• Giornalismo: la notorietà del personaggio non giustifica la pubblicazione di scatti fotografici della sua vita privata

Il Garante ha comminato una multa di 40mila euro ad un periodico per aver pubblicato scatti fotografici, che riprendevano momenti della vita privata di una persona nota a casa propria, in violazione dei principi generali del trattamento e delle regole deontologiche sull'attività giornalistica.
Gli scatti, effettuati da un'auto parcheggiata in strada, rivelano un uso non corretto di “tecniche invasive” e, quindi, una raccolta di dati personali, anche strettamente privati che vìola i principi di correttezza e trasparenza. Per l'Autorità, il fatto che il personaggio sia disponibile a sottoporsi ai "riflettori mediatici” non giustifica una qualsiasi forma di raccolta e di utilizzo di dati e immagini che lo riguardano, tanto più in luoghi come l'abitazione dove è legittima l'aspettativa di riservatezza.
Sulla questione, il Garante afferma che «una testata giornalistica deve rispettare la legittima aspettativa di riservatezza che si gode nella propria abitazione e deve sempre valutare, caso per caso, se le foto pubblicate rispettino o meno il principio di essenzialità dell'informazione e risultino di interesse pubblico».

• No al controllo a distanza dei lavoratori: il Garante sanziona un'azienda

A seguito di un'ispezione, il Garante ha sanzionato per 20 mila euro un'azienda per aver installato un sistema di allarme la cui attivazione e disattivazione si basava sull'uso delle impronte digitali, un impianto di videosorveglianza e un applicativo per la geolocalizzazione di alcuni lavoratori.
Dall'ispezione è emerso inoltre che l'azienda utilizzava un applicativo che, quand'era in uso, tracciava tramite GPS la posizione del dipendente nel corso della propria attività, nonché data e ora del rilevamento, determinando così un controllo del lavoratore non consentito.
Il trattamento dei dati effettuato attraverso il sistema di videosorveglianza e quello di localizzazione erano effettuati senza che i lavoratori avessero ricevuto un'adeguata informativa e fossero state attivate le procedure di garanzia previste dallo Statuto dei lavoratori.
Oltre al pagamento della sanzione, l'Autorità ha disposto il divieto del trattamento dei dati raccolti mediante il sistema di videosorveglianza e il monitoraggio continuo della posizione del lavoratore.

• Sanità: società sanzionata per non aver anonimizzato i dati dei pazienti raccolti

Una società è stata sanzionata con una multa di 15mila euro per aver trattato illecitamente i dati sanitari di numerosi pazienti raccolti presso circa 7mila medici di medicina generale (Mmg), senza adottare idonee tecniche di anonimizzazione.
L'Autorità si è attivata a seguito di una segnalazione di un medico di base che lamentava una presunta violazione della disciplina privacy da parte della società, impegnata nella realizzazione di un progetto internazionale volto a migliorare le cure dei pazienti attraverso la raccolta e l'analisi di dati sanitari. A tal fine i Mmg aderenti all'iniziativa dovevano aggiungere al gestionale in uso -denominato “Medico 2000” e fornito da un'azienda informatica partner della società – un'ulteriore funzionalità (c.d. add-on) volta ad anonimizzare automaticamente i dati dei pazienti e trasmetterli in un data base della stessa società.
Tuttavia, dall'istruttoria è emerso che le funzionalità del c.d. add-on, indicate dalla società, non consentivano l'effettiva anonimizzazione delle informazioni acquisite dai Mmg e che pertanto la società ha effettuato un trattamento illecito di dati personali pseudonimizzati in violazione dei principi di liceità e trasparenza.

• Trasferimento dati verso gli USA: i chiarimenti dei Garanti UE

Il Comitato europeo per la protezione dei dati (EDPB) ha adottato una nota informativa rivolta alle persone fisiche e alle organizzazioni che trasferiscono dati negli Stati Uniti. Il documento intende fornire indicazioni sintetiche e oggettive sull'impatto della recente decisione di adeguatezza della Commissione UE relativa ai trasferimenti di dati personali negli USA, sulle implicazioni Data Privacy Framework (DPF) e sul nuovo meccanismo di ricorso in materia di sicurezza nazionale.
La nota chiarisce che «i trasferimenti basati su decisioni di adeguatezza non devono essere integrati da misure supplementari, mentre i trasferimenti verso gli Stati Uniti non inclusi nell'elenco previsto dal DPF richiedono tutele adeguate, come clausole tipo di protezione dei dati o norme vincolanti d'impresa». Inoltre, il documento in esame specifica che i cittadini dell'UE possono presentare un reclamo alla propria Autorità nazionale di protezione dati, indipendentemente dallo strumento utilizzato per trasferire i dati personali negli Stati Uniti.