Thread by @prevenzione

Troppo rumore sul databreach della regione Lazio!
Ho bisogno di pensieri nuovi e, per questo, mi sono dedicato alla lettura del provvedimento del Garante Privacy verso DELIVEROO pubblicato ieri: tre ore di meditazione, svago e spensieratezza.
M O N U M E N T A L E
1/n

Nel provvedimento c'è molto di più di che una sanzione da 2,5 M€
Ci sono indicazioni utili su come il Garante intende gestire casi analoghi. Per carità, ogni caso è diverso e molto dipende dai dettagli, tuttavia è giurisprudenza viva, utile. Non tenerne conto sarebbe folle.

Le violazioni riscontrate non sono strane, esoteriche, cervellotiche o fisimatiche. Sono banalissime omissioni, errori e sciatterie degne della peggiore tradizione del copia-incolla.
Vediamole:
...

- Registro dei trattamenti fatiscente
- Informative ai rider fatiscente
- Informative stratificate incongruenti
- Mancata (ritardata) notifica del DPO al Garante
- DPIA assente... perchè l'azienda "non ha ritenuto" di doverla fare

- Acquisizione indiscriminata di ogni dato e conservazione sine die e senza un criterio
- Condivisione dei dati senza motivi tra tutte le aziende del gruppo
- Assenza di misure di sicurezza adeguate

- Dati dei rider trattati in modo opaco, non documentato e non dichiarato, nemmeno al GP
- Conservazione di ogni comunicazione (messaggi, chat, sms, registrazione delle telefonate) per un anno

- Applicazione di trattamenti automatizzati, non dichiarati, non trasparenti, non contestabili dai rider
- Rifiuto di considerare il trattamento come potenzialmente pericoloso o anche solo lesivo dei diritti dei lavoratori

- Rifiuto di considerare "continuativa" la rilevazione della posizione dei rider ogni 12 secondi. Qui veramente allibisco e mi si stringe il cuore pensando al collega che ha dovuto sostenere questa tesi per dovere d'ufficio

- Assenza delle necessarie autorizzazioni previste dallo statuto dei lavoratori (a.d. 1970) per il controllo a distanza. (Peraltro, nessuno si era accorto in azienda che ci fosse una disciplina specifica per i Rider con riferimento e agli strumenti telematici in uso)

- Sfregio del principio di necessità del trattamento
- Sfregio del principio di Minimizzazione
- Sfregio del principio di Limitazione della conservazione
- Assenza del benchè minimo governo dei trattamenti e di quello che l'azienda fa con i dati personali.

- Violazione del principio cardine Privacy by Design e by Default (che, stringi stringi, riassume bene tutto ciò che non è stato fatto o che è stato fatto in violazione del GDPR). Art 25 GDPR, per chi ama i numeri.

Trovo illuminante l'approccio del GP sul tema TITOLARE del trattamento e CONTROLLANTE di gruppo.
Morale: prendere ordini dalla casamadre non è un'esimente.
Questo punto dovrà far riflettere molti DPO e molti C?O.

A tratti il Garante ci catapulta in una commedia brillante quando, ad esempio, per confutare la posizione di terzietà rispetto alle scelte imposte dalla casamadre, si limita a leggere l'oggetto sociale nella visura camerale che riporta esattamente tali prerogative!

Sempre dal fronte estero, è molto interessante che il GP citi espressamente posizioni e decisioni di altre autorità (es. Spagna) rilevanti ed applicabili al caso nostrano, così come richiama d'abitudine il WP29 e l'EDPB

Tutto questo con esclusivo riferimento ai dati dei RIDER... cioè dei lavoratori.
Non oso pensare a cosa potrebbe succedere se al Garante venisse voglia di indagare i trattamenti effettuati sugli utenti e a ciò che succede ai clienti sull'app o sul sito.

Pare che, oltre al DPO di gruppo, siano stati coinvolti illustri colleghi e consulenti... che forse non hanno potuto fare altro che indorare la pillola, ma la realtà resta questa: il GDPR, qui, non sanno nemmeno cosa sia!

O meglio, non lo si conosce per applicarlo ai dati degli altri. Però l'azienda ha formulato alcune richieste di confidenzialità e riservatezza delle informazioni fornite nel corso del procedimento. Ironico

... e indovina un po'...immancabilmente è in corso un titanico progetto di adeguamento al GDPR per tutto il gruppo!
Posso solo pensare che, quindi, sarà facile terminare tutti i cambiamenti imposti dal Garante entri i 60 giorni previsti.

つづく

@sonoclaudio @ebobferraris @DeviLsLawyer_ @_andrea_lisis @CIaudiaGiulia @Pinperepette @lastknight @carolafrediani @raistolo @cgiustozzi @faffa42 @meobaldo @guidoscorza @legale @waltervannini @giordi63 @Vecchi_Paolo ... e a chiunque possa avere la fisima.