Dlgs 196/2003 - Normativa sulla privacy, facciamo chiarezza!

[glm2006ITALY]

Chi non ha letto / sentito la frase "in rispetto della legge 196/2003", "normativa sulla privacy", e così via?

In ogni modulo, contratto, quasi in ogni email, c'è sempre il richiamo a questa legge.

Eppure molti, troppi titolari di siti web si "scordano" di inserire - o la inseriscono in maniera "superficiale" - una pagina "privacy" non rammentando che le sanzioni per omissione o scorretta gestione dei dati sono pesantissime:

si va da 3.000 per arrivare a 30.000 euro. (moltiplicabile per 3 a seconda delle condizioni economiche del contravventore!)

Abbiamo pensato di cercare di trattare l'argomento.

[glm2006ITALY]

Mercoledì mi son preso "la briga" di contattare il Garante per specificare chi è tenuto a indicare un riferimento della legge.

Per prima cosa tale obbligo è sia PER PRIVATI SIA PER AZIENDE titolari di un sito web (esempio "classico" potrebbe essere il sito web di un Bed and Breakfast: il titolare non è obbligato in caso di piccole strutture ad avere la p.iva ma molti di loro dispongono di un proprio sito internet) dal quale:

• è possibile inviare dei dati personali (esempio, il modulo di contatto)
  
• un modulo per richiesta informazioni su prodotti / servizi offerti, prenotazione online et simila
  
• ATTENZIONE: basta anche la semplice comunicazione di un indirizzo mail al quale essere contattati!
  

Da quanto sopra esposto credo sia abbastanza chiaro il 100% di chi tratta dati, anche se lo fa con carattere amatoriale, hobbystico, e così via, è necessariamente tenuto a inserire un riferimento al D.Lgs 196/2003 con indicazioni dedicate.

Prossimamente vedremo come realizzare questa pagina.

[Alexgrafx]

Grazie per l'informazione. Quindi anche sul mio nuovo sito www.sardegnagnus.it, fatto per solo divertimento, devo mettere l'informativa? Secondo te come dovrei inserirla?
Grazie ciao

[glm2006ITALY]

Si; ho dato una occhiata al sito e considerando che offri anche la registrazione ai visitatori ti conviene inserire subito la pagina "privacy" e far accettare il trattamento durante la registrazione e nel form di contatto

[Jack]

Dovresti tra l'altro indicare anche le modalità di utilizzo dei cookie come da - vecchiotta e poco conosciuta - normativa europea.

Attenzione alla distinzione tra decreto legislativo (Dlgs) e legge (L): i riferimenti devono essere inderogabilmente corretti.

L'informativa di Oscon è scritta sulla base della normativa in vigore, in caso di newsletter o altri usi bastano poche modifiche attente.

J

[Jack]

Già che ci sono aggiungo che l'informativa sul trattamento dei dati presente all'interno del contratto scaricabile dalla sezione download è scritta con precisa analisi della vigente normativa sulla privacy.

Infatti... è stata riutilizzata da mezza Italia...

La si può tranquillamente utilizzare sul proprio sito internet in una pagina dedicata o da approvare prima di ogni contatto tramite modulo online, o - ancora - in un contratto.

Aggiungo alcune precisazioni importanti: non basta un generico e abbastanza assurdo "approvo la legge 196/2003" che spessissimo si trova in giro. Quando si trattano dati la cui gestione è prevista dalla normativa specifica, è obbligatorio indicare CHI, PERCHé, COME, CON QUALI MEZZI, CON QUALI SCOPI (ecc.) tratta tali dati.

Oltre a ciò bisogna indicare le modalità per chiedere cancellazione, modifica o presa visione di tali dati. Inoltre, è fondamentale che tali dati non siano eccedenti alle necessità indicate dal rapporto tra le due parti (non possiamo chiedere un atto di nascita se offriamo l'iscrizione a un forum).

Spesso si sottovalutano questi punti, ma la normativa vigente (anche e in particolare europea), così come la giurisprudenza sono molto stringenti rispetto alla riservatezza, che è - e sarà - uno dei cardini del futuro.

J

[andrea]

Salve,
In questi giorni ho aggiunto all' informativa il discorso sui cookie e la sto sistemando un po'. Ora mi è venuto un piccolo dubbio su CHI tratta i dati.
All' articolo 4 lettera f) il Codice Privacy definisce titolare del trattamento

la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza;

Quindi nell' informativa scriverei che il titolare del trattamento è il sito www.esempio.it, nella persona del suo gestore; inserendo ovviamente un riferimento di contatto.
Mentre i responsabili sono le terze parti coinvolte, che forniscono servizi di cui il sito si avvale (es. servizio di statistica, modulo di contatto).
Secondo voi è giusto, oppure bisogna specificare nome e cognome del titolare?

[StudioDuchemino]

E' difficile considerare il sito come un "ente" sotto il profilo giuridico..

