Come ogni anno, a luglio, il Garante per la protezione dei dati personali ha presentato la relazione annuale sull’attività svolta nel 2023 illustrando i diversi fronti su cui si è concentrata la sua attività in un anno fortemente caratterizzato da grandi innovazioni tecnologiche fra cui la digitalizzazione, l’Intelligenza Artificiale e il PNRR
Per quanto di ns interesse si segnalano gli interventi sul fronte dell’Intelligenza Artificiale sempre più diffusa anche nell’ambito lavorativo e aziendale. Dopo un iniziale blocco di ChtGPT dovuto alla raccolta illecita di dati personali e l’assenza di sistemi per la verifica dell’età dei minori, la piattaforma è stata riaperta garantendo maggiore trasparenza e maggiori diritti agli utenti. Nel frattempo è stata poi introdotta una task force a livello europeo oltre ad ulteriori verifiche da parte del Garante.
Particolarmente attenzionato anche l’uso di dati biometrici (dati che analizzano le caratteristiche di tipo fisico, fisiologico o comportamentale legati a una persona, che è così individuata e individuabile in modo univoco) e alla diffusione di sistemi di riconoscimento facciale spesso introdotti anche in ambito lavorativi soprattutto per la rilevazione delle presenze.
Sul fronte della Cybersecurity il Garante privacy e l’Agenzia per la Cybersicurezza nazionale hanno messo a punto le Linee Guida per la conservazione delle password in forza del fatto che molte violazioni dei dati personali avvengono sfruttando la cattiva abitudine degli utenti di utilizzare la stessa password per l’accesso a diversi servizi on line. Significativo, a questo proposito, anche il numero dei data breach notificati nel 2023 notificati al Garante che per quanto riguarda il settore privato è pari al 63% ed ha coinvolto PMI e professionisti. Nei casi più gravi sono state applicate anche sanzioni economiche.
Sempre presenti inoltre i provvedimenti assunti nell’ambito del rapporto di lavoro soprattutto con riferimento all’uso della posta elettronica sul luogo di lavoro e all’utilizzo di sistemi di videosorveglianza.
Sul fronte internazionale invece si segnala il parere reso dal Comitato europeo per la protezione dei dati in forza del quale in data 10 luglio 2023 la Commissione europea ha adottato la decisione di adeguatezza sullo EU-U.S. Data Privacy Framework. La decisione di adeguatezza conclude che gli Stati Uniti assicurano un livello adeguato di protezione dei dati personali trasferiti dall’UE alle aziende che partecipano al Framework Con l’adozione della decisione di adeguatezza, le organizzazioni europee sono in grado di trasferire dati personali alle società partecipanti negli Stati Uniti, senza dover mettere in atto ulteriori garanzie di protezione dei dati.
Nel prossimo articolo analizzeremo meglio quali sono i poteri del Garante e soprattutto quali sanzioni può comminare.
Avv. Annalisa Barbaglia