Thread by @prevenzione

In radio ho sentito una pubblicità agghiacciante per un DPO. Quanti ci cascheranno? Quanti danni farà questa cosa?

Ovviamente, riguarda il GREEN PASS: verifica il GP dei lavoratori in cloud. Ammiccante!

Prima forse è meglio capire bene di cosa si tratta: 1/n

Il produttore non si presenta bene. Sito ingolfato di tracker (4), dei peggiori, cookie di terze parti, addirittura un keylogger (Yandex) e, ovviamente, nessun avviso e nessun consenso chiesto al visitatore. Decisamente in violazione del GDPR.

Con il cookie banner c'è una chicca: se non accetti i cookies, ti butta fuori e ti manda su google. Ovviamente è una formalità perchè i cookies sono attivi ben prima della comparsa del banner
Aprendo l'informativa campeggia una frase che spiega tutto. Vi credo, è sicuramente così

Il resto dell'informativa è fatiscente, non dice nulla di ciò che dovrebbe e quel poco che dice continente grossolani errori.

Non partiamo bene. Io non darei il mio GP ad un'azienda che si presenta violando il GDPR... e non darei nemmeno quello dei miei lavoratori.

Comunque..

VENIAMO AL PRODOTTO... Nessun header di sicurezza nel codice HTML.
Cookie di terze parti ma, almeno, è più pulito del sito principale. Il cookie banner non funziona perchè non disabilità l'analytics... transeat, non è a norma ma non è grave.

L'AZIENDA deve creare l'anagrafica dei lavoratori (con una miriade di dati non necessari (alla faccia del principio di minimizzazione) che, a loro volta, devono caricare il proprio QRCode.

CARICARE IL QRCODE? Trasalisco.
"Può farlo solo il lavoratore" e vorrei ben vedere!

Ottimo, quindi significa che IL TITOLARE HA GENERATO UN ARCHIVIO DEI QRCODE. E' vietato dalla legge sul controllo dei GP e dal GDPR oltre che ribadito dal Garante.

Non è tutto. C'è lo storico delle verifiche! Qui mi taccio per non diventare scurrile ma è una follia per un DPO

Poi si trova un'altra chicca: "Per garantire la compliance con le direttive del garante, l’immagine viene distrutta automaticamente contestualmente alla registrazione dell’esito della verifica."

Garantire la compliance con le direttive del garante???

Il lavoratore, come minimo, dovrebbe poter dire NO GRAZIE (opposizione) all'uso di questo sistema e richiedere una verifica ordinaria, ma dubito che verrebbe interpellato.
Mi incuriosisce l'idea di QUALE BASE DI LEGITTIMAZIONE potrà mai indicare l'azienda.

Nota tecnica: le spiegazioni date dal produttore per ammantare di legalità questo tool sono risibili.
C'è un database contenente i QRCode, voluto dal Titolare, viola il GDPR in troppi modi per stare in un tweet.

Se non fosse chiaro: LA RESPONSABILITA' DELLE VIOLAZIONI IN MATERIA DI PRIVACY E' DELL'AZIENDA CHE USA QUESTO SISTEMA!

Piuttosto, io preferirei mille volte non fare alcun controllo sul G.P. e prendermi una (eventuale) sanzione amministrativa. Non c'è paragone.

Consiglio per il produttore: contattate un DPO e in fretta, ce ne sono molti a spasso.

Consiglio per le aziende: lo avete acquistato? Buona fortuna! (ditelo al DPO)

Consiglio per i lavoratori: se vi chiedono di caricare il vostro QRCode o GP da qualche parte, non fatelo. MAI.

...Però il logo è bello.

Per la serie “la risposta ad una domanda che nessuno ha mai posto”:
Perché dovrei verificare centralmente il Green pass di lavoratori che non entrano nei luoghi di lavoro? La legge non chiede questo. E se ho più sedi, non è più semplice delegare al controllo altri lavoratori?

Avevo la sensazione di aver dimenticato qualcosa...
eh, si.

L'esempio di caricamento illustra un green pass completo, non un QRCode.
Questo è molto molto brutto poichè, oltre al QRCodce, che è l'unica cosa che serve per la verifica, si trattano TUTTI i dati sanitari.

forse, tutto ciò, è un grande equivoco: forse è solo UN SITO HCE VUOLE FARE DELLE COSE e altra gente, non so bene chi, ne poi ne farà altre.
E io dovrei acconsentire? Ma certo, perchè no.

Non è noto, oltre alla grammatica, che la base di legittimazione sia il Contratto?

Ribadisco il consiglio per gli sviluppatori: contattate un DPO.

Dopo i tweet, qualche cambiamento c'è stato, tuttavia non va nella direzione giusta:

L'informativa privacy NON SI ACCETTA. Ma proprio no! Non chiedetelo.
Il titolare deve dare l'informativa, l'utente la riceve.