STRUTTURE RICETTIVE ed OSPITALITA’ TURISTICA:
I RISCHI DI VIOLAZIONE GDPR NEL TRATTAMENTI DEI DATI PERSONALI.
Premessa.
Per sua natura, la ricettività turistica è un mestiere incline ad un’importante incursione nel privato degli Ospiti e dei loro dati personali.
Prima dell’arrivo dei Clienti e durante il soggiorno degli stessi, il Gestore ed il Personale della Struttura possono venire a conoscenza di informazioni private di varia natura, da diverse fonti, a vario titolo e per svariate finalità. Questo avviene poiché, con pochi confronti in merito – assimilabile forse solo all’ambito ospedaliero – essi gestiscono una quota di vita degli Ospiti, durante la residenza di questi.
Tale mole e tipologia di informazioni necessita di ampia consapevolezza circa la delicatezza del trattamento nonché di adeguati strumenti organizzativi, tecnici e formativi utili ad essere al riparo dal rischio di violazione del dato.
La difficoltà di gestione del trattamento deriva dalla natura ampia dei dati potenzialmente acquisibili: anagrafici, reddituali, relativi alle condizioni familiari, alle abitudini, agli orientamenti, alla salute degli Ospiti, biometrici.
Le fonti di acquisizione possono essere dirette (off line ma anche on line – per es. dal format di contatto del sito web della Struttura) od indirette: si pensi alla onnipresente canalizzazione dalle OTA.
Il fondamento giuridico dell’obbligo di Legge può sorgere per le istanze di differenti soggetti pubblici: il Ministero degli Interni (TULPS), la Regione (il servizio statistico Turist@t), il Comune di riferimento (per l’applicazione dell’imposta di soggiorno nei casi specifici che tratteremo in seguito).
Il fondamento giuridico primario a base del trattamento è, comunque, l’adempimento contrattuale.
Si noti, infine, che una Struttura ricettiva è anche un’Azienda che, come tale, tratta i dati personali dei propri Dipendenti verso i quali è soggetta ai medesimi obblighi in aggiunta a quelli previsti dallo Statuto dei Lavoratori.
Panoramica generale e definizioni.
- dato personale (Art. 4 GDPR). “Qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»)”;
- trattamento: “Qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione”;
- violazione del dato: “la violazione di sicurezza che comporta accidentalmente (si richiama il concetto della colpa giuridica) o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati;
I dati personali degli altri non ci appartengono ed il loro trattamento è vietato dalla Legge. Questo è il punto di partenza, categorico, sia nel Codice italiano che nel GDPR. Un trattamento potrà definirsi lecito solo al ricorrere di alcune fattispecie espressamente previste e definite pertanto “fondamento giuridico”. Nell’ordine:
- Il consenso dell’Interessato;
- L’obbligo di Legge;
- La tutela di un interesse pubblico;
- La tutela di un interesse giuridico vitale del destinatario del trattamento;
- La tutela di un interesse legittimo del Titolare del trattamento e/o di terzi;
- L’adempimento di un contratto.
Utile specificare che, in caso di violazione del dato, il Titolare è tenuto a dimostrare di aver fatto tutto il possibile e che l’evento è dovuto a causa di forza maggiore od al caso fortuito. Si assiste, rispetto ai profili di responsabilità aquiliana ex art. 2043 c.c., all’inversione dell’onere della prova che non grava sul richiedente ma, come detto, sul Titolare del trattamento. La Legge italiana equipara il trattamento dei dati all’art 2050 del codice civile (Responsabilità per l’esercizio di attività pericolose) imponendo a chi cagioni un danno, l’onere del risarcimento se non provi di avere adottato tutte le misure idonee.
Quali saranno queste misure (nonché il concetto della responsabilizzazione) saranno oggetto di successiva trattazione.
Possiamo sin d’ora anticipare che una Struttura ricettiva – in linea di massima senza significative distinzioni fra alberghiere ed extra alberghiere – si espone in ogni fase del ciclo lavorativo a quell’attività pericolosa (art. 2050 del codice civile) che è il trattamento dei dati.
Il ruolo della tecnologia.
