PRIVACY & COOKIE POLICY

Privacy & Cookie Policy, aggiornata al e GDPR (25 maggio 2018):

Integrazione del precedente regolamento sulla privacy pubblicato nel 2015 in occasione del provvedimento sull’ “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie“, redatto dal Garante Italiano della Privacy l’ 8 maggio 2014 (e poi pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014) ed entrata in vigore nella giornata del 2 giugno 2015. L’integrazione è dovuta all’entrata in vigore della “Riforma 2018 delle norme UE sulla protezione dei dati”, ovvero il “ Regolamento generale sulla protezione dei dati” più conosciuto con l’acronimo inglese GDPR, che entrerà in vigore il 25 maggio 2018. La nuova normativa chiarisce quali sono i dati personali, quali sono i diritti dell’utenza e quali i doveri delle imprese siano esse sul web o meno, il tutto con una duplice valenza:

le persone avranno più controllo sui loro dati personali.
le imprese godranno di condizioni di parità.

Per saperne di più, oltre a leggere questa breve introduzione, potete consultare:

Norme per le imprese e le organizzazioni: applicazione del regolamento GDPR, obblighi, richieste delle persone, applicazione delle norme
Diritti per i cittadini: Protezione dei dati personali, diritti e ricorsi
Riforma 2018 delle norme UE sulla protezione dei dati (sito dell’Unione Europea)
Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali (PDF)
Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali (sul sito del garante della privacy italiano)
Cosa Cambia dal maggio 2018? (una guida più veloce)

Che cosa sono i dati personali?

I dati personali sono tutte le informazioni relative a una persona vivente identificata o identificabile. Anche le varie informazioni che, raccolte insieme, possono portare all’identificazione di una determinata persona costituiscono i dati personali. Da notare come anche i dati personali sottoposti a deidentificazione, cifratura o pseudonimizzazione, ma che possono essere utilizzati per reidentificare una persona, rimangono dati personali e rientrano nell’ambito di applicazione della normativa.

Esempio di dati personali: nome e cognome, indirizzo di casa, indirizzo e-mail come nome.cognome@azienda.com, numero della carta d’identità, dati sulla posizione (ad es. la funzione di posizionamento su un telefono cellulare), un indirizzo IP (Internet Protocol), un ID cookie, l’identificativo pubblicitario del proprio telefono, i dati conservati in un ospedale o da un medico, che possono essere un simbolo che identifica univocamente una persona.

