FIAIP è il principale punto di riferimento per la crescita professionale, normativa e culturale degli agenti immobiliari su scala nazionale. Le delegazioni locali mettono a terra il lavoro, favorendo momenti di confronto, aggiornamento e formazione che spesso coinvolgono professionisti complementari.

Dal 2018, SDBA Benefit è convenzionato con FIAIP Lecco: affianca la Federazione nella divulgazione di una cultura giuridica e fiscale consapevole, con particolare attenzione a temi che incidono direttamente sull’attività degli agenti immobiliari. Tra questi, la privacy e il GDPR occupano un ruolo centrale, soprattutto in un settore che gestisce quotidianamente dati personali, informazioni sensibili e documentazione contrattuale.
Accanto a questi aspetti, vengono approfonditi anche i temi legati alla tassazione immobiliare e alle agevolazioni fiscali, fornendo una lettura aggiornata delle opportunità e dei rischi connessi alle operazioni immobiliari.

La collaborazione si traduce in seminari e momenti formativi rivolti agli agenti immobiliari lecchesi. In queste occasioni, Stefano della Bella e Lorenzo della Bella mettono a disposizione il proprio know how teorico per fornire strumenti operativi che possano essere applicati concretamente nell’attività quotidiana, aumentando la consapevolezza e riducendo i margini di rischio.

L'articolo SDBA Benefit e FIAIP Lecco: al servizio della cultura giuridica e fiscale nel settore immobiliare proviene da SDBA Benefit.

Questo articolo inaugura la rubrica Governare l’AI, un percorso per aiutare le imprese a comprendere e gestire con lucidità le implicazioni giuridiche, organizzative e strategiche dell’intelligenza artificiale.

AI e HR

Come viene utilizzata oggi l’AI nelle Risorse Umane? Quali vantaggi promette e quali rischi introduce? Chi è responsabile delle decisioni prese da un algoritmo?

Le aziende stanno integrando sistemi di AI nei processi di gestione del personale, spesso attratte dalla promessa di efficienza e oggettività.
Il mercato dell’AI nei processi HR è cresciuto del +32% nel 2022 rispetto al 2021, e il 96% dei recruiter senior ritiene che l’IA possa supportare l’acquisizione e la retention dei talenti.
Software di screening automatico analizzano migliaia di CV in pochi secondi, algoritmi di valutazione misurano performance, modelli predittivi analizzano il “sentiment” dei dipendenti.

Dietro l’apparente neutralità dell’intelligenza artificiale si nascondono tre rischi principali:

• Un algoritmo addestrato su dati distorti può replicare o amplificare bias esistenti, penalizzando intere categorie di candidati. 
• La mancanza di trasparenza rende difficile comprendere o contestare le decisioni. 
• E la raccolta massiva di informazioni personali può violare norme sul trattamento dei dati.

Il risultato è una delega silenziosa: le macchine non decidono da sole, ma influenzano in modo crescente le scelte umane.

Il quadro normativo

• In Italia, la Legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025, introduce un quadro nazionale che allinea l’Italia alla strategia europea: trasparenza, correttezza, tutela dei diritti fondamentali e controllo umano nei sistemi di AI.
• L’AI Act classifica i sistemi di intelligenza artificiale utilizzati in ambito HR come ad alto rischio, imponendo audit, trasparenza e controllo umano.
• Il GDPR rimane il riferimento per i trattamenti automatizzati e la profilazione, riconoscendo il diritto dell’interessato a conoscere la logica che regola un algoritmo.

Nel pratico:

• Se una procedura di selezione utilizza sistemi di IA per filtrare CV o valutare candidati, l’azienda deve garantire trasparenza e informare i candidati/ dipendenti dell’uso automatizzato.
• Deve esistere un controllo umano significativo: l’AI non può essere l’unico decisore, soprattutto quando impatta su aspetti che riguardano diritti o condizioni di lavoro.
• Il datore di lavoro deve assicurare che lo strumento non contrasti con la dignità della persona o comporti profilazioni non giustificate: l’articolazione della legge indica il divieto di trattamenti automatici che “svolgano in contrasto” con tali principi.