Come ogni settore lavorativo ma certamente ben più di tanti altri, l’ospitalità turistica si muove quasi esclusivamente con strumenti informatici on line. Questo significa che i dati dei propri Ospiti provengono da canali presenti in Rete, vengono verosimilmente custoditi in Rete e partono – on line – verso altri siti web di Interlocutori sia privati che Istituzionali.
Un dato certamente sicuro forse non esiste ma non v’è dubbio che la gestione in Rete espone i dati dei nostri Ospiti a potenziali rischi enormi ed impone alla Struttura una politica di sicurezza informatica non indifferente.
I dati provengono dalle OTA ed entrano nei sistemi gestionali della Struttura sistemi che, nella maggior parte, risiedono on line poiché collegati – tramite i cd channel manager – ai siti delle altre OTA per la chiusura automatica delle camere prenotate. Dal punto di partenza originario (per es. l’OTA che risulterebbe primo Titolare del trattamento), il dato dell’Ospite giunge al Gestionale della Struttura (il Proprietario diventa così ulteriore Titolare del trattamento) ma viene condiviso con la Società proprietaria dei server dove è ospitato il Gestionale della Struttura.
Molte piccole realtà extra alberghiere, non disposte a spendere investimenti in sistemi gestionali, condividono i dati degli Ospiti con Google (utilizzando il Google Calendar).
Il sito web della Struttura. Il form contatti. Non v’è dubbio di come il sito web costituisca, a tutti gli effetti, un’estensione dell’Azienda. Questo concetto vale per ogni tipo di attività e non deroga – tutt’altro – in caso di Struttura ricettiva.
Nei siti delle Strutture possiamo trovare, in luogo di un booking engine, un form “contatti” da riempire per essere ricontattati ai fini di una prenotazione od informazioni di vario genere.
Questi dati acquisiti vanno trattati come tutti gli altri:
- Va fornita ampia informativa al Destinatario del trattamento, in primis;
- Va posta estrema attenzione al fatto che i dati forniti vengono condivisi con il provider del sito;
- Va ricordato che non possono essere utilizzati (a meno di specifica e consapevole autorizzazione del Destinatario) quale base di indirizzi cui convogliare future proposte commerciali della Struttura.
Le recensioni. Il meccanismo delle recensioni costituisce, per molti aspetti, un democratico momento di espressione della qualità e delle caratteristiche sia della Struttura che del servizio reso.
Comunque sia, è un ambito nel quale le Strutture si trovano e devono confrontarsi. E’ovvio che, finché i giudizi espressi siano favorevoli, si corrono pochi rischi che invece si configurano quando i Gestori ricevono recensioni negative soprattutto se espresse in modo molto critico od aggressivo ovvero se ritenute ingiuste, ingiustificate o lesive da parte del Gestore.
Non è infrequente – nonostante le esortazioni a mantenersi entro le policy della OTA – leggere risposte dei Gestori davvero velenose, poco educate e portatrici di sconfinamenti in giudizi sia sugli ospiti che sul loro comportamento in Struttura.
Orbene, bisogna fare estrema attenzione a non cadere in dettagli, relativi all’ Ospite od ai suoi comportamenti, abitudini, accompagnatori che possano ricondursi ad una “diffusione” di informazioni riservate cui solo il Gestore poteva essere a conoscenza.
I social.
L’uso dei cd social rappresenta oramai una tale, quotidiana, consuetudine da risultare inerito nella nostra vita e privo di insidie. La realtà è ben diversa e l’uso dei social non è privo di rischi ed insidie. Se questo vale per la vita di ognuno noi, a maggior ragione deve essere valorizzato quando utilizziamo informazioni (che ricordiamo possono essere anche fotografie) che riguardino gli altri.
Ogni post pubblicato sui social equivale a diffusione pubblica di dati ed informazioni e tutto ciò vìola il diritto alla riservatezza altrui quando non espressamente autorizzato.
Il consenso ad essere ricompresi in una fotografia, per esempio, non corrisponde ad esplicito consenso ad un uso indiscriminato o pubblico di quella foto.
Le pagine dei social costituiscono un ulteriore vetrina di visibilità delle Strutture che differenziano il messaggio, rispetto ai loro siti web, convogliando su queste un profilo meno formale, più partecipato che sia più espressione dei momenti vissuti all’interno della Struttura.
