PER GOOGLE LA PRIVACY SU GMAIL E' UNA PRETESA IRRAGIONEVOLE

 

Per Google la richiesta di privacy da parte degli utenti è illegittima. Questa la tesi di Big G in risposta ad una class action avanzata negli Stati Uniti contro Mountain View.

 

Consumer Watchdog, associazione statunitense a tutela dei diritti dei consumatori, ha pubblicato sul proprio sito alcune delle frasi riportate nella memoria difensiva preparata dai legali di Google che verrà discussa davanti al tribunale di San José il prossimo 5 settembre.

La teoria di Big G è semplice: non ci si può ragionevolmente attendere la protezione della privacy se ci si affida in modo volontario a terze parti.

 

Se non è ragionevole credere che una lettera inviata per posta tradizionale verrà letta dal destinatario o solo da questi, a maggiore ragione non si può pretendere che la posta elettronica offra maggiori garanzie di privacy.

 

La torrida estate californiana di fresco ha solo lo scandalo datagate, troppo recente per non inviperire ancora di più i detentori di 425milioni di mailbox Gmail.

 

Sotto accusa, principalmente, il processo automatizzato con cui le email vengono controllate, processo esplicitamente citato da Big G nel disclaimer che ogni utente deve dichiarare di avere letto quando crea il proprio account Google.

 

Anche in questo caso c'è una netta spaccatura: per Mountain View il processo di scanning è orientato alla pubblicità, per gli oppositori è una leggerezza volontaria che favorisce l'Agenzia per la sicurezza nazionale (Nsa).

 

La sentenza, qualunque sarà, non sarà probabilmente sufficiente a placare gli animi.

RISCHIA DI PIU' CHI IGNORA GLI ORDINI DETTATI DAL GARANTE

 

 

Non tutti i reati privacy sono presupposto della responsabilità 231: il Dl 93, infatti, richiama solo i delitti e non anche le contravvenzioni.

Vale a dire il trattamento illecito di dati, la falsità nelle dichiarazioni o notificazioni al Garante, l'inosservanza di provvedimenti del Garante.

 

Il caso del trattamento illecito non dovrebbe porre troppo in allarme le aziende.

 

Il delitto, infatti, presuppone che il trasgressore ne abbia tratto profitto e che la violazione abbia prodotto un «nocumento».

 

Ad esempio, l'avere trattato dati senza il necessario consenso sarà sì una condizione oggettiva di punibilità, ma occorrerà dimostrare anche che dal fatto ne sia derivata una effettiva lesione all'interessato.

 

Detto ciò, non ci si potrà comunque rilassare troppo, visto che la Cassazione (Sezione III penale, 13 maggio 2011 n. 18908) ha ravvisato un trattamento illecito nella diffusione, per scopi diversi dalla tutela di un diritto proprio o altrui, di una conversazione documentata mediante registrazione.

 

Nelle prassi aziendali e in mancanza di un buon modello organizzativo data protection, le ipotesi di false dichiarazioni e notificazioni al Garante suscitano maggiori preoccupazioni.

 

Si pensi a un'azienda che – convenuta innanzi al Garante in sede di ricorso – dichiari il falso affermando, ad esempio, di aver rilasciato un'informativa orale nel corso di una telefonata promozionale.

 

Oppure un'azienda che notifichi al Garante di procedere al trattamento di dati comuni, omettendo di indicare che invece utilizza anche dati sensibili.

In tali casi, dei delitti risponderà anche la società ai sensi del decreto 231. 

 

Analogamente, nel caso di inosservanza dei provvedimenti del Garante, vi sarà responsabilità 231 da parte dell'azienda che ometta di adempiere a un provvedimento dell'Authority che, ad esempio, abbia disposto il blocco di uno o più trattamenti o abbia prescritto misure necessarie a rendere il trattamento conforme.

 

Ipotesi non troppo remote in un'azienda che, per il fatto stesso di essere incappata in questo tipo di provvedimenti, ha già mostrato di avere una modesta sensibilità in materia.

 

Ciò che emerge, in conclusione, è che non ci si potrà limitare ad atteggiamenti puramente formali, ritenendosi al riparo per avere eseguito qualche adempimento.

 

Occorrerà, invece, che il modello organizzativo tenga in conto l'intero flusso di dati, nonché il loro utilizzo e custodia anche tramite enti terzi, garantendo un livello di sicurezza adeguata e la conformità rispetto alle finalità per cui l'informazione è stata raccolta.