DI fatto, la nuova legge sull’AI è di tipo quadro e molte disposizioni operative arriveranno tramite decreti attuativi: manca ancora chiarezza totale su come applicare l’informativa al candidato, sul livello minimo di trasparenza richiesta agli algoritmi HR.
Tuttavia, anche se la legge non entra nel dettaglio sui processi HR, la formulazione “ambito lavorativo” e “utilizzo nei luoghi di lavoro” rende l’applicazione rilevante per tutte le casistiche associate.

Governare l’AI in modo consapevole

Queste regole non vogliono frenare l’innovazione, ma garantire che resti uno strumento di miglioramento, non di esclusione.

Affidarsi all’intelligenza artificiale per gestire le persone significa assumersi una responsabilità più grande, non più piccola!In SDBA Benefit accompagniamo i progetti di digitalizzazione HR con una consulenza che unisce diritto, fiscalità e strategia organizzativa.
In particolare, la partnership di SDBA Benefit con Skillvue, per cui Lorenzo della Bella è responsabile della protezione dati (DpO), dimostra concretamente come l’integrazione virtuosa tra AI e HR possa generare casi studio utili alle imprese interessate.

L'articolo I rischi (sottovalutati) dell’intelligenza artificiale in HR proviene da SDBA Benefit.

Dal 1949, partendo da una piccola produzione di molle e minuterie metalliche a Lecco, l’azienda ha costantemente spinto la propria produzione all’interno di un mercato globale, che ora coinvolge stabilimenti in Italia, Europa, Brasile e Nord America. 

M.S.Ambrogio ha affermato la propria competitività diventando Gruppo e acquisendo cinque aziende produttive: Aldeghi Costruzione Stampi, Fede Precision Springs, Springfix, Springfix Hungary KFT, Rapitech Smart Metal Fasteners. Stiamo parlando di 280 linee di produzione, 700 dipendenti e 4,1 miliardi di pezzi prodotti annualmente – principalmente per il settore dell’automotive, il settore elettrico ed elettronico.

M.S.Ambrogio  è un’azienda “modello”, che si distingue sia per il percorso di crescita internazionale, che per iniziative di valore per i dipendenti e la comunità.

Aspetto che ci rende ancor più orgogliosi di stringere la collaborazione. 

L’avvocato Lorenzo della Bella entra in azienda come DpO, per la protezione dei dati di una realtà così ampia e strutturata. SDBA BENEFIT metterà a disposizione il proprio know-how legale e strategico, accompagnando M.S.Ambrogio nel consolidamento di un modello di gestione conforme e sicuro.

Affiancare realtà di questo calibro è una responsabilità che prendiamo con serietà, è soprattutto un onore affiancare un grande brand che riconosce dovuta importanza alla responsabilità sociale e alla competenza legale e fiscale, in un progetto solido e duraturo.

L'articolo M.S.Ambrogio Group sceglie SDBA per la protezione dati proviene da SDBA Benefit.

Fondata su solide radici artigiane, l’azienda ha intrapreso un percorso di crescita costante che l’ha portata a servire diversi mercati, in Italia e all’estero. Moba Eurotubi è stata in grado di rispondere alla crescente richiesta del mercato, ampliando la propria presenza in contesti internazionali esigenti.

Oggi Moba Eurotubi produce 150 milioni di pezzi in un anno, per un ventaglio di settori dai più disparati: le anime in cartone vengono adoperate da aziende che producono film plastici ad uso industriale e alimentare, cartiere, tessili e tessuto non tessuto, nastri adesivi ed etichette, metalli, imballo e protettivi. Fino a toccare settori più speciali come quello medicale, pirotecnico, termocoppie, tubi per edilizia/costruzioni ed irrigazione.

Con la nomina del DpO, Moba Eurotubi investe nella sicurezza delle informazioni dei propri clienti, fornitori e collaboratori – in linea con le normative e le aspettative degli stakeholders. SDBA BENEFIT supporta questo percorso mettendo a disposizione le proprie competenze, lavorando a vantaggio di un made in Italy che sa competere su scala internazionale.

