Articoli

La Didattica a distanza nell’era del Covid-19: la privacy non va in “quarantena”

Didattica a distanza e GDPR: quali regole?

L’emergenza sanitaria che l’Italia sta attraversando ha reso necessari, nell’arco di pochi giorni, provvedimenti che hanno richiesto l’attivazione, da parte di tutte le Università (ma anche di tutti gli Istituti scolastici, come precisato dal Miur con apposita nota) di apposite modalità di didattica a distanza.

Di conseguenza, attraverso l’impiego di molteplici piattaforme di e –learning a disposizione, i docenti procederanno all’erogazione dei propri corsi in forma asincrona o in streaming in tempo reale.

In tali casi, tuttavia, l’esigenza di somministrare percorsi formativi generalmente erogati offline non deve tradursi in una compromissione della protezione dati non solo degli studenti, ma anche dei docenti. Come osservato dal Comitato europeo per la protezione dati personali in una Dichiarazione resa lo scorso 19 marzo, il GDPR è una normativa di ampia portata e contiene disposizioni che si applicano anche al trattamento dei dati personali in un contesto come quello relativo al COVID-19.

In tale contesto, le modalità di erogazione delle lezioni in tempo reale, attraverso aule virtuali, costituiscono l’ipotesi più critica quanto alle molteplici tutele che devono essere costantemente garantite sia per gli studenti, che per i docenti impegnati nelle attività didattiche. L’emergenza sanitaria, infatti, pone questioni di ampio respiro connesse al GDPR, come ad esempio l’obbligo di effettuare valutazioni di impatto, o anche l’obbligo di fornire garanzie di sicurezza adeguate, che si collegano alle questioni più generali in materia di smart working.

  • Per quanto concerne la tutela degli studenti, bisogna rammentare che il GDPR prevede precisi oneri informativi agli articoli 13 e 14 sulle condizioni di liceità e le modalità di trattamento corretto, come ad esempio l’indicazione – in tali casi – del responsabile del trattamento ai sensi dell’art. 28 GDPR, che tratta i dati personali per le finalità connesse alla didattica.

Inoltre, occorre prestare attenzione alle modalità di utilizzo della piattaforma, come ad esempio alla gestione degli accessi, ma soprattutto all’utilizzo delle webcam e dell’audio, per evitare trasmissioni non consentite e riproduzioni illecite.

  • Per quanto concerne la posizione dei docenti, il discorso risulta più ampio. In tali casi, infatti, il rispetto del GDPR si interseca con ulteriori fonti normative, come ad esempio:
    • La disciplina sul controllo a distanza dei lavoratori;
    • La disciplina a tutela del diritto d’autore (nella duplice dimensione del diritto morale e patrimoniale d’autore).

Dal confronto con le diverse discipline citate, si pongono molteplici dubbi in merito alla possibilità di registrazione delle lezioni erogate in tempo reale, alle tutele che devono essere apprestate anche nei confronti del docente (si pensi, ad esempio, ai casi di condivisione dello schermo del pc personale del docente).

Inoltre, si pongono questioni in merito alle misure di sicurezza, che dovrebbero essere predisposte.

 

In conclusione, l’emergenza sanitaria ha spinto il settore pubblico e privato ad una fase di “smart working” forzato, in cui permangono ancora molteplici criticità, connessi all’impiego di un dispositivo personale per l’erogazione delle lezioni, ivi inclusi le connessioni personali (Wifi, Adsl, etc.). In questi casi, si pongono questioni:

  • sulle misure relative allasicurezza dei sistemi utilizzati da remoto;
  • sull’adozione o sull’adeguatezza di sistemi antivirus o antimalaware.

 

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya fornisce percorsi formativi e di aggiornamento, nonché servizi di consulenza.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Monitoraggio dei dipendenti: viola il GDPR profilare in modo automatizzato le assenze

Il GDPR nel luogo di lavoro: quali regole?

 

Il rapporto tra tutela della privacy e potere del datore di lavoro risulta spesso molto critico. Come è noto, l’art. 4 dello Statuto dei Lavoratori legittima il datore di lavoro all’utilizzo di impianti audiovisivi, ovvero altri strumenti, capaci di operare forme di controllo a distanza dell’attività dei propri dipendenti, purché tale utilizzo:

  • sia giustificato da esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale;
  • sia disposto previo accordo sindacale, o autorizzazione amministrativa rilasciata dagli Ispettorati del Lavoro.

Con le modifiche apportate dal Jobs Act, inoltre, le informazioni lecitamente raccolte mediante l’utilizzo di tali strumenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro – anche ai fini disciplinari – , purché ne data al lavoratore adeguata informazione.