Il concetto è sano ma la pubblicazione di fotografie dei clienti, di commenti o testi che facciano esplicito riferimento agli stessi, ai loro accompagnatori, alle attività che hanno svolto ma anche al periodo stesso in cui questi erano ospitati – se non preventivamente ed espressamente autorizzato – costituisce palese violazione della normativa sul diritto alla riservatezza.
Ricordiamoci sempre che i dati degli altri non ci appartengono e l’uso è vietato dalla Legge a meno che non ricorrano quei presupposti definiti “fondamento giuridico”. Senza un esplicito e specifico consenso alla pubblicazione delle foto e delle informazioni sugli Ospiti nelle pagine social delle Strutture, a maggior ragione se minori, è meglio limitarsi ad una generica esposizione delle qualità della Struttura, delle bellezze naturali che la circondano ovvero dei dati statistici di gradimento degli Ospiti (tipo numero di like, numero di accessi, incremento del flusso di Ospiti rispetto all’anno precedente).
Sono scivoloni molto veloci, inconsapevoli ma che possono costar cari.
Le telecamere.
L’uso delle telecamere o dei videocitofoni risulta diffuso e molto presente, per varie ragioni, nelle Strutture ricettive.
Il controllo del cancello d’ingresso, l’apertura del garage, il giardino, la sicurezza interna, la reception. Sono molti i luoghi in cui vi sono ottime ragioni per installare sistemi di video sorveglianza. Questi sistemi sono idonei – però – ad acquisire i cd dati biometrici, definiti dal GDPR: “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”.
Tale trattamento trova il suo fondamento giuridico nella tutela del legittimo interesse del Titolare del trattamento alla sicurezza della Struttura, degli Ospiti nonché all’operatività del servizio.
La presenza delle telecamere deve tuttavia essere dichiarata e l’informativa deve prevedere tutto il contenuto previsto in merito compreso un chiaro riferimento al periodo in cui vengono trattenuti questi dati ed alla modalità di cancellazione o sovrascrittura.
Non v’è da stupirsi se la maggior parte delle sanzioni comminate dal Garante, verso le Strutture, anche in periodi recenti, si riferiscano proprio ad elementari violazione del diritto alla riservatezza degli Ospiti. (Fonte: www.garanteprivacy.it)
Il fronte telecamere, coinvolge infine le Strutture come qualsiasi altro Datore di lavoro, cui lo Statuto dei Lavoratori inibisce forme di controllo a distanza del rendimento lavorativo dei propri Dipendenti (legge n° 300 del 20 maggio del 1970).
“Art. 4. Impianti audiovisivi.1. È vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori”.
Questo concetto ci porta alla riflessione che l’argomento privacy va affrontato non solo con riguardo agli Ospiti ma anche al Personale interno della Struttura. Il Titolare del trattamento viene a conoscenza di dati personali dei Dipendenti sia per il rapporto contrattuale che li lega ma anche per circostanze come quella sovra esposta che ne impongono il rispetto di tutti i dettami di Legge (e non solo di quella sulla Privacy).
Il Personale della Struttura: il check in.
Il momento del check va considerato fra i più delicati: non solo poiché quello del primo impatto con la Struttura, quello che crea empatia con gli Ospiti ma anche perché è quello delegato al trattamento dei dati e dove emerge la professionalità o l’improvvisazione, il rispetto delle regole o l’anarchia.
Giunti gli Ospiti in Struttura, l’addetto dovrà accedere ai dati della prenotazione. Già solo per questo dovrebbe essere qualificato – dal Titolare al trattamento e con apposita lettera scritta e controfirmata – quale “addetto al trattamento dati”.
In questa fase si ritrovano dati anagrafici ma anche, potenzialmente, della carta di credito.
Per gli obblighi della pubblica sicurezza, è anche il momento dell’acquisizione dei documenti di identità di tutti gli Ospiti. A questo proposito giova ricordare come, nel caso di un capofamiglia, potrebbe essere sufficiente acquisire solo i dati di quest’ultimo
invece che di tutto il nucleo familiare tuttavia il Portale Alloggiati, all’atto dell’inserimento dei dati del “capo famiglia” continua l’operazione chiedendo i dati – senza invero il tipo e numero di documento – di tutti gli altri familiari pretendendone anagrafica completa.