L'articolo SDBA con Moba Eurotubi, una realtà locale nel mercato internazionale proviene da SDBA Benefit.

Appoggiandosi a Skillvue, le aziende sono in grado di raccogliere i dati personali e professionali dei propri candidati per tracciare il profilo di compatibilità di ogni individuo, che mette in evidenza abilità, potenzialità e percorsi di crescita. Skillvue permette di superare gli approcci generici e inefficaci di reclutamento, offrendo soluzioni personalizzate che uniscono efficienza e rispetto per chi fornisce i propri dati.

Grazie ad algoritmi evoluti, la piattaforma trasforma dati in insight, che mantengono al centro le persone nell’ottica di potenziare il talento e a costruire team più coesi.

Uno strumento fantastico, ma c’è un punto che richiede la massima attenzione. L’intelligenza artificiale non è altro che un sistema di apprendimento basato sui dati. E quei dati appartengono alle persone. Se non trattati con cura, rispetto e sicurezza, possono trasformarsi da un asset in una minaccia.

Ecco perché Lorenzo della Bella assume il ruolo di Data Protection Officer di Skillvue, assicurando che vengano rispettate tutte le best practice per il rispetto della privacy.

Perché la protezione dei dati è la vera sfida dell’AI?

La fiducia è il vero valore: le aziende che ignorano la sicurezza dei dati perderanno più di una causa legale. Perderanno la fiducia dei loro utenti. L’innovazione è nulla senza etica e barriere di sicurezza. Creare tecnologia significa assumersi una responsabilità e proteggere i dati significa proteggere il futuro.

La strada giusta? Innovare con consapevolezza.

Skillvue dà il buon esempio combinando l’evoluzione digitale con una gestione responsabile della privacy. E noi di SDBA Benefit mettiamo il nostro know-how al servizio di questa visione, con intelligenza e senza compromessi.

Vuoi costruire il futuro senza rischi? Comincia proteggendo le fondamenta: i dati.

L'articolo Proteggere i dati nell’era dell’AI: la sfida di Skillvue con il supporto di SDBA Benefit proviene da SDBA Benefit.

Il primo fra tali criteri è sintetizzato dall’espressione inglese “data protection by default and by design” (si veda art. 25), ossia dalla necessità di configurare il trattamento prevedendo fin dall’inizio le garanzie indispensabili “al fine di soddisfare i requisiti” del regolamento e tutelare i diritti degli interessati – tenendo conto del contesto complessivo ove il trattamento si colloca e dei rischi per i diritti e le libertà degli interessati. Tutto questo deve avvenire a monte, prima di procedere al trattamento dei dati vero e proprio (“sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”, secondo quanto afferma l’art. 25 del Regolamento) e richiede, pertanto, un’analisi preventiva e un impegno applicativo da parte dei titolari che devono sostanziarsi in una serie di attività specifiche e dimostrabili.

E proprio la parola responsabilità costituisce il concetto cardine anche alla base del nuovo Regolamento UE, all’interno del quale, l’ “Accountability” rappresenta uno dei pilastri su cui si fonda tutto l’impianto normativo del GDPR.

Cosa significa innanzitutto Accountability? 

Significa “responsabilizzazione” anche se il termine “accountability” non è facilmente traducibile e tale traduzione sia la più frequente ma non da tutti condivisa (alcuni parlano anche proposto traduzioni quali: “responsabilità rafforzata”, “assicurazione”, “affidabilità”, “attendibilità” “rendicontazione”).

In altri termini, il principio in commento impone al Titolare del trattamento l’adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del Regolamento 679/2016.

Si tratta di una grande novità per la protezione dei dati in quanto viene affidato ai Titolari del trattamento il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali – nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel Regolamento GDPR.

Al fine di rispettare tali prescrizioni, le aziende sono tenute ad attuare misure tecniche ed organizzative adeguate e spetta alle organizzazioni stesse dimostrare non solo gli interventi messi in atto ma anche la loro efficacia.

