PRIVACY E FOTO DEI FIGLI MINORI SUI SOCIAL

La sentenza del Tribunale di Mantova, firmata dal giudice Mauro Berardi, stabilisce la necessità del reciproco consenso dei genitori per la pubblicazione di immagini di figli minorenni su Facebook.

La motivazione della sentenza risiede sul potenziale pregiudizio che la pubblicazione delle foto può comportare sul minore, come, ad esempio, la manipolazione delle immagini per la creazione e diffusione di materiale pedo-pornografico.

Oltre alla tutela dei dati personali (decisa dall’attuale dlgs 196/03, rafforzata dal nuovo Regolamento attraverso una tutela preferenziale per il minore), occorre tener conto anche della Convenzione di New York sui diritti all’infanzia.

Al momento del compimento della maggiore età, l’attuale bambino, potrà rivalersi sui genitori (in Austria, dove una ragazza diciottenne ha denunciato i genitori poiché si sono rifiutati di rimuovere le immagini sui social che la ritraevano nuda da bambina) i quali rischierebbero una sanzione tra i 3.000 e i 10.000 euro.

NUOVO REGOLAMENTO PRIVACY NELLE PA

La principale novità introdotta dal regolamento è il principio di "responsabilizzazione" (cd. accountability), che attribuisce direttamente ai titolari del trattamento il compito di assicurare, ed essere in grado di comprovare, il rispetto dei principi applicabili al trattamento dei dati personali (art. 5).

In quest'ottica, la nuova disciplina impone alle amministrazioni un diverso approccio nel trattamento dei dati personali, prevede nuovi adempimenti e richiede un'intensa attività di adeguamento, preliminare alla sua definitiva applicazione a partire dal 25 maggio 2018.

Al fine di fornire un primo orientamento il Garante per la protezione dei dati personali suggerisce alle Amministrazioni pubbliche di avviare, con assoluta priorità:

1. la designazione del Responsabile della protezione dei dati – RPD (artt. 37-39)

Questa nuova figura, che il regolamento richiede sia individuata in funzione delle qualità professionali e della conoscenza specialistica della normativa e della prassi in materia di protezione dati, costituisce il fulcro del processo di attuazione del principio di "responsabilizzazione". Il diretto coinvolgimento del RPD in tutte le questioni che riguardano la protezione dei dati personali, sin dalla fase transitoria, è sicuramente garanzia di qualità del risultato del processo di adeguamento in atto. In questo ambito, sono da tenere in attenta considerazione i requisiti normativi relativamente a: posizione (riferisce direttamente al vertice), indipendenza (non riceve istruzioni per quanto riguarda l'esecuzione dei compiti) e autonomia (attribuzione di risorse umane e finanziarie adeguate);

2. l'istituzione del Registro delle attività di trattamento (art. 30 e cons. 171)

Essenziale avviare quanto prima la ricognizione dei trattamenti svolti e delle loro principali caratteristiche (finalità del trattamento, descrizione delle categorie di dati e interessati, categorie di destinatari cui è prevista la comunicazione, misure di sicurezza, tempi di conservazione, e ogni altra informazione che il titolare ritenga opportuna al fine di documentare le attività di trattamento svolte) funzionale all'istituzione del registro. La ricognizione sarà l'occasione per verificare anche il rispetto dei principi fondamentali (art. 5), la liceità del trattamento (verifica dell'idoneità della base giuridica, artt. 6, 9 e 10) nonché l'opportunità dell'introduzione di misure a protezione dei dati fin dalla progettazione e per impostazione (privacy by design e by default, art. 25), in modo da assicurare, entro il 25 maggio 2018, la piena conformità dei trattamenti in corso (cons. 171);

3. la notifica delle violazioni dei dati personali (cd. data breach, art. 33 e 34)

Fondamentale appare anche, nell'attuale contesto caratterizzato da una crescente minaccia alla sicurezza dei sistemi informativi, la pronta attuazione delle nuove misure relative alle violazioni dei dati personali, tenendo in particolare considerazione i criteri di attenuazione del rischio indicati dalla disciplina e individuando quanto prima idonee procedure organizzative per dare attuazione alle nuove disposizioni.