Per questa ragione, a parere dello scrivente, chi gestisse le operazioni di check in sarebbe tenuto a chiedere i documenti di tutto il nucleo familiare e registrare tutti. Sottolineo, fra l’altro, l’opportunità di farlo poiché non sappiamo mai veramente che persone abbiamo davanti e la consapevolezza della segnalazione alle Autorità può indurre gli Ospiti, comunque, a tenere un comportamento sano, all’interno della Struttura.
A proposito dei check in e dei minori, infine, rimando al seguito della trattazione con un approfondimento specifico. Solo registrando i minori un Gestore può accorgersi se questi siano accompagnati o meno dai genitori e far scattare quindi quegli obblighi di verifica imposti dalla Legge (cfr più avanti).
Alcuni Gestori di ospitalità (generalmente locazioni turistiche ma anche taluni Bed & Breakfast) hanno la propensione a far effettuare i check in al personale delle pulizie o ad incaricati improvvisati ottenendo i documenti degli Ospiti da trasmissioni tramite Whatsapp.
La pessima abitudine, di fotografare i documenti e di trasmetterli per Whatsapp, comporta una spiacevolissima violazione della Legge poiché – in primis – sembra estremamente difficile che tali Soggetti improvvisati possano essere dotati della lettera di nomina ad incaricato al trattamento da parte del Titolare.
In secundis, tali immagini rimangono a risiedere, in locale, nel telefono dell’addetto al check in ed in quello del Titolare della Struttura, esponendoli a rischi di violazione non indifferenti per mala fede od anche per mera ingenuità o condivisione del telefono con altre persone.
Per quanto Whatsapp dichiari – nella propria policy – di essere dotata di una tecnologia end to end, non possiamo tacere di come tali documenti comunque transitino dai server del Social e che esso sia di proprietà del gruppo Facebook con il quale condivide le sue informazioni.
Si vedono ancora, molte Strutture – anche alberghiere – all’atto di fotocopiare i documenti degli Ospiti. Seppur comprensibile il desiderio di non bloccare l’Ospite in attesa della comunicazione alla Questura – che fra l’altro può essere delegata ad un momento notturno di maggiore calma lavorativa – è utile ricordare che non è necessario né consentito acquisire copia dei documenti e ne è illecita la conservazione.
Ove, pertanto, praticata questa circostanza, è necessario restituire la fotocopia all’Ospite (anche come messaggio di lealtà e trasparenza) ovvero provvedere a distruggerla con “distruggi documenti” nell’immediata conclusione della registrazione al Portale Alloggiati.
Esperita questa formalità, infatti, non v’è più alcun fondamento per il mantenimento della copia del documento del Cliente.
Il Personale addetto ai check in, inoltre, è facilmente destinatario di informazioni relative allo stato di salute degli Ospiti per esempio nel caso di richiesta di colazione per diabetici o celiaci. Tali informazioni, delicatissime soprattutto per i minori, vanno trattate con procedure specifiche necessariamente previste dal Registro dei Trattamenti della Struttura.
Il Personale della Strutture: rassetto e pulizie
Il Personale che entra nelle camere per il rassetto e le pulizie, acquisisce informazioni indirette molto significative sull’ intimo degli Ospiti: si pensi, per esempio a medicinali lasciati sul comodino, a libri religiosi a documenti od altri oggetti che possano rivelare abitudini e preferenze degli Ospiti su materie delicate.
Ritenendo di non esagerare, anche la custodia della macchina da posteggiare fornisce informazioni riservate sull’ Ospite: nell’abitacolo della vettura si potrebbero ritrovare oggetti, documenti, foto od altri elementi personali che devono essere gestiti con riservato distacco dal Personale.
Il Personale della Struttura: la fase del check out. La cancellazione dei dati non necessari ai fini statistici.
Il G.D.P.R. impone un trattamento per il periodo strettamente necessario al proprio adempimento (il soggiorno) ed i dati acquisiti dovrebbero essere disimpegnati con le modalità previste dal proprio Registro dei Trattamenti (di cui dovrebbe essere dotato – per opportunità – la Struttura) dal momento dell’uscita dell’Ospite. (GDPR considerando n° 39 “l’obbligo, in particolare, di assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario” e dove prevede che “…il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica”.