Questo significa che l’onere di dimostrare la conformità alla legge spetta in primo luogo alle organizzazioni e non alle autorità che operano nell’ambito della protezione dei dati.

Il principio di accountability, oltre a permeare tutto l’impianto del GDRP, trova la sua compiuta definizione negli articoli 5 e 25. L’articolo 5, in particolare, stabilisce la responsabilità del titolare del trattamento quale garante del fatto che il trattamento sia effettuato in modo conforme allo stesso regolamento. Modalità, garanzie e limiti del trattamento dei dati personali possono essere autonomamente stabilite dal titolare del trattamento.

All’articolo 25 si parla, invece, della valutazione di conformità che il titolare stesso deve compiere, tenendo conto di alcuni aspetti, tra cui: Tipologia di dati personali trattati; Rischi derivanti dal trattamento; Adeguamento delle misure sia tecniche che organizzative affinché, per ogni specifica finalità del trattamento, siano trattati solo i dati personali necessari; Tipologia di trattamento effettuato.

L’intervento delle autorità di controllo si svolgerà quindi successivamente alle determinazioni assunte autonomamente dal titolare.

Peraltro, alle autorità di controllo, e in particolare al “Comitato europeo della protezione dei dati” spetterà un ruolo fondamentale al fine di garantire uniformità di approccio e fornire ausili interpretativi e analitici: il Comitato è chiamato, infatti, a produrre linee-guida e altri documenti di indirizzo su queste e altre tematiche connesse, anche per garantire quegli adattamenti che si renderanno necessari alla luce dello sviluppo delle tecnologie e dei sistemi di trattamento dati.

L'articolo GDPR: il nuovo approccio alla tutela dei dati personali proviene da SDBA Benefit.

Era quindi fondamentale conseguire un ombrello normativo all’interno dell’UE; l’obiettivo si è raggiunto grazie all’adozione del Regolamento 679/2016 (GDPR) in tema di privacy e trattamento dei dati personali.

Numerose le novità introdotte dal nuovo Regolamento; tra queste assumono una particolare importanza le sanzioni formanti un apparato sanzionatorio unico ed armonizzato in tutti gli Stati Membri e che, al contempo, si presenta molto severo, prevedendo multe che potranno arrivare fino a 20 milioni di euro o al 4% del fatturato globale del trasgressore.

Cifre che neanche le aziende più grandi e le multinazionali possono permettersi di prendere alla leggera.

E’ un binomio stretto quello che intercorre tra il Regolamento UE 679/16 e la trasformazione digitale delle aziende.

Il GDPR, oltre a definire nuovi diritti per le persone, nuove figure di garanzia e nuovi obblighi per le aziende, ha riflessi diretti nel settore dell’innovazione digitale.

Nel nuovo Regolamento la definizione data protection ha preso il posto della parola privacy. Il termine scelto ha un significato molto più vasto e pone l’accento su un cambio di prospettiva: il problema di fondo non è semplicemente essere in possesso di dati personali, ma saperli gestire nel modo corretto alla luce dell’evoluzione digitale sempre più imperante.

E’ un mondo nuovo quello che ci attende, a seguito anche dell’accelerazione digitale imposta dall’emergenza sanitaria ancora in corso.

Una pandemia che ci ha messo di fronte ad un modo nuovo di lavorare, attraverso le regole smart working, o nel gestire le necessità quotidiane mediante un sms o una APP: abbiamo fatto ricorso ad un sms per richiedere un medicinale attraverso la ricetta medica elettronica o ordinato cibo a domicilio mediante una App di food deliveroo.

Il Titolare del trattamento, oggi, è chiamato quindi a rispondere con attenzione e forte responsabilità alle prescrizioni del GDPR in quanto tanto più l’innovazione digitale si impone tanto più la protezione dei dati personali diventa un tema centrale.

La consapevolezza della criticità del trattamento di dati personali in ogni processo di innovazione digitale deve elevarsi a elemento acquisito dalla cultura aziendale

Il GDPR ha sancito due principi cardine, sul tema, ossia il Data protection by design e Data protection impact assessment, che hanno notevoli conseguenze pratiche sul piano organizzativo e operativo dell’azienda.