Fonte: Garante Privacy

COME SCEGLIERE I DATA PROTECTION OFFICER

Le prime indicazioni del Garante: necessarie competenze specifiche non attestati formali

Le pubbliche amministrazioni, così come i soggetti privati, dovranno scegliere il Responsabile della protezione dei dati personali (RPD) con particolare attenzione, verificando la presenza di competenze ed esperienze specifiche.  Non sono richieste attestazioni formali sul possesso delle conoscenze o l'iscrizione ad appositi albi professionali. Queste sono alcune delle indicazioni fornite dal Garante della privacy alle prime richieste di chiarimento in merito alla nomina di questa nuova  importante figura  - introdotta dal Regolamento UE 2016/679 -  che tutti gli enti pubblici e anche molteplici soggetti privati dovranno designare non più tardi del prossimo maggio 2018. L'Autorità ha inoltre chiarito che la normativa attuale non prevede l'obbligo per i candidati di possedere attestati formali delle competenze professionali. Tali attestati, rilasciati anche all'esito di verifiche al termine di un ciclo di formazione, possono rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenza  della disciplina ma, tuttavia, non equivalgono a una "abilitazione" allo svolgimento del ruolo del RPD.  La normativa attuale, tra l'altro, non prevede l'istituzione di un albo dei "Responsabili della protezione dei dati" che possa attestare i requisiti e le caratteristiche di conoscenza, abilità e competenza di chi vi è iscritto.  Enti pubblici e società private dovranno quindi comunque procedere alla selezione del RPD, valutando autonomamente il possesso dei requisiti necessari per svolgere i compiti da assegnati. Fonte: Garante della Privacy

TEMPO, RUOLO PUBBLICO E ATTUALITA' DELLA NOTIZIA NEL DIRITTO ALL'OBLIO

Il trascorrere del tempo è senz'altro l'elemento più importante per valutare l'accoglimento di una richiesta ad "essere dimenticati", ma l'esercizio del cosiddetto "diritto all'oblio" può incontrare altri rilevanti limiti. Proprio queste ulteriori circostanze ha dovuto prendere in considerazione l'Autorità italiana nell'esaminare il ricorso presentato da un alto funzionario pubblico che chiedeva la rimozione di alcuni url dai risultati di ricerca ottenuti digitando il proprio nominativo su Google.  Questi url, infatti, rinviavano ad articoli nei quali erano riportate notizie relative ad una vicenda giudiziaria nella quale lo stesso era stato coinvolto e che si era conclusa con la sua condanna.  Si trattava di una vicenda molto risalente nel tempo (circa 16 anni fa) e l'interessato era stato nel frattempo integralmente riabilitato. Uno degli articoli di cui si chiedeva la rimozione era stato pubblicato nell'imminenza dei fatti ed altri, invece, più recenti, avevano ripreso la notizia originaria riproponendola in occasione dell'assunzione di un importante incarico da parte dell'interessato. Prima di entrare nel merito, il Garante ha affermato - contrariamente a quanto sostenuto dalla difesa di Google - che era necessario prendere in esame tutti i risultati di ricerca ottenuti a partire dal nome e cognome dell'interessato, anche quelli associati ad ulteriori specificazioni, quali il ruolo ricoperto o la circostanza dell'avvenuta condanna.  Chiarito questo punto rilevante, l'Autorità è entrata nel merito ed ha ordinato a Google di deindicizzare l'url che rinviava all'unico articolo avente ad oggetto, in via diretta, la notizia della condanna penale inflitta al ricorrente, il quale all'epoca ricopriva un ruolo diverso da quello attualmente svolto. L'Autorità ha ritenuto infatti che, considerato il tempo trascorso e l'intervenuta riabilitazione, la notizia non risultasse più rispondente alla situazione attuale. Viceversa, con riguardo agli articoli ai quali rinviavano gli ulteriori url indicati dal ricorrente, il Garante ha riconosciuto che questi, pur richiamando la medesima vicenda giudiziaria, "inseriscono la notizia in un contesto informativo più ampio, all'interno del quale sono fornite anche ulteriori informazioni" legate al ruolo istituzionale attualmente ricoperto dall'interessato e che tali risultati erano di indubbio interesse pubblico "anche in ragione del ruolo nella vita pubblica rivestito dal ricorrente, che ricopre incarichi istituzionali di alto livello".  Pertanto, riguardo alla richiesta di una loro rimozione, ha dichiarato il ricorso infondato. Fonte: Garante della Privacy

