l'elevatissimo numero di soggetti interessati, aveva previsto come modalità alternative di rilascio dell'informativa, rispetto alla consegna ad personam a ciascun soggetto interessato, le seguenti:<br /><br />- pubblicazione, sulle versioni cartacee di "Pagine Gialle" e di "Pagine Bianche", nonché sui rispettivi siti web, agli indirizzi di riferimento www.paginegialle.it e www.paginebianche.it, di un'unica informativa contenente gli estremi identificativi di tutti i titolari del trattamento e gli altri elementi previsti dall'art. 13, commi 1 e 2 del Codice;<br /><br />- ripetizione della pubblicazione con cadenza annuale a cura delle imprese associate o tramite l'associazione di categoria;<br /><br />- pubblicazione dell'informativa anche sul sito web di ciascuna impresa associata e sul sito dell'ANCIC;<br /><br />- obbligo di aggiornamento dell'elenco delle società di informazioni commerciali aderenti all'ANCIC da pubblicare sul sito in modo da consentire ai soggetti interessati di acquisire più agevolmente gli elementi dell'informativa mediante la semplice consultazione del sito.<br /><br />L'ANCIC che nel frattempo ha osservato queste modalità di pubblicazione dell'informativa ha richiesto al Garante un'ulteriore semplificazione poiché avendo già eseguito l'adempimento mediante la pubblicazione delle pagine gialle stampate in circa 65 milioni di copie cartacee l'anno, buona parte dei soggetti interessati sarebbe stata già informata.<br /><br />Le modalità alternative di rilascio dell'informativa richieste dall'ANCIC ed accolte dal Garante nel menzionato provvedimento del 15 dicembre 2011, emesso ai sensi dell'art. 13, comma 5 del Codice privacy, che riconosce al Garante la facoltà di prevedere dei casi di esonero dell'informativa, sono:<br /><br />- pubblicazione sulle Pagine gialle e sulle Pagine bianche quella di poter pubblicare l'informativa su Pagine Gialle (Lavoro) provvedendo ad inserire alla voce ANCIC presente sulle Pagine bianche un semplice rimando al testo su Pagine Gialle Lavoro.<br /><br />- inserimento di specifici banner nei siti web di "Pagine Gialle" e di "Pagine Bianche", agli indirizzi www.paginegialle.it e www.paginebianche.it, che consentano l'immediata apertura del testo dell'informativa.<br /><br />Il Garante ha, inoltre, ricordato che le società aderenti all'ANCIN sono tenute a continuare la pubblicazione permanente sul proprio sito web dell'informativa dandone evidenza con appositi riquadri di immediata consultazione.

Modalità ancora più semplificate per il rilascio dell'informativa privacy.

L'ANCIC ottiene dal Garante privacy per le proprie imprese associate delle ulteriori semplificazioni per il rilascio dell'informativ...

Continua a leggere...»

Installazione di un firewall su rete aziendale: come viene tutelata la privacy dei lavoratori?