In particolare, il Privacy by design, lo ricordiamo, riguarda il principio di incorporazione della privacy a partire dalla progettazione di un processo aziendale con le relative applicazioni informatiche di supporto.

Nello specifico il principio è costituito dalla prescrizione per cui:

“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati”.

Il profilo del rischio di una violazione dei dati personali, che l’applicazione dei due citati principi dovrebbe essere in grado di contenere, richiama necessariamente il concetto di sicurezza informatica, ossia l’insieme di metodologie e tecniche da impiegare perché un’impresa possa proteggere il proprio patrimonio di informazioni garantendo la disponibilità e l’integrità dei dati, nonchè la salvaguardia del patrimonio informativo, riducendo al contempo – a livelli accettabili- i rischi connessi all’accesso alle informazioni (intrusioni, furto di dati, ecc.).

A tutto ciò si aggiunga il fenomeno cd. dell’INTERNET of THINGS (IoT) alla cui base ci sono   gli oggetti intelligenti (i cosiddetti “smart objects”).

Con tale espressione non ci riferiamo più solo ai più comuni oggetti tecnologici, quali computer, smartphone e tablet, ma soprattutto a quegli oggetti che ci circondano all’interno delle nostre case, al lavoro, nelle città, nella vita di tutti i giorni. L’Internet of Things nasce proprio qui: dall’idea di portare nel mondo digitale gli oggetti della nostra esperienza quotidiana.

Gli esempi sono numerosissimi: a partire dalle automobili, inizialmente rese connesse “solo” tramite box GPS-GPRS con finalità assicurative, oggi, invece, dotate di connettività della strumentalizzazione già in fase di produzione, fino ad arrivare agli oggetti concernenti l’ambiente domestico (dalla domotica cablata a soluzioni wireless sempre più alla portata di tutti, caratterizzate da servizi in cloud e dall’uso crescente dell’Intelligenza Artificiale caratterizzata da oggetti gestibili a distanza o con l’uso della voce). 

Non meno interessante sottolineare l’intento del nuovo Regolamento di rafforzare le sanzioni, come già evidenziato in premessa, soprattutto nella loro entità, inasprendo le sanzioni di carattere pecuniario e ampliando la casistica delle prescrizioni del Regolamento che sanciscono l’illiceità di una determinata tipologia di circolazione del dato.

Si potrebbe quasi azzardare un “parallelo” con la filosofia alla base della nota categoria dei c.d. danni punitivi, caratterizzati da una funzione deterrente che si va ad aggiungere a quella reintegrativa del patrimonio, tipica della responsabilità civile.

Per quanto riguarda i criteri generali di applicazione delle sanzioni amministrative, l’art. 83 GDPR precisa che quelle di natura pecuniarie, devono risultare in concreto: effettive, proporzionate e dissuasive. Nei singoli casi, l’Autorità garante può decidere se applicare le sanzioni amministrative pecuniarie in aggiunta alle misure di carattere prescrittivo, interdittivo o al posto di tali misure . 

Ad esempio, in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria. 

Doveroso ancora precisare che il Regolamento UE prevede, all’art. 82, una responsabilità risarcitoria civile da “danno da trattamento” cui va il merito, rispetto all’art. 15 del nostro Codice Privacy, di codificare meglio il tipo di danno risarcibile. Viene infatti stabilito, in maniera più dettagliata, che ha diritto di ottenere il risarcimento del danno, da parte del titolare del trattamento (o dal responsabile), il soggetto che subisce un danno materiale o immateriale derivante dalla violazione del Regolamento stesso

Si ricorda al lettore che ai sensi dell’art 82 GDPR “Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento”. Un titolare del trattamento coinvolto nel trattamento risponde quindi per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento. 

Il rapporto fra azienda e innovazione non può quindi prescindere dal rispetto del GDPR, fermo restando che tutto il Regolamento ruota intorno all’accountability del Titolare che deve essere in grado di giustificare le scelte compiute in tema di data protection rispetto alla complessità dell’intera organizzazione di cui risponde in termini di compliance.