Dopo i saluti – in sintesi – non c’è più nulla che autorizzi il Gestore a trattenere i dati acquisiti (tutti) per l’espletamento della propria obbligazione. Successivi trattamenti (conservazione ed utilizzo) devono essere basati sul fondamento giuridico del
consenso dell’Ospite ma che sia adeguatamente informato circa le finalità, le modalità di conservazione ed il tempo previsto per gli stessi.
In molte Strutture alberghiere, anche di ottimo livello, si assiste invece alla cattiva abitudine di conservare i dati nei propri sistemi. Un ulteriore trattamento che è fuori Legge: sia sotto il profilo del TULPS sia sotto quello del GDPR.
A termini di Normativa, infatti, tutti i dati relativi al Cliente che ha soggiornato, dovrebbero essere cancellati, magari in automatico, al termine del soggiorno. Possono essere ammessi soltanto quei dati anonimizzati utili alle statistiche di rendimento.
La reiterata abitudine di alcune Strutture di reperire i dati anagrafici da pregressi soggiorni è non solo rischiosa ai fini del TULPS poiché attinge ad un documento d’identità che potrebbe non più corrispondere (violando l’obbligo di verifica personale del possesso e validità del documento dell’Ospite) ma vìola il disposto GDPR nel momento in cui non abbiano eventualmente informato l’Ospite – ottenendone il consenso al momento del primo soggiorno – circa il mantenimento dei suoi dati, le finalità dell’ulteriore trattamento (ipotetici futuri soggiorni…) e le modalità di conservazione degli stessi.
Le responsabilità in capo al Titolare in materia di violazione della riservatezza dei dati personali.
GDPR. Articolo 24 – Responsabilità del titolare del trattamento
“1. Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario”.
La Norma Europea è semplicemente impegnativa sul fronte degli adempimenti idonei a dimostrare il proprio senso di impegno e responsabilità in materia di tutela del dato. Non esistono specifiche indicazioni in merito ma ci si rifà ad un aspetto comportamentale di “responsabilizzazione” del Titolare (cd accountability) in base al quale deve essere il Soggetto stesso a dimostrare trasparenza, lealtà ed impegno nella tutela.
Quali strumenti od adempimenti porre dunque in essere?
Le misure di sicurezza conseguenti.
(Art. 32/1) Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio […].
(Art. 32/2) Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.
Valutati i rischi nel trattamento dati da parte della Struttura, necessita la consapevolezza che le misure di sicurezza non siano da considerarsi statiche ed immutabili nel tempo ma necessitano di periodiche attività di testing e verifica, a maggior ragione in caso di modifiche endogene od esogene idonee ad influenzare le modalità del trattamento stesso.
Sono tre le tipologie di misure opportune:
| Tecniche | Organizzative | Comportamentali |
Le misure cd “tecniche”.
Quando le attività economiche erano essenzialmente cartacee e territorialmente circoscritte all’ ambito di operatività dell’Azienda, la sicurezza era essenzialmente fisica: grate, serrature, scaffali.
La sicurezza di allora era, pertanto, basata sull’isolamento.
La forte penetrazione dell’informatica e di internet, nella vita lavorativa, ha ribaltato la prospettiva determinando l’isolamento non più come uno scenario di rassicurante sicurezza bensì come un binario morto dove l’Azienda non potrà mai avere prosperità ed attività lavorative.
La vera sfida di chi si occupa quindi di sicurezza aziendale sta proprio nella sicurezza delle reti e delle nostre macchine quando sono in Rete poiché questa come fonte vera di opportunità, può trasformarsi in fonte vera di insicurezza.
“L’unico sistema sicuro è un sistema spento, ma a quel punto è evidente che quel sistema non serve più a nessuno.”
Se, dunque, finalità di questo lavoro è una tutela stabile dei dati trattati, un fronte di importante esposizione è quello informatico a maggior ragione, si ribadisce, quando connessi ad Internet ai fini di tutelarsi più possibile da aggressioni informatiche dall’ esterno ma anche da accessi non autorizzati all’ interno della Struttura.