ADDETTI ALLE EMERGENZE E IDONEITÀ SANITARIA

Leggendo la pubblicazione di luglio 2017 dell’Inail - “Sicurezza al passo coi tempi”- sembrerebbe che gli addetti alle emergenze debbano essere obbligatoriamente in possesso di idoneità psicofisica, stabilita dal medico competente, per poter essere opportunamente nominati.

Questo obbligo non si evince da nessuna norma di legge. La questione rimane comunque dubbia, dato che qualche organo di vigilanza suggerisce la formalizzazione dell'idoneità e questa è anche la posizione della Società Italiana di Medicina del Lavoro e Igiene Industriale -SIMLII (esistono linee guida SIMLII indicanti il protocollo sanitario consigliato per gli addetti alla squadra di emergenza).

Per concludere, sicuramente è opportuno sconsigliare la nomina di qualcuno come membro della squadra di primo soccorso in caso di evidenti problematiche (ernia lombare, artrosi ginocchia, emofobia e similari), anche se, a parere dello scrivente, lo si può fare senza tanti formalismi, limitandosi alla nomina di un’altra persona.

PORTA USB E SICUREZZA INFORMATICA

Ricaricare un dispositivo tramite porta USB  

Collegando un dispositivo, per esempio lo smartphone, alla porta USB di un PC per ricaricarlo, si rende visibile anche parte della memoria interna.

Se lo colleghiamo a un computer poco sicuro – per esempio il pc di casa utilizzato un po’ da tutti in maniera poco attenta – e successivamente al computer aziendale, è possibile trasmettere un virus.

Come policy aziendale, dovrebbe essere incluso il divieto di collegare dispositivi non autorizzati al proprio computer.

Chiavette sconosciute

Un sistema informatico può essere ben protetto, ma la sicurezza non è mai totale.

Un semplice modo per attaccare una rete aziendale blindata, è quello di lasciare incustodita, nei pressi dell’azienda, una chiavetta USB con dentro un virus.

La curiosità umana porterà a collegare la chiavetta alla presa USB del PC, contaminando la propria postazione.  

Finire un lavoro a casa

A volte capita che, per finire un lavoro urgente, portiamo a casa i file di lavoro memorizzandoli su una chiavetta USB.

Partendo dal presupposto che non tutti i virus sono visibili, è possibile che il pc di casa sia infettato a nostra insaputa.

Riportando poi il file modificato in azienda, il rischio di contaminare il proprio pc di lavoro non è da escludere.

Analizzare sempre con un buon antivirus il contenuto della chiavetta.

COMUNICAZIONE DELL'INFORTUNIO

In caso di infortunio, anche in itinere, il lavoratore deve immediatamente avvisare - o far avvisare, nel caso in cui non potesse - il proprio datore di lavoro. 

La segnalazione dell’infortunio deve essere fatta anche nel caso di lesioni di lieve entità. 

In base alla gravità dell’infortunio, il lavoratore può:

- rivolgersi al medico dell’azienda, se è presente nel luogo di lavoro

- recarsi o farsi accompagnare al Pronto soccorso nell’ospedale più vicino

- rivolgersi al suo medico curante.

In ogni caso, occorre spiegare al medico come e dove è avvenuto l’infortunio.