Eleonora Mataloni

L'articolo <strong>Il Regolamento 679/2016: la protezione dei dati personali alla luce del GDPR</strong> proviene da SDBA Benefit.

Ed invero, l’utilizzo di tale strumento per ottenere informazioni dall’utenza non dovrebbe comportare necessariamente la raccolta di informazioni riconducibili a soggetti identificati o identificabili. In tale quadro, non andrebbero acquisite le generalità o altri dati identificativi dell’interessato, salvo che gli scopi del sondaggio non possano essere altrimenti realizzati e rendano pertanto necessario raccogliere tali dati (salvo la ricezione del questionario da parte degli utenti a mezzo mail). Qualora, all’esito delle suddette valutazioni, si scelga di utilizzare un questionario che garantisca l’anonimato e non sia inviato a mezzo mail, il trattamento delle informazioni raccolte non ricade nell’applicazione della normativa in materia di protezione dei dati personali; se al contrario la somministrazione del questionario avviene tramite email e si rende quindi, necessario acquisire elementi utili a contattare successivamente il soggetto da intervistare, si ha l’identificazione del soggetto.

La raccolta di queste informazioni, anche qualora non richieda l’indicazione dei dati anagrafici dei soggetti rispondenti, può essere suscettibile di consentire l’identificazione degli utenti. Ciò, anche in relazione all’eventuale circostanza che il questionario contiene domande aperte (per le quali il contenuto della risposta non è stato predeterminato) o richieda di indicare, in campi liberi, ulteriori osservazioni, suggerimenti o commenti nei quali il rispondente potrebbe riportare informazioni che rendano agevole la sua identificabilità.

In relazione a ciò si è predisposta in ogni caso l’informativa in quanto le suddette informazioni, singolarmente o nel loro complesso, o anche l’associazione di queste con altri dati detenuti dall’Ente (archivi o altre fonti di informazioni contenenti dati identificativi degli utenti insieme a talune informazioni raccolte tramite il questionario o archivi anche non nominativi che forniscono ulteriori informazioni oltre a quelle raccolte tramite il questionario), pure per altri scopi (ad esempio, amministrativi), possono, a determinate condizioni, rendere identificabili gli interessati.

In ogni caso, le successive fasi di elaborazione e di memorizzazione dei dati raccolti non devono permettere di identificare gli interessati, neanche indirettamente, mediante un riferimento ad una qualsiasi altra informazione (art. 11, comma 1, lett. e) del Codice). 

In tutte queste ipotesi, lo svolgimento del sondaggio comporta un trattamento di dati personali che va, pertanto, effettuato nel rispetto dei princìpi di pertinenza e non eccedenza (art. 5 GDPR) e degli altri accorgimenti previsti dalla disciplina sulla protezione dei dati.

Rispetto al conferimento dei dati richiesti dal questionario è necessario un conferimento facoltativo dei dati richiesti, precisando che un eventuale rifiuto di fornirli non avrà conseguenze negative sulla possibilità di inviare il questionario. 

Sotto il profilo del consenso dei minori, alla luce dell’art. art. 8 GDPR, che disciplina le condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione, per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni ma gli Stati membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore ai 13 anni.

Per quanto riguarda l’Italia, nell’ambito dei servizi della società dell’informazione (ovvero resi a distanza, per via elettronica, attraverso strumenti informatici), l’art. 2 quinquies del D.Lgs. n. 196/2003 ha previsto che l’età per esprimere il consenso al trattamento dei dati personali del minore sia fissata in 14 anni; sotto tale soglia il trattamento dei dati personali del minore è lecito solo se il consenso sia stato prestato da chi esercita la responsabilità genitoriale.