 

Ad esempio, saranno elementi che il nuovo modello gestionale dovrà prevedere:

 

• la creazione di un organigramma data protection con idonei mansionari per responsabilizzare chi effettua le operazioni;
• il controllo dei flussi informativi;
• la tracciabilità delle operazioni;
• la conservazione e la manutenzione delle informazioni personali;
• verifiche periodiche suffragate da reportistica.

VIAGGERA' ON LINE ANCHE IL CERTIFICATO DI GRAVIDANZA

 

Con la conversione in legge del Dl 69/2013, il quadro normativo sui congedi si è arricchito di importanti novità sui certificati: infatti, con una modifica all'articolo 21 del decreto legislativo 151/2001, si va verso la telematizzazione del certificato medico di gravidanza, come avviene già per la documentazione medica di malattia.

 

Il certificato che attesta lo stato di gravidanza indicante la data presunta del parto e la documentazione relativa alla nascita del figlio, non dovranno più essere trasmessi dalla lavoratrice al proprio datore di lavoro e all'Inps (il certificato di nascita deve arrivare entro 30 giorni), ma saranno inviati esclusivamente in via telematica dal medico del servizio sanitario nazionale, o con esso convenzionato, usando il sistema di trasmissione telematica della certificazione di malattia già adottato dai medici di famiglia.

Questa modalità dovrà però essere resa operativa attraverso un decreto interministeriale attuativo Lavoro-Salute-Economia, da emanare entro il 21 dicembre 2013, che definirà le modalità applicative.

 

Queste decorreranno dal novantesimo giorno successivo alla sua entrata in vigore.

 

Sempre in base al Dl «del fare» (che ha aggiunto il comma 2-bis, all'articolo 21, del Dlgs 151/2011), le stesse modalità riguarderanno anche il certificato di interruzione della gravidanza, che dovrà essere trasmesso dalla struttura sanitaria all'Inps, in via telematica.

 

In entrambi i casi, sarà l'Inps a mettere a disposizione del datore di lavoro la documentazione sanitaria in questione, con il sistema in uso per i certificati di malattia.

 

Nel frattempo, la consegna dei certificati deve avvenire con le vecchie regole: la lavoratrice trasmette all'Inps, oltre che al datore di lavoro, i certificati di gravidanza, di parto e di interruzione della gravidanza.

 

Oltre all'intervento del decreto legge 69/2013, già il Dl 179/2012, nel solco della telematizzazione delle certificazioni di malattia, ha semplificato la gestione operativa dei certificati medici per l'assenza del lavoratore a causa della malattia del figlio (articoli 47 e 51 del Dlgs 151/2001), che dovrà essere inviata per via telematica all'Inps direttamente dal medico del Ssn che ha in cura il minore, per poi essere inoltrata ai datori di lavoro interessati – con il sistema già attivo per la trasmissioni dei certificati medici di malattia dei dipendenti – e all'indirizzo di posta elettronica della lavoratrice o del lavoratore che ne facciano richiesta.

 

Anche per la piena operatività di questa disposizione si dovrà attendere l'emanazione di un Dpcm, di concerto con Pa-Lavoro-Economia-Salute e previo parere del Garante della privacy, con il quale saranno adottate le linee attuative delle modalità di trasmissione delle certificazioni della malattia del minore e la definizione del modello di certificazione.

 

LA PRESCRIZIONE DEL DANNO DA VIOLAZIONE DELLA PRIVACY È DI 5 ANNI

In base all’art.15 comma primo del d.lgs. n.196 del 2003 la violazione delle norme poste a tutela della riservatezza configura un’ipotesi di responsabilità ex art.2050 c.c.

Infatti, tale norma dispone che chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee ad evitare il danno.

Trattandosi di responsabilità extracontrattuale, in base all’art.2947 c.c., l’azione per l’accertamento della responsabilità e il conseguente risarcimento del danno si prescrivono in cinque anni decorrenti dal fatto illecito.

Nel caso deciso dal Tribunale di Benevento il presunto illecito trattamento dei dati del conto corrente da parte della banca, in base alla ricostruzione attore, sarebbe avvenuto nel settembre 2002.

Tale trattamento è stato segnalato anche all’Autorità garante per la privacy ed è stato oggetto di una querela inoltrata al Comandante della locale stazione dei carabinieri.

Tuttavia, la domanda è stata proposta solo nel giugno 2010, pertanto si è senz’altro prescritta.