Domanda<br />Se il sistema informatico aziendale comprende l'installazione di un firewall che controlla il traffico di rete, come ci si deve comportare rispetto alla privacy degli impiegati che utilizzano i computer dell'azienda?<br /><br />Risposta<br />La recente diffusione delle nuove tecnologie ha contribuito a un assottigliamento della barriera della privacy, basti pensare, ad esempio, alla tracciabilità dei cellulari o alla relativa facilità di reperire gli indirizzi di posta elettronica delle persone. Anche il firewall può rivelarsi uno strumento "pericoloso" per la privacy.<br />In termini generali, un firewall di rete è un sistema o un gruppo di sistemi che impone una politica di controllo dell'accesso tra due reti. Generalmente le due reti sono Internet e la propria rete LAN e, a volte, con l'installazione di un firewall si è più interessati a regolamentare l'accessibilità delle proprie risorse da Internet, mentre altre volte si vuole regolamentare l'accesso a Internet da parte degli utenti locali.<br />Le funzionalità di un firewall sono diverse:<br />a) la "packet inspection" permette di analizzare il contenuto di ogni pacchetto che passa attraverso esso e può bloccare il traffico indesiderato o gli attacchi di hacker informatici;<br />b) il "content filtering" consente di filtrare il traffico di rete in base al tipo di protocollo, all'indirizzo e alla porta sorgente e all'indirizzo e alla porta di destinazione, ma può anche filtrare il traffico Web degli utenti interni (cioè il traffico dalla rete LAN verso Internet) in base al contenuto dei siti Web o in base ad altre policy;<br />c) può essere usato come gateway verso Internet e, in questo caso, il firewall viene visto dalla rete locale come un router (anche se generalmente sarà un altro router a realizzare la connessione fisica verso Internet) e lo strumento può gestire una rete sicura riservata ai propri server Internet e isolare la rete locale.<br />Ora, è evidente che la funzione di "content filtering" può servire anche ad evitare un uso improprio di Internet con conseguente perdita di tempo e di produttività dei dipendenti, ma questo può contrastare con il loro diritto alla privacy, diritto che il D.Lgs. 196/03 tutela anche nell'ambito del rapporto di lavoro.<br />Perciò l'azienda deve informare tutti i dipendenti della presenza del firewall precisando le sue funzionalità (ad esempio la possibilità di creare log sul traffico e/o di filtrare lo stesso) e deve comunque fare in modo che l'accesso allo strumento sia consentito solo per attività di manutenzione. In nessun caso e per nessun motivo deve essere resa possibile l'analisi sistematica del traffico degli utenti, soprattutto con l'individuazione puntuale degli stessi. Per l'eventuale controllo sull'utilizzo di Internet da parte dei dipendenti devono comunque essere sempre rispettate le regole e le garanzie stabilite dal Garante nel provvedimento generale del 1° marzo 2007.<br /><br /><br /><span style="font-style:italic;">Fonte: IPSOA</span>

Installazione di un firewall su rete aziendale: come viene tutelata la privacy dei lavoratori?

Domanda Se il sistema informatico aziendale comprende l'installazione di un firewall che controlla il traffico di rete, come ci si deve ...

Continua a leggere...»

Dati personali, incaricati del trattamento in formazione.

Il contributo-schema si occupa dell¿adempimento relativo alla programmazione degli interventi di formazione per gli incaricati del trattamento<br />Fra i vari adempimenti - posti dal disciplinare tecnico dell’allegato B al Codice Privacy, d. lgs. n. 196/2003, v’è quello della programmazione di interventi di formazione per gli incaricati del trattamento.<br /><br />Precisamente, ciò è previsto dal punto 19.6 dell’allegato: “la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.<br /><br />La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.<br /><br />Ciò - oltre che parte integrante del contenuto informativo del Documento programmatico sulla sicurezza da redigere entro il 31 marzo di ogni anno - rientra nelle misure “minime” di sicurezza, attualmente disciplinate, in via generale, dal Codice Privacy (d. lgs. n. 196/2003), precisamente dagli artt. 33 ss. dall’allegato B: “Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31 […] i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo […] volte ad assicurare un livello minimo di protezione dei dati personali.” Va evidenziato che, proprio in quanto misure “minime”, il mancato o inadeguato aggiornamento implica per il titolare il rischio che gli sia imputato un illecito trattamento dei dati.<br /><br />I soggetti tenuti ai due adempimenti in questione sotto l’aspetto formale-giuridico sono i titolari del trattamento.<br /><br />Inoltre, va considerato che: La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.<br /><br />NB Il termine effettivo va collocato non prima dei mesi di febbraio/marzo, dato che un eventuale accertamento ispettivo dell’istituzione competente, Garante Privacy, probabilmente verrebbe attuato solo qualche mese dopo la scadenza formale, dando un termine ragionevole di tempo alle imprese per svolgere un adempimento di natura tecnica, richiedente competenze tecniche specifiche.<br /><br />Si precisa che è scadenza che non comporta adempimenti “esterni” (come comunicazioni o notificazioni al Garante Privacy), ma comunque da osservare, anzitutto ai fini della tutela dei dati personali in rilievo e anche, in ottica di tutela aziendale, perché un’eventuale ispezione effettuata dall’Autorità possa avere esito negativo, senza incorrere dunque in sanzioni amministrative e anche penali, qual è l’art. 169 del Codice Privacy, sull’inosservanza delle misure di sicurezza, secondo cui: “Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’articolo 33 è punito con l’arresto sino a due anni.”<br /><br />L'intervento si attua mediante interventi formativi degli incaricati del trattamento, per renderli edotti dei seguenti elementi:<br /><br />- rischi che incombono sui dati, - misure disponibili per prevenire eventi dannosi,<br /><br />- profili della disciplina e responsabilità in materia di protezione dei dati personali più rilevanti in rapporto alle relative attività,<br /><br />- modalità per aggiornarsi sulle misure minime adottate dal titolare.<br /><br /><br /><span style="font-style:italic;">Fonte: IPSOA</span>