[andrea]

Sotto il profilo giuridico sicuramente no.
Il fatto è che nel regolamento è scritto "qualsiasi altro ente".
Ad ogni modo non basta dire che il titolare è il gestore del sito con un riferimento di contatto?

[StudioDuchemino]

Piccola premessa, ti consiglio anzitutto di consultare anche l'art. 28 Codice Privacy e la delibera Garante per la protezione dei dati personali 15/06/2011.
La normativa comunitaria è uniformata nell'indicare identità e indirizzo (elettronico o meno) del titolare.
Seguirei, sinceramente, questa minima esigenza di indicare dati che consentano l'identificazione della persona.

Se può servire per un approfondimento, consulta queste linee guida: Raccomandazione relativa ai requisiti minimi per la raccolta di dati on-line nell'Unione Europea - 17 maggio 2001

Credo si riferiscano ai siti in cui è attuata la registrazione degli utenti, ma se consultiamo le linee guida per i sitiweb pubblici, anche se la normativa è più stringente, si tende a chiedere nome e cognome del titolare. In ogni caso, attendiamo se qualcun altro possa darti indicazioni ulteriori.

[andrea]

Ti ringrazio per le indicazioni interessanti.
Ancora una volta la legge è poco chiara. Ad ogni modo ho letto il documento
https://www.garanteprivacy.it/web/guest/...eb/1609845
Alle prime righe parla di raccomandazione (quindi non di obbligo, credo), tra l' altro rivolta a quei soggetti che intendono conseguire una sorta di marchio di qualità. E' anche vero che il documento è del 2001
Che dire... Leggendo un po' di informative qua e la ho notato che molti indicano come titolare il gestore del sito, con un riferimento di contatto. Leggendo anche qualche discussione mi è sembrato di capire che l' importante è dire all' utente che il titolare del trattamento è il gestore del sito e metterlo in condizioni di poter esercitare i suoi diritti. Chiaramente sono solo voci, tutte da verificare...
Mi viene comunque spontanea un' osservazione:
parlano tanto di diritto alla privacy degli utenti dei siti web. Ma io, webmaster, non sono al tempo stesso un utente di quel grande sito che è la rete? E come tale non ho diritto alla privacy?

[glm2006ITALY]

Scusa Andrea ma nelle normative sulla privacy io metto sempre come titolare del trattamento il proprietario dell'attività a cui fa riferimento il sito web.

[StudioDuchemino]

Alle prime righe parla di raccomandazione (quindi non di obbligo, credo), tra l' altro rivolta a quei soggetti che intendono conseguire una sorta di marchio di qualità. E' anche vero che il documento è del 2001

Sì, la raccomandazione è una fonte di diritto comunitario non vincolante. Quello che hai espresso tu è un buon criterio: l'agibilità della tutela dell'utente. Fornire, quindi, le indicazioni sufficienti per far in modo che possa tutelarsi, qualora necessario.
Comunque, distinguerei varie situazioni:

- quando appunto c'è un'attività retrostante il sito;
- quando ci sono di mezzo dati sensibili;
- quando c'è una relazione con qualche ente pubblico;
- quando non abbiamo il totale controllo dei contenuti del sito;
- quando si chiede o meno la registrazione dell'utente.

[andrea]

Il sito è di tipo amatoriale ed è gestito da una sola persona. Non c' è la registrazione e nemmeno i commenti. L' utente ha solo la possibilità di inviarmi un messaggio col modulo di contatto. I dati raccolti vengono usati semplicemente per rispondere ai messaggi, quindi niente newsletters.
I banner pubblicitari li tolgo: viste le complicazioni (di cui si è parlato nell' altra discussione) e visto che non ci ho mai guadagnato un centesimo non mi conviene.
Rimane solo il servizio di statistica, di cui tra l' altro ho inserito un link per l' opt out (anche se non è obbligatorio).

[Jack]

Vado a memoria e potrei essere impreciso, ma se ben ricordo esiste una norma che permette la sostituzione nei vari casi in cui deve essere indicato un soggetto responsabile (mi viene in mente la normativa sul divieto di fumo), di usare anche il nominativo dell'ente o azienda. Le eventuali omissioni, sanzioni, ecc. ricadono sul relativo responsabile (cosa utile specie nei casi in cui la figura è sempre quella ma la persona varia col tempo; vedi pubblica amministraizone o grandi aziende). Mi pareva fosse una norma mantello ma dovrei verificare. In ogni caso, personalmente, userei nome e congnome vista la prassi.

J

[andrea]

Quindi inserendo nome, cognome e riferimento di contatto dovrei essere a posto, senza bisogno di inserire altre informazioni.
Oppure l' alternativa sarebbe quella di eliminare tutte quelle funzionalità che danno luogo a trattamento di dati: pubblicità (che tolgo in ogni caso), contatore visite, modulo di contatto. A questo punto l' informativa non dovrebbe essere più obbligatoria...

ATTENZIONE: basta anche la semplice comunicazione di un indirizzo mail al quale essere contattati!

Vale lo stesso discorso se invece del riferimento mail inserisco un link ad un profilo facebook?