Privacy

Farmacisti

25 Luglio 2023

---

Il trattamento dei dati personali è un ambito sempre più al centro dell’attenzione, sia da parte degli utenti sia delle Istituzioni. Le grandi piattaforme, la monetizzazione delle informazioni personali, l’uso dei dati biometrici, i dark pattern – i modelli di progettazione ingannevoli che possono influenzare il comportamento di chi naviga online -, l’Intelligenza artificiale sono solo alcuni dei fenomeni che rendono il tema particolarmente dinamico. Di recente, dal Garante della privacy, in occasione dei cinque anni del nuovo regolamento europeo, è stata rilanciata la riflessione ed è stata diffusa una guida destinata a piccole e medie imprese che ripercorre le principali operatività a cui prestare attenzione.

Cresce l’attenzione al corretto trattamento dei dati da parte degli utenti. Più ispezioni
Nel bilancio annuale del Garante della Privacy risultano, “nel 2022, 140 ispezioni effettuate, con un numero quasi triplicato rispetto all’anno precedente”, e “circa 9 milioni 500 mila euro di sanzioni riscosse”. Quanto al “numero dei data breach notificati da parte di soggetti pubblici e privati la cifra raggiunta è pari a 1351. Nel settore pubblico (31,2% dei casi), le violazioni hanno riguardato soprattutto comuni, istituti scolastici e strutture sanitarie; nel settore privato (68,8% dei casi) sono stati coinvolte sia PMI e professionisti sia grandi società del settore delle telecomunicazioni, energetico, bancario e dei servizi. Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio”. Diversi a ogni modo sono stati gli interventi riguardanti la “sanità digitale, tra cui quelli sul Fascicolo sanitario elettronico e sull’Ecosistema dei dati sanitari. In particolare, L’Ecosistema Dati sanitari (EDS), previsto dalla riforma del Fascicolo sanitario elettronico con l’obiettivo di garantire il coordinamento informatico e assicurare servizi omogenei sul territorio nazionale, rappresenta una struttura particolarmente delicata, che realizza un trattamento sistematico su larga scala anche attraverso l’uso di algoritmi” e per questo dal Garante sono stati chiesti chiarimenti.

Dal Garante una guida per piccole e medie imprese su obblighi e diritti
Di recente, poi, è stata rilanciata la Guida pubblicata a giugno in occasione dei cinque anni del nuovo regolamento europeo sul trattamento dei dati, per fornire alle piccole e medie imprese informazioni pratiche per una corretta gestione della privacy. Un interessante approfondimento contenuto riguarda l’informativa, per la quale sono stati schematizzati “gli elementi obbligatori che devono sempre essere specificati”.
Nel dettaglio questi sono:
- i dati di contatto del titolare e del suo rappresentante (se esistente);
- quelli del Responsabile della protezione dei dati (RPD o DPO) ove esistente;
- finalità e base giuridica del trattamento. Va ricordato che laddove le finalità vengano modificate è necessario informare l’interessato;
- qual è il legittimo interesse, se quest’ultimo costituisce la base giuridica del trattamento;
- eventuali destinatari o categorie di destinatari;
- se è previsto un trasferimento dei dati personali in Paesi terzi e, in caso affermativo, attraverso quali strumenti (esempio: se si tratta di un Paese terzo giudicato adeguato dalla Commissione europea; se si utilizzano norme vincolanti d'impresa, Binding Corporate Rules - BCR; se sono state inserite specifiche clausole contrattuali standard, ecc.).

L’informativa: contenuti obbligatori e necessari, durata, requisiti. Alcune indicazioni
A essere previste sono poi le informazioni “necessarie per garantire un trattamento corretto e trasparente”. In particolare, il titolare deve specificare:
- il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo;
- la possibilità di revocare in qualsiasi momento il consenso al trattamento;
- l'esistenza del diritto per l'interessato di chiedere l'accesso ai dati personali che lo riguardano, la rettifica, la cancellazione, la limitazione del trattamento o di opporsi allo stesso, nonché il diritto alla portabilità dei dati;
- il diritto di presentare un reclamo all'Autorità di controllo.

Il Regolamento, continua la Guida, “specifica anche le caratteristiche dell’informativa, che deve avere forma concisa, trasparente, intelligibile per l’interessato e facilmente accessibile; occorre utilizzare un linguaggio chiaro e semplice. L’informativa è data, in linea di principio, per iscritto e preferibilmente in formato elettronico, soprattutto nel contesto di servizi online, anche se sono ammessi “altri mezzi”. Può essere quindi fornita anche oralmente, ma nel rispetto delle caratteristiche sopra indicate. Il Regolamento ammette inoltre l’utilizzo di icone per presentare i contenuti dell’informativa in forma sintetica, ma solo “in combinazione” con l’informativa estesa”.

Consenso: deve essere inequivocabile. Per i dati sanitari è esplicito
Per quanto riguarda il consenso, “deve essere, in tutti i casi, libero, specifico, informato e inequivocabile: non è ammesso il consenso tacito o presunto (ad esempio, no a caselle pre-spuntate su un modulo). Non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è una modalità idonea a configurare l’inequivocabilità del consenso. Inoltre, il titolare deve essere in grado di dimostrare che l’interessato abbia prestato il consenso a uno specifico trattamento. Per i “dati sensibili”, il consenso deve essere “esplicito”; lo stesso dicasi per il consenso a decisioni basate su trattamenti automatizzati, compresa la profilazione. Occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato, per esempio all’interno della modulistica. Occorre poi prestare attenzione alla formula utilizzata per chiedere il consenso che deve essere comprensibile, semplice, chiara”.

Diritto all’obblio e alla portabilità vanno garantiti
Tra gli altri aspetti trattati un focus va ai diritti degli interessati e tra questi al diritto all’oblio, che “si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari che hanno “reso pubblici” i dati personali dell’interessato, ad esempio pubblicandoli su un sito web, di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”. Da sottolineare che l’interessato ha il diritto di chiedere la cancellazione dei propri dati, per esempio, anche dopo revoca del consenso al trattamento”.
Tra i nuovi diritti previsti dal Regolamento europeo, c’è il “Diritto alla portabilità dei dati. Non si applica ai trattamenti non automatizzati (quindi non si applica agli archivi o registri cartacei) e sono previste specifiche condizioni per il suo esercizio. In particolare, sono "portabili":

a) i dati trattati con il consenso dell’interessato o sulla base di un contratto stipulato con l’interessato (tale diritto quindi non si applica ai dati il cui trattamento si fonda sull’interesse pubblico o sull’interesse legittimo del titolare, per esempio);
b) i dati che siano stati “forniti” dall’interessato al titolare”.    

TAG: FARMACISTI, FARMACIE, PRIVACY, MINISTERO