Dati personali, incaricati del trattamento in formazione.

Il contributo-schema si occupa dell¿adempimento relativo alla programmazione degli interventi di formazione per gli incaricati del trattamen...

Continua a leggere...»

La responsabilità per illecito trattamento dei dati personali.

Il codice della privacy prevede un'ipotesi di responsabilità oggettiva; il danneggiato deve provare il fatto della lesione, il danno e il nesso di causalità.Il codice della privacy prevede un’ipotesi di responsabilità oggettiva; il danneggiato deve provare il fatto della lesione, il danno e il nesso di causalità.<br /><br />La responsabilità per l’illecito trattamento dei dati personali è disciplinata dall'art. 15 del d.lgs 30 giugno 2003 n 196 detto anche Codice della Privacy. La disposizione di cui si tratta prevede che chiunque cagioni un danno, riguardante il trattamento dei dati personali, sia tenuto al risarcimento ai sensi dell’art. 2050 c.c. Quest’ultima disposizione prevede una responsabilità aggravata, di tipo oggettivo o semioggettivo, nei confronti di chi svolge una attività pericolosa.<br /><br />In questo contesto si colloca la decisione in commento. Nel caso di specie una ex tossicodipendente veniva ricoverata presso una Struttura Ospedaliera ove, a richiesta della stessa, le veniva somministrato il metadone. La paziente richiedeva espressamente che non venisse rivelato il proprio stato di tossicodipendenza ai familiari. Nonostante detta richiesta, durante una visita da parte di una sorella le veniva chiesto in presenza di quest’ultima dalla caposala quando voleva che le portasse il metadone. Detto fatto aveva svelato il suo stato di tossicodipendenza e per tale motivo la famiglia aveva cessato i rapporti con la paziente al punto tale che il giorno del matrimonio quasi nessun familiare si recava al matrimonio.<br /><br />Per tale ragione la danneggiata ricorreva al Tribunale di Pordenone al fine di ottenere il risarcimento del danno per le sofferenze patite in seguito all’indebita rivelazione del suo stato di tossicodipendente. Si costituiva la resistente chiedendo la reiezione delle domande della ricorrente.<br /><br />Il Giudice evidenzia che il codice della privacy all’art. 83 c. 1 e 2 lett. c) e d) impone l’adozione di misure minime di sicurezza per pervenire durante i colloqui l’indebita conoscenza da parte di terzi di informazioni idonee a rivelare lo stato di salute e ad evitare che le prestazioni sanitarie avvengano in situazioni di promiscuità derivanti dalle modalità o dai locali prescelti.<br /><br />Orbene, il Giudice, accertata la condotta illegittima della resistente ritiene che quest’ultima è tenuta al risarcimento del danno ai sensi dell’art. 2050 c.c. come previsto dall’art. 15 del Codice della privacy.<br /><br />Il Tribunale evidenzia che l’art. 15 in esame contempla una vera e propria responsabilità oggettiva, essendo sufficiente che il danneggiato provi il fatto della lesione, il danno ed il nesso di causalità, potendo liberarsi la resistente solo escludendo tale nesso causale.<br /><br />Il Giudice rimarca che anche se l’art. 15 in esame prevedesse un semplice inversione dell’onere della prova, in relazione all’elemento soggettivo del dolo e della colpa, nel corso dell’istruttoria la resistente non ha comunque fornito alcuna prova di aver adottato tutte le misure possibili onde evitare il fatto oggetto di accertamento.<br /><br />Detto ciò il Tribunale si sofferma sul danno non patrimoniale liquidando lo stesso in via equitativa ai sensi dell’art. 1226 c.c., attesa la natura affettiva degli interessi lesi.<br /><br />In conclusione il Giudice condanna la resistente al risarcimento del danno per il mancato rispetto delle disposizioni del Codice della privacy.<br /><br />(Tribunale Pordenone, Sentenza 16/04/2010, n. 327)<br /><br /><br /><span style="font-style:italic;">Fonte: IPSOA</span>