A seguire, elenco delle misure di protezione cd tecniche:
| MISURE DI SICUREZZA “TECNICHE” |
| 1. Accesso ai pc ed ai software della Struttura mediante id e psw |
| 2. Periodica revisione delle psw di tutti, utilizzando criteri di assegnazione suggeriti dal RPD |
| 3. Blocco delle porte USB (accesso con psw) fermo restando quanto previsto dalle norme comportamentali |
| 4. Controllo del modem wi-fi e del relativo accesso. Modifica periodica della psw utilizzando criteri … RPD |
| 5. Back up periodico ed identificazione di meccanismi di “business continuity” |
Le misure cd “organizzative”.
E’ frequente l’adozione per finalità lavorative, di pratiche o strumenti che, generalmente, adottiamo nella nostra vita privata.
Tutto ciò ha una logica e spontanea origine dal fatto che abbiamo già sperimentato la loro modalità di utilizzo, è diventata per noi familiare, ne siamo diventati abili. A maggior ragione se gli strumenti che utilizziamo sono gratuiti, siamo propensi ad una estensione anche alla vita professionale non solo per quanto esposto sopra ma anche per tutelare la redditività di Studio.
Questo atteggiamento, di per sé invero comprensibile, non può essere ritenuto accettabile sotto il profilo della tutela dei dati personali. Tutti gli strumenti apparentemente gratuiti (espressione della cd gift economy) hanno un elevato costo che paghiamo inconsapevolmente: la moneta siamo noi, i nostri dati, la nostra vita, abitudini, spostamenti, interessi.
Questo, già di per sé, indurrebbe a riflettere su noi stessi ma risulta da bocciare se applicato alla protezione dei dati di destinatari che trattiamo per motivi professionali.
Le opportune contromisure non comportano – in linea di massima – costi economici o sforzi organizzativi epocali anche per una realtà lavorativa medio-piccola ma preservano l’origine e la conservazione dei dati.
E’ovvio che – posta la modalità lavorativa sia analogica che digitale – altre misure riguardino la tutela fisica, nel mondo reale a maggior ragione quando si tratta di Locali accessibili al pubblico.
Tutto ciò impone un rigoroso mantenimento, dei dati oggetti del trattamento sotto forma cartacea, adeguato ad idoneo standard di sicurezza.
A seguire, la tabella delle misure di sicurezza definite “organizzative” adottate dal Titolare:
| MISURE DI SICUREZZA “ORGANIZZATIVE” |
| 6. Nessun utilizzo aziendale di email gratuite ma utilizzo di alias sul dominio aziendale; |
| 7. Nessun utilizzo lavorativo di whatsapp per il trasferimento di dati personali; |
| 8. Nessuna carta nel bancone al di fuori di quanto strettamente necessario all’operatore presente al tavolo; |
| 9. Armadi dotati di serrature e relativo possesso delle chiavi; |
| 10. Responsabili delle chiavi di accesso ad ogni porta o portone della Struttura. |
Modalità di disimpegno chiare (distruzione fisica – cancellazione informatica – restituzione al destinatario): ogni distruzione cartacea di fine trattamento, dovrà avvenire esclusivamente mediante apposita macchina distruggi documenti.
Risultano riconducibili comunque, alle misure di sicurezza, alcune attività che saranno regolarmente censite nel Registro dei Trattamenti adottato. In sintesi:
- ISTRUZIONE DEGLI INCARICATI, all’atto dell’adozione del presente documento.
- FORMAZIONE PERIODICA DEGLI STESSI (almeno annuale) utile al richiamo dei concetti ed all’aggiornamento tecnico e/o normativo.
- PERIODICHE ATTIVITA’ DI TESTING DELLE PROCEDURE, da parte di Enti o Professionisti esterni.
Le misure cd “comportamentali”.
Va, ulteriormente, ribadito come elemento vincente o di esaltazione del rischio, sia costituito dalla componente umana. Anche nel caso delle migliori volontà e dei migliori Collaboratori, l’essere umano può essere indotto all’errore od alla caduta: dai comportamenti routinari, dallo stress lavorativo, dalla inconsapevole evoluzione dei sistemi informatici.
Ecco che, dunque, risulta fondamentale dotare ogni Individuo che lavori nella Struttura, di un codice di comportamento che garantisca il sistema di protezione dati dalle falle che – anche inconsapevolmente – il modo di agire umano può generare.
La vulnerabilità informatica può vedere un ruolo strategico nel comportamento umano.