 

Il caso che ha interessato il Gruppo Louis, invece, riguarda l’impiego di un algoritmo per il monitoraggio automatizzato dei congedi per malattia degli 818 lavoratori: il software, in particolare, attribuiva un punteggio negativo quando le defezioni non pianificate erano brevi ma ricorrenti, condotte ritenute maggiormente dannose per la produttività aziendale.

L’Autorità cipriota, interessata dal caso, ha affermato che:

  • il monitoraggio sistematico così congeniato non può considerarsi lecito anche se vi fosse stata l’autorizzazione da parte dei lavoratori, giacché la posizione di potere rivestita dal datore di lavoro rende inapplicabile la previsione contenuta all’art.7 del GDPR, ove richiede che il consenso debba essere liberamente prestato dell’interessato. In tale caso, invece, non vi era per i lavoratori alcuna facoltà;
  • inoltre, sebbene le società del gruppo avessero preventivamente effettuato una valutazione d’impatto, ciò non dispensa il titolare del trattamento dal dimostrare che tale trattamento automatizzato di dati relativi alla salute dei lavoratori fosse necessario per il perseguimento di un legittimo interesse, come previsto ai sensi dell’art. 6 par. 1) lettera f) del Regolamento. In tali casi, inoltre, deve essere necessariamente evitata la lesione degli interessi o dei diritti e le libertà fondamentali dell’interessato.

 

 

Come rendersi GDPR compliant? I percorsi formativi e i servizi di consulenza suggeriti da Hedya

 

La pubblicazione del recente Provvedimento dell’Autorità cipriota dimostra che l’assenza di formazione ed informazione in materia di poteri datoriali e controllo dei propri dipendenti costituiscono i primi fattori di criticità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

In particolare, si prevede:

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da

Videosorveglianza: approvate le nuove Linee Guida UE sulla corretta applicazione del GDPR

Nuove Linee Guida in materia di Videosorveglianza: quali obblighi?

Nel corso degli ultimi anni, il ricorso ad impianti di videosorveglianza – da parte dell’autorità pubblica, ma altresì dei privati – per il monitoraggio sistematico e automatizzato di determinati spazi è in crescita. L’impiego di tali sistemi, infatti, mira a garantire il massimo grado di sicurezza collettiva, nonché individuale: tuttavia, questa attività comporta la raccolta e la conservazione dati personali – anche a carattere particolare – per tutti i soggetti che transitano nello spazio monitorato, richiedendo adeguate tutele.

Per tali ragioni, il 29 gennaio 2020 sono state approvate in via definitiva le Linee Guida n.3/2019 sul trattamento dei dati personali attraverso dispositivi video.

Le Linee Guida:

  • forniscono indicazioni sulla corretta applicazione del GDPR;
  • chiariscono la portata applicativa della normativa in materia di protezione dati.

Pertanto il GDPR non trova applicazione ogniqualvolta le attività di trattamento di dati non hanno alcun riferimento a una persona, ad esempio se una persona non può essere identificata, direttamente o indirettamente, come ad esempio:

  • telecamere finte che, in quanto tali, non elaborano dati personali;
  • registrazioni effettuate da un’altitudine elevata, solo se se i dati elaborati non sono collegati a una persona specifica;
  • attività strettamente personale o domestica.

 

Per tutti i casi che ricadono nell’applicazione del GDPR, le Linee Guida richiamano gli obblighi previsti dal Regolamento, garantendo:

  • la liceità del trattamento;
  • i principi di correttezza, trasparenza e minimizzazione, nonché di privacy by design e by default;
  • i diritti dell’interessato;
  • l’implementazione di adeguate misure di sicurezza.

 

Inoltre, dati gli scopi tipici della videosorveglianza (protezione delle persone e dei beni, individuazione, prevenzione e controllo dei reati, raccolta di prove e identificazione biometrica dei sospetti), le Linee Guida ritengono che, al ricorrere dei requisiti stabiliti all’articolo 35 del GDPR, sia opportuno condurre una DPIA. Pertanto, i titolari del trattamento dovrebbero consultare attentamente la normativa e la prassi applicativa per determinare se tale valutazione è necessaria e, se necessario, effettuarla. L’esito della DPIA eseguita dovrebbe determinare la scelta da parte del titolare del trattamento delle misure di protezione dei dati attuate.

 

Come rendersi GDPR compliant? I percorsi formativi e i servizi di consulenza suggeriti da Hedya

 

La pubblicazione delle nuove Linee Guida dimostra che l’assenza di formazione ed informazione in materia di videosorveglianza costituiscono i primi fattori di criticità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

In particolare, si prevede:

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

 

/da