Si ricordi ancora il Considerando n. 38, a mente del quale, “I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalità o di utente e la raccolta di dati personali relativi ai minori all’atto dell’utilizzo di servizi forniti direttamente a un minore. Il consenso del titolare della responsabilità genitoriale non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore” nonché il Considerando n. 58 che dispone testualmente che: Il principio della trasparenza impone che le informazioni destinate al pubblico o all’interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro, oltre che, se del caso, una visualizzazione. Tali informazioni potrebbero essere fornite in formato elettronico, ad esempio, se destinate al pubblico, attraverso un sito web. Ciò è particolarmente utile in situazioni in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se, da chi e per quali finalità sono raccolti dati personali che lo riguardano, quali la pubblicità online. Dato che i minori meritano una protezione specifica, quando il trattamento dati li riguarda, qualsiasi informazione e comunicazione dovrebbe utilizzare un linguaggio semplice e chiaro che un minore possa capire facilmente.

L'articolo Questionario anonimo e GDPR proviene da SDBA Benefit.

È doverosa questa promessa perché da un punto di vista di analisi strettamente legale il provvedimento è a carattere individuale e contiene solo un’ammonizione (e non già una sanzione).

In ogni caso, fa emergere un problema destinato a diventare ben presto oggetto di Linee guida del Garante stesso per cui è bene cominciare a capire come arginare, nell’immediato e poi stabilmente, la questione dell’uso di Google Analytics. 

Il Garante ha adottato tale decisione, a seguito di segnalazione fatta da un soggetto privato, con cui ha ammonito Caffeina Media S.r.l. titolare del proprio sito web, ingiungendo alla stessa di conformarsi al Regolamento europeo entro novanta giorni cui ha concesso 90 giorni per consentire al gestore di adottare misure adeguate al trasferimento, pena la sospensione dei flussi di dati effettuati, per il tramite di GA, verso gli Stati Uniti.

Dall’indagine del Garante è emerso che i gestori dei siti web che utilizzano Google Analytics raccolgono, mediante cookie, informazioni sulle interazioni degli utenti con i predetti siti, le singole pagine visitate e i servizi proposti. Tra i molteplici dati raccolti, indirizzo IP del dispositivo dell’utente e informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, nonché data e ora della visita al sito web. Tali informazioni sono risultate oggetto di trasferimento verso gli Stati Uniti. Nel dichiarare l’illiceità del trattamento è stato ribadito che l’indirizzo IP costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso.

Un passaggio fondamentale del provvedimento verte infatti proprio sull’opzione cd. IP- Anonymization” prevista da Google Analytics.

Sotto questo profilo il Garante ha ritenuto che l’anonimizzazione non sia misura sufficiente al fine di garantire la giusta tutela richiesta dalla normativa. In particolare, l’Autorità ha affermato infatti che “l’indirizzo IP costituisce un dato personale nella misura in cui consenta di identificare un dispositivo di comunicazione elettronica, rendendo pertanto indirettamente identificabile l’interessato in qualità di utente, soprattutto nei casi in cui l’IP sia associato ad altre informazioni relative al browser utilizzato, alla data e all’ora della navigazione“. Sulla base di questo presupposto fondamentale, il Garante ha poi rilevato che l’opzione IP-Anonymization” consiste di fatto in un oscuramento dell’ottetto meno significativo dell’indirizzo IP e che ciò “non impedisce a Google LLC di re-identificare l’utente medesimo, tenuto conto delle informazioni complessivamente detenute dalla stessa relative agli utenti del web“.

Ciò, soprattutto, nel caso in cui l’utente, in fase di navigazione, abbia effettuato l’accesso al suo account Google: in questo caso sarebbe possibile associare l’IP ad altre informazioni aggiuntive di cui Google è già in possesso quali, ad esempio, indirizzo e-mail, numero di telefono e altri dati personali, tra cui genere, data di nascita e immagine del profilo.

Con riguardo invece alla cifratura dei dati, l’Autorità ha ritenuto la misura inadeguata, sostenendo che la stessa non sia sufficiente ad evitare i rischi di accesso ai dati da parte di Autorità pubbliche degli Stati Uniti. 

A seguito della pronuncia, non sono emerse indicazioni precise e/o azioni consigliate da parte del Garante.

