NEWSLETTER N. 525 du 26 juin 2024
FSE 2.0, Garant de la vie privée : des procédures sont en cours contre 18 Régions et 2 Provinces autonomes
La situation grave signalée au Premier ministre et au ministre de la Santé ces derniers jours
Il est urgent d’intervenir pour protéger les droits de tous les patients italiens impliqués dans le traitement des données de santé effectué via le Dossier Santé Electronique 2.0.
Fort de cette motivation, le Garant de la Vie Privée a notifié à 18 Régions et aux Provinces autonomes de Bolzano et Trente le lancement de procédures correctives et de sanctions pour les nombreuses violations constatées dans la mise en œuvre de la nouvelle réglementation sur le FSE 2.0, introduite avec le décret du Ministère de la Santé du 7 septembre 2023.
Les jours précédents, la gravité de la situation et l’urgence d’interventions correctives avaient été signalées au président du Conseil des ministres et au ministre de la Santé.
Les résultats de l’activité d’enquête préliminaire sur le FSE, lancée fin janvier, ont montré que 18 Régions et les deux Provinces autonomes du Trentin Haut Adige – n’étant pas conformes à ce qui est contenu dans le décret du 7 septembre 2023 – ont modifié , même de manière significative, le modèle d’information préparé par le Ministère, suite à l’avis du Garant, qui aurait dû être adopté sur tout le territoire national.
Les divergences constatées ont clairement montré que certains droits (par exemple black-out, délégation, consentement spécifique) et mesures (par exemple mesures de sécurité, niveaux d’accès différenciés, qualité des données) introduits par le décret, spécifiquement pour protéger les patients, ne sont pas garantis de manière uniforme dans tout le pays. Ou bien ils sont exerçables et payables uniquement par les bénéficiaires de certaines Régions et Provinces autonomes, avec un effet discriminatoire potentiel et important sur les bénéficiaires.
Ce manque d’homogénéité contredit également l’esprit de la réforme du FSE 2.0 visant à introduire des mesures, des garanties et des responsabilités homogènes sur l’ensemble du territoire national, risquant ainsi de compromettre la fonctionnalité, l’interopérabilité et l’efficacité du système FSE 2.0.
Les violations commises par les Régions et Provinces autonomes, avec différents niveaux de gravité et de responsabilité, peuvent conduire à l’application des sanctions prévues par le Règlement européen.
Télémarketing, le Garant inflige une amende de plus de 6 millions d’euros à Eni Plenitude
Sur les 747 contrats conclus au cours d’une «semaine témoin», 657 provenaient de contacts illicites
Appels promotionnels effectués sans le consentement de l’intéressé ou adressés à des numéros inscrits au registre public des oppositions et manque de contrôles sur les contrats acquis par contacts illicites : le Garant de la protection des données personnelles a infligé une amende à Eni Plenitude de 6 419 631 euros.
Cette mesure fait suite à 108 signalements et 7 plaintes contre l’entreprise, qui se plaignait de recevoir des appels téléphoniques indésirables.
Au cours de l’enquête, le Garant a également demandé à Eni Plenitude les données des propositions d’achat faites par le réseau de vente et conclues par l’activation de services énergétiques, relatives à une “semaine témoin”: sur 747 contrats stipulés dans la période identifiée , 657 sont arrivés suite à un contact illégitime. Des chiffres qui, s’ils étaient hypothétiquement projetés sur un an, conduiraient à 32 850 approvisionnements activés illégalement.
En particulier, les lacunes concernant le contrôle et la surveillance des agences et sous-agences ainsi que le mélange des bases de données sont graves. Selon le Garant, pour se conformer à la loi, il ne suffit pas de retirer l’agent individuel ou de réaliser des activités d’audit en cas d’anomalies, mais il faut des mesures qui empêchent que les contrats conclus sur la base de contacts téléphoniques illicites ne pénètrent dans les systèmes de l’entreprise ou ne soient tirer un avantage économique d’un comportement illégitime.
Outre le paiement de l’amende, le Garant a imposé à Eni Plenitude l’interdiction de tout traitement ultérieur des données des plaignants et des lanceurs d’alerte. L’entreprise devra également communiquer aux 657 intéressés contactés illicitement les résultats de la procédure sur la base d’un texte à convenir avec l’Autorité, préparer des contrôles pour s’assurer que les contrats générés par des contacts illicites n’entrent pas dans les actifs de l’entreprise et garantir le respect des principes de traitement, avec une référence particulière aux obligations de mise à jour, de suppression et de rectification des données personnelles relatives aux clients.
Reconnaissance faciale : un garant inflige une amende à une concession
Non aux contrôles de présence illicites
Une amende de 120 000 euros a été infligée par le Garant de la vie privée à une concession pour avoir violé les données personnelles des employés grâce à l’utilisation de systèmes de reconnaissance faciale pour contrôler la présence sur le lieu de travail. L’Autorité est intervenue à la suite d’une plainte d’un employé qui se plaignait du traitement illicite de données personnelles, via un système biométrique installé dans les deux unités de production de l’entreprise. La plainte dénonçait également l’utilisation d’un logiciel de gestion avec lequel chaque employé était tenu d’enregistrer les réparations effectuées sur les véhicules assignés, les heures et les modalités d’exécution des travaux, ainsi que les temps d’arrêt avec les raisons précises.