Qualunque medico presti la prima assistenza a un lavoratore infortunato sul lavoro è obbligato a rilasciare il certificato medico nel quale sono indicati la diagnosi e il numero dei giorni di inabilità temporanea assoluta al lavoro e a trasmetterlo esclusivamente per via telematica all’Istituto assicuratore.

Il lavoratore è obbligato a dare immediata notizia al datore di lavoro di qualsiasi infortunio gli accada, anche se di lieve entità; non ottemperando a tale obbligo e nel caso in cui il datore di lavoro non abbia comunque provveduto all’inoltro della denuncia/comunicazione nei termini di legge, l’infortunato perde il diritto all’indennità di temporanea per i giorni ad esso antecedenti.

Per assolvere a tale obbligo il lavoratore deve fornire al datore di lavoro il numero identificativo del certificato medico, la data di rilascio e i giorni di prognosi indicati nel certificato stesso.

 

Fonte: Inail

VALUTAZIONE RISCHIO RAPINA

La rapina è un reato pluri-offensivo (violenza personale e furto) che può ledere l’incolumità personale e l’integrità del patrimonio.

Le attività lavorative interessate alla valutazione del rischio rapina sono quelle in cui i lavoratori manipolano denaro o merce, come ad esempio banche, poste, farmacie, tabaccherie, oreficerie, caselli autostradali, aree di sosta e di ristoro…

Un processo di valutazione, del rischio rapina, potrebbe essere composto dalle seguenti attività:

Analisi del contesto: ovvero “dove mi trovo”, in un ufficio, allo sportello, in un negozio con affaccio su strada o in un punto vendita di un centro commerciale, in ambiente chiuso o all’aperto, in un luogo affollato o isolato, ecc. Questa prima osservazione permette di prevedere una possibile stima di accadimento del rischio.

Analisi delle caratteristiche strutturali del luogo: analizzare punti di accesso come porte, finestre, tipologia e gestione di ingressi ed uscite, pareti interne e visibilità delle aree interne e di accesso, presenza di sistemi di allarme e sicurezza, postazione del personale. E’ utile per inquadrare i possibili accessi, passaggi, vie di fuga individuabili dal malintenzionato.

Analisi dei lavoratori e dei turni di lavoro: occorre chiedersi se il turno di lavoro prevede degli orari notturni o lavori in solitaria; se i lavoratori sono uomini o donne e tener conto delle loro caratteristiche fisiche e psicologiche.

Considerare la tipologia di luogo: nei luoghi senza particolare autorizzazione di accesso, i malintenzionati possono inizialmente passare inosservati, confondendosi con la normale utenza.  

Monitoraggio delle aggressioni e rapine avvenute in passato

Ad elevare il rischio, una volta che la rapina sia in corso, possono concorrere:

- il comportamento aggressivo del rapinatore;

- eventuali reazioni improprie dei dipendenti o dei clienti;

- la durata della rapina;

- l’uso delle armi.

I danni, in questo caso, sono rappresentati dai traumi fisici anche gravi e persino la morte e dai traumi psichici tra cui si segnala la possibile insorgenza di una sindrome post-traumatica da stress.

Dopo aver valutato i rischi e definito i danni, possiamo procedere all’individuazione delle misure di prevenzione e di protezione.

Se consideriamo la rapina dal punto di vista di rischio tecnico, allora la sua bonifica è strettamente correlata all’impiego di mezzi che la possono ridurre. Le telecamere, le porte di accesso, i sistemi per l’attivazione delle forze di polizia, la protezione dei valori sono tutti elementi che abbassano la probabilità dell’accadimento dell’evento.

Anche, l’adozione da parte dei lavoratori di comportamenti tesi a non incoraggiare i malviventi (attenzione all’apertura e alla chiusura, riporre il denaro in luogo sicuro in assenza di persone, ecc.) contribuisce a ridurre il rischio.