La responsabilità del computer è sempre a carico dell’Utente: è dunque necessario che questi prendano più precauzioni possibili per garantire la sicurezza del proprio computer soprattutto quando connesso ad Internet.
A seguire, un elenco di provvedimenti che andrebberp notificati, per iscritto e con accettazione scritta, ai Dipendenti:
| MISURE DI SICUREZZA “COMPORTAMENTALI”. |
| Divieto di scaricare email personali nelle macchine aziendali; |
| Divieto di utilizzo dei “social” dalle macchine aziendali; |
| Divieto di inserimento nei pc di supporti esterni (USB o similari) di provenienza esogena senza nota verifica |
| Massima garanzia di riserbo, in tutti gli ambiti della propria vita privata, sugli elementi acquisiti per lavoro. |
| Divieto di allontanarsi dalla postazione lasciando i video accesi e/o i contenuti della videata visibili |
- La responsabilità in proprio
L’ art 2050 del codice civile. L’inversione dell’onere della prova
Il Registro delle attività di trattamento (art. 30 GDPR): “1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:
- a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
- b) le finalità del trattamento;
- c) una descrizione delle categorie di interessati e delle categorie di dati personali;
4.5.2016 L 119/50 Gazzetta ufficiale dell’Unione europea IT
- d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
- e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
- f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
- g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32
paragrafo 1.
- La responsabilità per fatti compiuti dai Dipendenti
L’art. 2049 del codice civile narra della Responsabilità dei padroni e dei committenti specificando in capo al Datore di lavoro – titolare del trattamento del dato – la responsabilità per i danni arrecati dal fatto illecito dei loro domestici e commessi nell’esercizio delle incombenze cui sono adibiti.
Per questa ragione – e sempre nell’ottica di poter dimostrare di avere adottato tutte le misure idonee – è necessario ed opportuno che il Titolare del trattamento rediga una policy interna da notificare a tutti i Lavoratori a vario titolo presenti nella vita della Struttura, indicando comportamenti da tenere a garanzia della privacy:
- No Whatsapp privato per ragioni lavorative. Utilizzare Whatsapp Web per ogni attività lavorativa.
- No Social Networks per ragioni lavorative nè inserimento o commenti di info, di cui si è venuti a conoscenza per questioni professionali, nelle proprie pagine personali.
- Non possono essere utilizzati dispositivi personali per finalità lavorative.
- La scrivania va tenuta sgombera e pulita da carte.
- Monitor spento quando assenti dalla postazione.
- Le psw di accesso ai sistemi di Studio vanno usate secondo i criteri stabiliti dalla Responsabile del Trattamento: le psw vengono scelte dalla Responsabile e modificate periodicamente, ogniqualvolta questa lo richieda.
- Non è consentito l’uso di chiavette o supporti di memoria privati da adibire ad uso lavorativo in Studio.
- Non possono essere condivisi con i Titolari di altri Studi, gli elementi e le informazioni acquisite per motivi lavorativi in LST.
- Fotografie: utilizzare esclusivamente le macchine od i cellulari di Studio.
Palermo: ____________________
Firma dell’Incaricato al trattamento per accettazione ricevuta _____________________
L’adozione di una policy interna, oltre che a garantire adeguati livelli di servizio ai propri Ospiti, garantisce il TdT – in caso di violazione de dato da parte dei propri Collaboratori – dall’ ipotesi della colpa poiché può ben dimostrare di avere adottato opportuni provvedimenti comportamentali per prevenire il fatto.
La previsione di una costante attività formativa specifica per la Privacy, dedicata al Personale, è una buona dimostrazione di attenzione posta dal Titolare, “spendibile” in caso di violazione del dato e dimostrazione di aver approntato tutte le misure idonee.
La privacy degli Ospiti minorenni.
- Alloggi per minori in strutture ricettive. Art. 109 TULPS)
Minore non accompagnato
- il minore non accompagnato, anche se munito di documento di riconoscimento non può essere ospitato.
Minore accompagnato da persona maggiorenne diversa dai genitori
- in questo caso la persona maggiorenne dovrà munirsi dell’assenso dei genitori del minore e seguire la prassi come se il minorenne facesse parte di un nucleo familiare.