I diritti degli utenti

Il diritto ad essere informati: le organizzazioni devono fornire agli utenti informazioni sulle attività di trattamento dei dati che svolgono. Tali informazioni possono essere fornite per iscritto, anche per via elettronica, tramite una privacy policy. Le informazioni devono essere concise, trasparenti, comprensibili, facilmente accessibili, scritte in un linguaggio chiaro e semplice (soprattutto se rivolte a un minore) e gratuite
Il diritto di accesso: gli utenti hanno il diritto di accedere ai propri dati personali e alle informazioni relative alle modalità di trattamento degli stessi. Su richiesta dell’utente, i titolari del trattamento devono fornire una panoramica delle categorie di dati trattati, una copia degli effettivi dati raccolti ed una descrizione delle modalità del trattamento. È necessario chiarire inoltre le finalità del trattamento, il modo in cui i dati sono stati acquisiti e i soggetti con cui i dati sono stati eventualmente condivisi. Infine, l’organizzazione deve fornire gratuitamente all’utente che ne fa richiesta una copia dei suoi dati personali (qualora l’utente dovesse richiedere più copie, può essere applicato un corrispettivo di ragionevole entità). Il diritto di accesso è strettamente legato al diritto alla portabilità dei dati, sebbene questi due diritti non siano identici. È quindi importante che nell’informativa sulla privacy vi sia una chiara distinzione tra questi due diritti
Il diritto di rettifica: gli utenti hanno il diritto di richiedere la rettifica dei loro dati personali se sono imprecisi o incompleti. Questo diritto implica anche che la rettifica debba essere comunicata a tutti i soggetti terzi coinvolti nel trattamento dei dati in questione, a meno che ciò non sia impossibile o particolarmente difficile. Se richiesto dall’utente, l’organizzazione deve anche informare lo stesso sull’identità di tali soggetti terzi
Il diritto di opporsi: ai sensi del GDPR, gli utenti hanno il diritto di opporsi a determinate attività di trattamento dei loro dati personali effettuate dal titolare del trattamento. In sintesi, l’utente può opporsi al trattamento dei suoi dati ogniqualvolta esso si basi su un interesse legittimo del responsabile del trattamento o sull’esecuzione di un compito di interesse pubblico/esercizio di pubblici poteri o a fini di ricerca e statistica scientifica/storica. L’utente deve motivare la sua opposizione, a meno che il trattamento non sia effettuato a fini di marketing diretto. In quest’ultimo caso, infatti, non è necessaria alcuna motivazione per esercitare tale diritto
Il diritto alla portabilità dei dati: l’utente ha il diritto di ottenere (in un formato elettronico leggibile) i propri dati personali allo scopo di trasferirli ad altro titolare, senza che l’attuale titolare crei alcun ostacolo. Rientrano in questa disposizione sia i dati “forniti” dall’utente, che quelli “osservati”
Il diritto alla cancellazione: quando i dati non sono più utili per le finalità per le quali sono stati raccolti, in caso di revoca del consenso da parte dell’utente o quando i dati personali sono stati trattati in modo illecito, l’utente ha il diritto di chiederne la cancellazione nonché la cessazione di ogni altra forma di diffusione. Il diritto alla cancellazione può essere negato quando i dati personali sono trattati per un interesse pubblico (come la ricerca scientifica), quando i dati sono necessari per la difesa in giudizio o per adempiere a un obbligo di legge, per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri di cui il titolare del trattamento è investito. Il diritto alla cancellazione può essere negato anche quando i dati sono necessari per esercitare il diritto alla libertà di espressione, o quando sono trattati a fini sanitari e di interesse pubblico
Il diritto a limitare il trattamento: l’utente ha il diritto di richiedere la limitazione del trattamento dei suoi dati personali nei casi in cui abbia contestato la loro esattezza, qualora l’utente si sia opposto al trattamento e l’organizzazione stia valutando se vi sia un motivo legittimo che lo escluda, qualora il trattamento sia illecito ma l’utente richieda una limitazione anziché la cancellazione, o qualora i dati non siano più necessari ma l’utente ne abbia bisogno per stabilire, esercitare o difendere una rivendicazione legale. La limitazione deve essere comunicata a tutti i soggetti terzi coinvolti nel trattamento dei dati in questione, a meno che ciò non sia impossibile o particolarmente difficile. Se richiesto dall’utente, l’organizzazione deve anche informare lo stesso sull’identità di tali soggetti terzi
Diritti relativi ai processi decisionali automatizzati ed alla profilazione: gli utenti hanno il diritto di non essere sottoposti a processi decisionali che si basano su un trattamento o una profilazione automatizzati e che producono un effetto legale, o un effetto altrettanto significativo. Le organizzazioni possono adottare decisioni automatizzate solo se necessarie per l’esecuzione di un contratto, autorizzate dalla legislazione del Paese UE applicabile al titolare del trattamento dei dati, prive di effetti giuridici o di analoga rilevanza per l’utente o basate sul consenso esplicito dell’interessato. È possibile prendere decisioni automatizzate senza il consenso esplicito dell’utente solo se riguardano categorie speciali di dati, o per motivi di rilevante interesse pubblico

Principali novità:

Privacy by default e privacy by design.

l Regolamento introduce due principi basilari:

Privacy by default: esso fa riferimento alla necessità di tutelare la vita privata dei cittadini di default, ovvero come impostazione predefinita dell’organizzazione aziendale. In altri termini, ogni azienda dovrà necessariamente dotarsi di un sistema tale da proteggere adeguatamente i dati personali ed evitare il rischio di una loro violazione.
Privacy by design: che stabilisce come la protezione dei dati debba avvenire fin dal disegno e/o progettazione di un processo aziendale. Quindi, ogni azienda deve effettuare una cosiddetta valutazione dell’impatto-privacy, cioè una puntuale e documentata analisi dei rischi per i diritti e le libertà degli interessati. Questa analisi deve condurre ad escludere il verificarsi in concreto dei rischi legati al trattamento dei dati personali quali ad esempio la loro distruzione, perdita, modifica e divulgazione non autorizzata.