De nombreuses violations du Règlement européen par l’entreprise ont émergé de l’activité d’inspection du Garant, réalisée en collaboration avec l’Unité Spéciale de Confidentialité et de Fraude Technologique de la Police Financière.
En ce qui concerne le traitement des données biométriques, le Garant a réitéré une fois de plus que l’utilisation de ces données n’est pas autorisée car il n’existe aucune disposition légale prévoyant actuellement l’utilisation de données biométriques pour la détection de la fréquentation. L’Autorité a donc rappelé que même le consentement exprimé par les salariés ne peut pas être considéré comme une condition préalable appropriée à la légalité, en raison de l’asymétrie entre les parties respectives de la relation de travail.
L’Autorité a également constaté que depuis plus de six ans, la concession, au moyen d’un logiciel de gestion, collectait des données personnelles relatives aux activités des salariés pour établir des rapports mensuels à transmettre à la société mère, contenant des données agrégées sur les temps passés par les ateliers pour les travaux réalisés . Tout cela en l’absence d’une base juridique appropriée et d’informations adéquates qui, dans le contexte de la relation de travail, sont l’expression du principe d’exactitude et de transparence. L’Autorité, en plus de sanctionner l’entreprise, lui a également ordonné de conformer le traitement des données effectué à l’aide du logiciel de gestion aux dispositions de la législation sur la protection de la vie privée.
PMI, avec Olivia 15 cours gratuits sur le RGPD et les tests de contrôle
L’outil permettra aux contrôleurs de données et aux sous-traitants de vérifier le respect des réglementations en matière de confidentialité.
La protection des données à la portée de tous, à travers des cours textuels, des séminaires vidéo et des questionnaires pour vérifier les compétences acquises. Il s’agit d’Olivia, l’outil virtuel gratuit, créé dans le cadre du projet européen ARC II dont le Privacy Guarantor est partenaire, présenté lors du récent Privacy Symposium à Venise.
Olivia (« règlement général sur la protection des données sur Assistant Virtuel ») a été conçu pour offrir une opportunité de formation aux petites et moyennes entreprises et les accompagner dans leur adaptation au Règlement Européen sur la Protection des Données (RGPD). Mais il peut représenter un outil de connaissance utile pour tous les responsables du traitement et les gestionnaires de données, y compris ceux du secteur public.
En effet, la plateforme présente une série de modules d’apprentissage, allant des bases du RGPD aux principes et bases juridiques du traitement des données, jusqu’aux conditions d’utilisation des cookies ou des systèmes de vidéosurveillance sur le lieu de travail. Mais surtout, l’outil, en traitant les réponses aux questionnaires mis à disposition, permet aux entreprises de vérifier le respect des règles de confidentialité.
À cet égard, les modèles de documentation proposés par Olivia concernant l’analyse d’impact sur la protection des données (DPIA) et l’évaluation de l’intérêt légitime sont particulièrement utiles, car ils représentent la base juridique la plus complexe – notamment pour une PME – sur laquelle fonder un traitement, car cela nécessite de démontrer la prédominance des intérêts de l’organisation sur les droits des parties intéressées.
Entièrement gratuit et disponible en italien, anglais et croate, Olivia sera libérée définitivement en septembre. Les utilisateurs inscrits retrouveront sur la plateforme les enregistrements vidéo des 10 séminaires à distance réalisés dans le cadre de l’ARC II et toutes les présentations faites par les intervenants.
Le projet ARC II, financé par la Commission européenne et auquel participent l’autorité croate de protection des données, le garant de la vie privée et les universités de Florence, Zagreb et Bruxelles (Vrije Universiteit), a été créé pour simplifier le respect du règlement par les PME et réduire les charges de conformité. et démontrer comment le respect de la législation sur la protection des données peut améliorer les affaires et établir des relations de confiance avec les utilisateurs et les clients.
L’ACTIVITÉ DU GARANT – POUR CEUX QUI VEULENT EN SAVOIR PLUS
Les interventions et dispositions les plus importantes récemment adoptées par l’Autorité
-
Covid : Privacy Guarantor ouvre une enquête sur un stage interdit en ASL Pouilles – Communiqué de presse du 12 juin 2024
-
Recherche scientifique : les FAQ du Garant de la Vie Privée pour l’IRCCS – 12 juin 2024
-
Document d’adresse. Programmes et services informatiques pour la gestion des emails dans le contexte du travail et le traitement des métadonnées – 06 juin 2024
BULLETIN du Garant pour la protection des données personnelles (Règlement au Trib. de Rome n. 654 du 28 novembre 2002).
Directeur responsable : Baldo Meo.
Direction et rédaction : Garant de la protection des données personnelles, Piazza Venezia, n. 11 – 00187 Rome.
Tél : 06.69677.2751 – Fax : 06.69677.3785
La newsletter peut être consultée sur le site www.gpdp.it