La responsabilità per illecito trattamento dei dati personali.

Il codice della privacy prevede un'ipotesi di responsabilità oggettiva; il danneggiato deve provare il fatto della lesione, il danno e i...

Continua a leggere...»

Privacy contribuenti: indicazioni garante

Prosegue l'azione del Garante privacy per la messa in sicurezza del sistema informativo del fisco. Importanti novità saranno applicate al servizio di riscossione a mezzo ruolo, . L'Autorità ha chiesto ad Agenzia delle Entrate, a Equitalia e alle società del gruppo Equitalia maggiori garanzie per i contribuenti, informazioni più chiare sull'uso dei dati personali, adozione di elevate misure di sicurezza, utilizzo di informazioni indispensabili e aggiornate. Le prescrizioni dell'Autorità tengono conto dei risultati di accertamenti ispettivi che hanno riguardato, oltre agli accessi all'anagrafe tributaria da parte degli agenti della riscossione, anche problematiche più generali del servizio. Agenzia delle entrate, Equitalia e le società partecipate dovranno definire, entro e non oltre i termini indicati dal Garante, le diverse competenze e responsabilità rispetto al trattamento dei dati. Ciò consentirà anche un più agevole esercizio dei diritti da parte dei contribuenti che potranno così individuare con più facilità i destinatari cui rivolgere le loro istanze (accesso, rettifica, cancellazione dei dati ecc.). Un'informativa semplice e chiara che indichi, tra l'altro, le rispettive competenze sul trattamento dei dati dovrà comunque essere inserita nell'avviso o nella cartella esattoriale inviata al contribuente.Nel sistema informativo dovranno essere contenuti dati il più possibile esatti, aggiornati e pertinenti, conservati per periodi di tempo stabiliti a seconda delle esigenze. Agenzia delle entrate dovrà, infine, garantire elevate misure di sicurezza e predisporre procedure di controllo interno sugli accessi effettuati a fine di riscossione all'anagrafe tributaria, con particolare riguardo all'anagrafe dei rapporti bancari. Ciò anche in relazione agli accessi effettuati dagli enti locali, tramite società esterne, al fine di reperire informazioni per la riscossione delle proprie entrate. Analoghi controlli dovranno essere predisposti da Equitalia sulle attività svolte dalle società del gruppo e da Sogei.

Privacy contribuenti: indicazioni garante

Prosegue l'azione del Garante privacy per la messa in sicurezza del sistema informativo del fisco. Importanti novità saranno applicate a...

Continua a leggere...»