Il diritto all’oblio:

La norma sancisce il diritto ad ottenere la cancellazione dei propri dati personali dalle notizie e anche dai motori di ricerca qualora il motivo che ha reso legittima la pubblicazione di quel dato non sia più di pubblica utilità (come, per esempio, nell’ipotesi di una persona che è stata assolta da un’accusa di cui i giornali e le testate online avevano dato notizia). Questo diritto si estende anche ai casi in cui un soggetto chiede la cancellazione dei propri dati personali, così revocando il consenso al trattamento concesso per fruire di un determinato servizio. Il diritto all’oblio del cittadino potrà essere limitato solo per garantire la libertà di espressione volta alla tutela di un interesse generale (ad esempio la salute pubblica) o quando i dati trattati in forma anonima dal titolare del trattamento siano necessari per la ricerca storica o per finalità scientifiche o statistiche

La notifica del data breach

Il titolare del trattamento deve informare l’autorità di controllo entro 72 ore dal momento in cui viene a conoscenza di una violazione dei dati personali (data breach). Anche gli utenti devono essere informati della violazione (entro lo stesso termine) a meno che i dati violati non siano stati protetti mediante cifratura (e quindi resi illeggibili per l’intruso) o, in generale, a meno che sia improbabile che la violazione comporti un rischio elevato per i diritti e le libertà delle persone. In ogni caso, il titolare del trattamento deve tenere un registro delle violazioni verificatesi per poter dimostrare all’autorità di controllo il rispetto di tali disposizioni.

Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie (8 maggio 2018):

Integrazione dovuta a seguito dell’entrata in vigore del provvedimento sull’ “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie“, dell’ 8 maggio 2014 (pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014) ed entrata in vigore nella giornata del 2 giugno 2015.

Stop all’installazione dei cookie per finalità di profilazione e marketing da parte dei gestori dei siti senza aver prima informato gli utenti e aver ottenuto il loro consenso. Chi naviga on line potrà quindi decidere in maniera libera e consapevole se far usare o no le informazioni raccolte sui siti visitati per ricevere pubblicità mirata.

Lo ha stabilito il Garante privacy con un provvedimento generale [doc. web n. 3118884] pubblicato sulla Gazzetta ufficiale, adottato al termine di una consultazione pubblica, nel quale ha individuato modalità semplificate per rendere agli utenti l’informativa on line sull’uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

I cookie sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook) dell’utente, dove vengono memorizzati, per poi essere ritrasmessi agli stessi siti alla visita successiva. Sono usati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni sui siti (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire). Ma attraverso i cookie si può anche monitorare la navigazione, raccogliere dati su gusti, abitudini, scelte personali che consentono la ricostruzione di dettagliati profili dei consumatori.

“Con questo provvedimento, maturato anche attraverso la consultazione dei vari stakeholder, diventa più facile il rispetto degli obblighi previsti dalla normativa europea” – commenta Antonello Soro, presidente del Garante privacy. “La procedura semplificata consentirà agevolmente ai navigatori di manifestare un consenso davvero libero e consapevole”.

Per proteggere la privacy degli utenti e consentire loro scelte più consapevoli, il Garante ha dunque stabilito che, d’ora in poi quando si accede alla home page o ad un’altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui sia indicato chiaramente:

che il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;
che il sito consente anche l’invio di cookie di “terze parti”, ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;
un link a una informativa più ampia, con le indicazioni sull’uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente o collegandosi ai vari siti nel caso dei cookie di “terze parti”;
l’indicazione che proseguendo nella navigazione (ad es., accedendo ad un’altra area del sito o selezionando un’immagine o un link) si presta il consenso all’uso dei cookie.

Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente.

L’utente mantiene, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l’informativa estesa, che deve essere linkabile da ogni pagina del sito.

Art. 13. Informativa (d.lgs 196/2003 – “Codice Privacy”):

1. L’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:

a) le finalità e le modalità del trattamento cui sono destinati i dati;

b) la natura obbligatoria o facoltativa del conferimento dei dati;

c) le conseguenze di un eventuale rifiuto di rispondere;

d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l’ambito di diffusione dei dati medesimi;

e) i diritti di cui all’articolo 7;

f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell’articolo 5 e del responsabile. Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l’elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all’interessato in caso di esercizio dei diritti di cui all’articolo 7, è indicato tale responsabile.

2. L’informativa di cui al comma 1 contiene anche gli elementi previsti da specifiche disposizioni del presente codice e può non comprendere gli elementi già noti alla persona che fornisce i dati o la cui conoscenza può ostacolare in concreto l’espletamento, da parte di un soggetto pubblico, di funzioni ispettive o di controllo svolte per finalità di difesa o sicurezza dello Stato oppure di prevenzione, accertamento o repressione di reati.