Tutto questo garantisce la salute e sicurezza, ma non anche il benessere dei lavoratori esposti. Ogni persona reagisce ad un evento cruento in maniera diversa ed un’ulteriore misura di prevenzione può essere costituita da un’attività di formazione che aiuti le persone esposte a riflettere sui comportamenti da tenere in tali situazioni ed a tenere sotto controllo e comprendere gli stati emozionali negativi che si sviluppano.

La preparazione adeguata è l’unica capace di trasmetterci quelle modalità comportamentali che consentiranno di creare un processo cognitivo personale che potrà non certamente eliminare ma almeno ridurre gli effetti di un’azione violenta.

Nella formazione è importante, non solo il ruolo del RSPP e del formatore, ma anche quello del Medico competente perché è lui che indaga e di conseguenza affronta e gestisce le reazioni delle persone. 

PROJECT MANAGEMENT E AZIONI CORRETTIVE ISO 9001:2015

Come ben sanno gli esperti della Qualità, una volta determinate le cause della non conformità, occorre decidere quali azioni intraprendere per rimuovere o ridurre le cause del problema.

E’ necessario che le azioni siano implementate correttamente e non rimangano incompiute sulla carta, come spesso succede.

Dato che normalmente le azioni correttive sono la combinazione di molte attività elementari, occorre gestire il processo con tenacia e disciplina ed è opportuno, quindi, affidarsi alle metodologie del project management.

La pianificazione di un’azione correttiva basata su una non conformità include i seguenti elementi:

- Attività: devono essere definite in termini semplici e quindi verificate

- Responsabilità: una sola persona deve essere responsabile dell’attività e non un gruppo (condividere la responsabilità significa che nessuno è responsabile). La persona responsabile potrebbe a sua volta avvalersi di un team, in questo caso la sua responsabilità non riguarda lo svolgimento fisico delll’attività, ma nel farla svolgere correttamente da altre persone (accountability).

- Risorse: le risorse non appaiano magicamente al momento del bisogno. Gli strumenti, equipaggiamenti, personale, capitali devono essere definiti in anticipo, così come chi fornirà tali risorse.

- Scadenza: è necessario negoziare la data di completamento dell’azione con il responsabile designato. Se la data di scadenza è determinata in modo vago, è molto probabile che l’azione non verrà mai completata.

Terminata la pianificazione, e con l'esecuzione in corso, è necessario attuare il processo di controllo, ossia il Project manager dovrà verificare la corrispondenza a quanto previsto dal piano.

Non dimentichiamoci che l’implementazione dell’azione correttiva riduce il rischio negativo del processo aziendale e la nuova valutazione ci costringe a tornare al punto 6.1 della norma ISO 9001:2015 e rivedere, quindi, la nostra pianificazione dei rischi.

Per rendere permanenti le azioni correttive, occorre, poi, apportare dei cambiamenti al nostro Sistema di Qualità, se non altro per revisionare le procedure. Questo però rappresenta un altro progetto...

DECRETO LEGISLATIVO 231/2001 E I REATI PER SALUTE E SICUREZZA SUL LAVORO

L’art. 9 della L. n. 123/2007 ha introdotto nel D.lgs 231/2001, l’art. 25-septies che estende la responsabilità amministrativa degli enti ai reati di omicidio colposo e lesioni personali colpose gravi o gravissime commessi in violazione delle norme antinfortunistiche e sulla tutela dell’igiene e della salute sul lavoro.

In caso di infortuni gravi, quindi, l’azienda non corre solo il rischio di incorrere nelle responsabilità civile e penale tipiche della materia, ma anche ad ulteriori sanzioni del D.lgs n. 231/2001 per non aver predisposto e attuato un modello idoneo di Organizzazione, Gestione e Controllo.

Il soggetto attivo di reati può essere chiunque debba osservare o far osservare le norme di prevenzione e protezione, ovvero il datore di lavoro, i dirigenti, il preposto, i soggetti delegati e naturalmente i lavoratori.

L’elemento soggettivo consiste nella colpa specifica, ovvero nella volontaria inosservanza della normativa.