Minore collocato presso la struttura per motivi umanitari:
- in questo caso l’ospitalità è prestata per esigenze della amministrazione, in attesa della presa in carico da parte dei servizi sociali, e pertanto l’esercente è esonerato dal rispetto degli obblighi dell’art. 109 del TULPS.
Schema tratto da nota Ministero Interno, Dipartimento della Pubblica Sicurezza Ufficio per l’Amministrazione Generale- Ufficio per gli Affari della Polizia Amministrativa e Sociale – del 01.09.2008 n. 557/PAS. 13182.12012.
La superiore classificazione ancorché mirata ad un’adeguata garanzia del minore, sembrerebbe indurre il Gestore, preventivamente all’ ingresso nelle camere, a verificare la situazione familiare dei minorenni non sempre desumibile dal cognome che portano (si pensi ai casi di famiglie allargate, a figli che viaggiano con la madre ed il compagno di questa) comportando una intrusione nello scenario di convivenza familiare del minore. A giudizio dello scrivente, la richiesta – pur basata sul fondamento giuridico dell’obbligo di Legge (TULPS) – grava il Gestore di un’ulteriore responsabilità nel trattamento del dato personale del minore che riguarda la condizione della propria Struttura familiare.
Aggiungo anche che, nel caso di due fidanzati di cui solo uno maggiorenne, si configura un ulteriore scenario di investigazione sulle questioni private del/della minore con conseguente onere di trattamento dei dati acquisiti.
Ad integrazione di quanto sopra trattato, si specifica che il minore – comunque sia – non ha la capacità giuridica ad agire (Art. 2 del codice civile: “Con la maggiore età si acquisisce la capacità di compiere tutti gli atti per i quali non sia stabilità un’età diversa”). Stante questa circostanza, il minore non può effettuare prenotazioni (circostanza quasi impossibile da verificare per le prenotazioni ricevute attraverso le OTA) né può stipulare quel negozio, quel rapporto contrattuale che si realizza all’atto della prestazione alberghiera.
- Il caso del Regolamento del Comune di Monreale (Pa) per l’applicazione dell’imposta di soggiorno.
Il Regolamento adottato dal Comune di Monreale ci fornisce uno spunto di come, pur con le migliori intenzioni, talvolta si coinvolgano i Gestori delle Strutture ricettive, intercettando diritti di riservatezza fra l’altro, nello specifico, di minori.
Nell’intento di non gravare sulle famiglie che viaggiano per motivi di salute dei minori, il Comune ha disposto, per queste, l’esenzione dal pagamento dell’imposta. Il concetto è nobile ma discutibile la sua applicazione pratica richiesta all’ art. 5/c “ESENZIONI”: “2. L’applicazione dell’esenzione è subordinata al rilascio al Gestore della Struttura ricettiva, da parte dell’Interessato, di un’attestazione […] contenente le generalità degli accompagnatori/genitori e dei pazienti nonché il periodo di riferimento delle prestazioni sanitarie o del ricovero”.
La presente disposizione, pur finalizzata alla tutela di soggetti che si muovono fuori al proprio territorio per motivi di salute, si ritiene altamente inopportuna e lesiva del diritto alla riservatezza, a maggior ragione, dei minori. E’ inopportuna poiché tali informazioni – che andrebbero, al limite, gestite direttamente fra i due attori: il Comune ed il Minore – vengono fornite al Gestore della Struttura che è sprovvisto di qualsiasi fondamento giuridico per l’ulteriore trattamento: acquisire notizia circa il motivo del viaggio e – addirittura – del periodo del ricovero.
L’ulteriore onere di trattamento, a carico del Gestore – estraneo al contratto alberghiero, al TULPS nonché agli obblighi di gestione del danaro pubblico – troverebbe teorica giustificazione nella qualifica di “Agente contabile di fatto” che questo ricopre per il Comune di Monreale ma comporta un ritorno negativo sul fronte della gestione normativa privacy.
E’ lesiva poiché incide nel diritto di un minore – soggetto terzo sia al Comune che al proprio accompagnatore, anche genitore, – rispetto ai suoi diritti alla riservatezza a maggior ragione verso il Gestore della Struttura ricettiva, soggetto totalmente estraneo nel diritto di conoscenza delle vicende personali e di salute del minore.