Vi è un generale richiamo rivolto a tutti i gestori italiani di siti web, pubblici e privati, a verificare l’effettiva illiceità dei trasferimenti effettuati verso gli Stati Uniti attraverso Google Analytics, anche in considerazione delle numerose segnalazioni che si stanno registrando a seguito di detta pronuncia.

L’Autorità auspica che ogni Titolare proceda con le dovute verifiche circa la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics.

Il consiglio è, pertanto, quello di dismettere l’utilizzo di Google Analytics e valutare strumenti alternativi da adottare all’uso di Google Analytics.

Si suggerisce inoltre ai Titolari del trattamento gestori di siti web di valutare se, almeno a livello di privacy policy, si è a norma ex GDPR perché il rischio di ispezione / segnalazione da parte dell’Autorità Garante è più alto che mai.

L'articolo Anche il Garante italiano dice stop all’uso degli Analytics proviene da SDBA Benefit.

La base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del Regolamento 679/16, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX , comprendenti, a titolo esemplificativo, la conciliazione con la libera d’espressione e con la libertà di informazione. 

Significativo, anche il riferimento all’art.10 del Reg. U.E. n. 2016/679 a mente del quale: «Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati».

La tematica del binomio: antiriciclaggio-GDPR, tocca anche il nostro Codice in materia di protezione dei dati personali, come modificato dal Dlgs. N. 101 del 2018, il cui art. 2 sancisce che il trattamento di dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza è consentito se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, riguardanti, in particolare:

• l’adempimento degli obblighi previsti dalle normative vigenti in materia di prevenzione dell’uso del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo.

Le connessioni tra antiriciclaggio e GDPR riguardano infine anche il Regolamento n. 55/2022, recante disposizioni in materia di comunicazione, accesso e consultazione dei dati e delle informazioni relativi alla titolarità effettiva di imprese dotate di personalità giuridica, di persone giuridiche private, di trust produttivi di effetti giuridici rilevanti ai fini fiscali e di istituti giuridici.

In particolare, è l’art. 11, c. 1 che sancisce che « La Camera di commercio territorialmente competente a ricevere le comunicazioni dei dati e delle informazioni ai sensi dell’articolo 3 e dell’articolo 4, è titolare del trattamento degli stessi ai sensi e per gli effetti della normativa vigente. »

Il comma 2, del medesimo articolo in commento dispone ancora che I dati e le informazioni di cui al comma 1, sono resi disponibili nella sezione autonoma e nella sezione speciale del registro delle imprese in conformità con quanto disposto dal presente decreto e per un periodo di dieci anni decorrente o dall’ultima comunicazione della loro variazione o dall’ultima conferma annuale mentre il comma 4 dell’art. 11 in commento, « Il gestore, ossia l’Infocamere s.coop.p.a., conserva separatamente nel sistema informativo le informazioni comunicate ai sensi dell’articolo 4, comma 1, lettera e), ed in particolare in merito alle circostanze eccezionali suscitanti l’esclusione dell’accesso alle informazioni sulla titolarità effettiva], adottando specifiche misure tecniche e organizzative volte ad assicurare accessi selettivi ai dati personali ivi contenuti da parte dei soli soggetti autorizzati dalla Camera di commercio a effettuare le valutazioni di cui all’articolo 7, comma 3, in merito all’autorizzazione all’accesso e rende i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi attraverso l’adozione di tecniche crittografiche.

Il comma 3, inoltre, è particolarmente interessante per il richiamo alla verifica preventiva del Garante per la protezione dei dati personali ed invero si legge testualmente che: « Entro trenta giorni dalla data di entrata in vigore del presente decreto, ossia entro sabato 9 luglio 2022 e, in ogni caso, prima del trattamento dei dati, il gestore, sempre Infocamere s.coop.p.a., per conto del titolare del trattamento, predispone un disciplinare tecnico, sottoposto alla verifica preventiva del Garante per la protezione dei dati personali, volto a definire misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, ai sensi dell’articolo 32 GDPR.

L'articolo La normativa antiriciclaggio e le implicazioni con il GDPR – Parte 2 proviene da SDBA Benefit.