Il delitto infatti è colposo quando l’evento, anche se preveduto ma non voluto dall’agente, si verifica a causa di inosservanza normativa

.Anche se l’art. 2087 del c.c. impone al datore di lavoro di adottare tutte le misure necessarie per tutelare l’integrità del lavoratore, ma non deve comunque intendersi come un obbligo generale, altrimenti la responsabilità del datore di lavoro sarebbe automatica al verificarsi di un danno.

E’ necessario, invece, adottare tutte le misure tecnicamente possibili e concretamente attuabili, alla luce dell’esperienza e delle più avanzate conoscenze tecnico-scientifiche.

In pratica, occorre far riferimento alle misure che nei diversi settori e nelle particolari lavorazioni corrispondono ad applicazioni tecnologiche praticate ed accorgimenti generalmente acquisiti.

Quest’obbligo non deve avere natura statica, ma bensì deve intendersi in maniera dinamica attuando un’adeguata formazione ed informazione ai lavoratori sui rischi propri dell’attività e sulle misure idonee per evitare i rischi.

Deve esserci, infine, il nesso di causalità con lo svolgimento dell’attività lavorativa. Infatti la condotta abnorme del lavoratore, vale a dire strana e imprevedibile è da ritenersi fuori da ogni possibilità di controlla da parte di qualsiasi misura di prevenzione.

DATA PROTECTION OFFICER - LINEA GUIDA

Il Gruppo dei Garanti Ue (WP 29) ha approvato lo scorso 13 dicembre la linea guida per la disciplina della figura del responsabile per la protezione dei dati” (Data Protection Officer - DPO).

Le linee guida sul DPO specificano i requisiti soggettivi e oggettivi di questa figura, la cui designazione sarà obbligatoria per tutti i soggetti pubblici e per alcuni soggetti privati sulla base di criteri che il Gruppo ha chiarito nel documento.

Nel documento vengono illustrate le competenze professionali e le garanzie di indipendenza e inamovibilità di cui il DPO deve godere nello svolgimento delle proprie attività di indirizzo e controllo all'interno dell’organizzazione del titolare. 

L'unica norma da applicare con riferimento al data protection officer è quindi il Regolamento UE 2016/679, in particolare i suoi articoli 35-39. Le interpretazioni autentiche relative a tale figura sono ad oggi solo quelle provenienti dal Gruppo di Lavoro Articolo 29 dei Garanti Privacy UE con la relativa Linee Guida.

Proprio in tali documenti ufficiali, si chiarisce che il DPO deve avere competenza sulle leggi e sulle pratiche di protezione dei dati nazionali ed europee e una conoscenza approfondita del Regolamento, anche se dal documento si evincono requisiti privi di specificità.

Non esiste, quindi, nessun percorso certificativo, per “creare” dal nulla queste figure. 

Sono necessari i vecchi e cari ingredienti, che dovrebbero far parte del ricettario di qualsiasi buon professionista: tanto studio, pratica e capacità, unità con la volontà, di risolvere i problemi dei propri clienti.

Leggi la Linea Guida completa in italiano

DLGS 81/2008 E COLLABORATORE FAMILIARE OCCASIONALE

La normativa in tema di sicurezza sui luoghi di lavoro si applica altresì ai familiari coadiutori anche in caso di prestazione gratuita, presenza del vincolo solidaristico e della benevolenza tra parenti. 

La disciplina legale tutela la sicurezza di tutte le forme di lavoro anche quando non sussista un formale rapporto di lavoro; e quindi anche con riguardo a chi collabora saltuariamente in un'impresa familiare 

Approfondimento

Corte di Cassazione - Sezione IV Penale - Sentenza n. 17581 del 7 maggio 2010 (u. p. 1/4/2010) - Pres. Campanato – Est. Blaiotta – P.M. Cedrangolo - Ric. M. A. - Le norme in materia di salute e sicurezza sul lavoro tutelano tutte le forme di lavoro anche quando non sussiste un normale rapporto di lavoro e quindi anche con riguardo a chi collabora saltuariamente in una impresa familiare.