3. Il Garante può individuare con proprio provvedimento modalità semplificate per l’informativa fornita in particolare da servizi telefonici di assistenza e informazione al pubblico.

4. Se i dati personali non sono raccolti presso l’interessato, l’informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all’atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione.

5. La disposizione di cui al comma 4 non si applica quando:

a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;

b) i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;

c) l’informativa all’interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile.

5-bis. L’informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell’eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all’invio del curriculum, il titolare è tenuto a fornire all’interessato, anche oralmente, una informativa breve contenente almeno gli elementi di cui al comma 1, lettere a), d) ed f). ⁽¹⁾

(1) Comma aggiunto dall’art. 6, comma 2, lettera a), numero 2), del decreto legge 13 maggio 2011, n. 70, convertito, con modificazioni, dalla legge 12 luglio 2011, n. 106.

Cosa sono i Cookie:

I cookie sono stringhe di testo di piccole dimensioni che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. Nel corso della navigazione su un sito, l’utente può ricevere sul suo terminale anche cookie che vengono inviati da siti o da web server diversi (c.d. “terze parti”), sui quali possono risiedere alcuni elementi (quali, ad esempio, immagini, mappe, suoni, specifici link a pagine di altri domini) presenti sul sito che lo stesso sta visitando.

I cookie, solitamente presenti nei browser degli utenti in numero molto elevato e a volte anche con caratteristiche di ampia persistenza temporale, sono usati per differenti finalità: esecuzione di autenticazioni informatiche, monitoraggio di sessioni, memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, ecc.

Al fine di giungere a una corretta regolamentazione di tali dispositivi, è necessario distinguerli posto che non vi sono delle caratteristiche tecniche che li differenziano gli uni dagli altri proprio sulla base delle finalità perseguite da chi li utilizza. In tale direzione si è mosso, peraltro, lo stesso legislatore, che, in attuazione delle disposizioni contenute nella direttiva 2009/136/CE, ha ricondotto l’obbligo di acquisire il consenso preventivo e informato degli utenti all’installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche (cfr. art. 1, comma 5, lett. a), del d. lgs. 28 maggio 2012, n. 69, che ha modificato l’art. 122 del Codice).

Al riguardo, e ai fini del presente provvedimento, si individuano pertanto due macro-categorie: cookie “tecnici” e cookie “di profilazione”.

a. Cookie tecnici:

I cookie tecnici sono quelli utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio” (cfr. art. 122, comma 1, del Codice).

Essi non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare o gestore del sito web. Possono essere suddivisi in cookie di navigazione o di sessione, che garantiscono la normale navigazione e fruizione del sito web (permettendo, ad esempio, di realizzare un acquisto o autenticarsi per accedere ad aree riservate); cookie analytics, assimilati ai cookie tecnici laddove utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito stesso; cookie di funzionalità, che permettono all’utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l’acquisto) al fine di migliorare il servizio reso allo stesso.

Per l’installazione di tali cookie non è richiesto il preventivo consenso degli utenti, mentre resta fermo l’obbligo di dare l’informativa ai sensi dell’art. 13 del Codice, che il gestore del sito, qualora utilizzi soltanto tali dispositivi, potrà fornire con le modalità che ritiene più idonee.

b. Cookie di profilazione:

I cookie di profilazione sono volti a creare profili relativi all’utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete. In ragione della particolare invasività che tali dispositivi possono avere nell’ambito della sfera privata degli utenti, la normativa europea e italiana prevede che l’utente debba essere adeguatamente informato sull’uso degli stessi ed esprimere così il proprio valido consenso.

Ad essi si riferisce l’art. 122 del Codice laddove prevede che “l’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all’articolo 13, comma 3” (art. 122, comma 1, del Codice).

NOTA BENE: Questo sito non utilizza cookie di profilazione propri, ma unicamente di terze parti. Per questo motivo non deve trasmettere alcuna dichiarazione al Garante della Privacy secondo i termini di legge.

Consenso all’utilizzo dei Cookie:

Come aprite questo sito vi viene mostrato in alto un banner che vi informa brevemente circa l’utilizzo di cookie tecnici e di profilazione, anche di terze parti, con un link a questa pagina per maggiori dettagli. Chiudendo il sopra citato banner cliccando su OK, scorrendo la pagina o cliccando qualunque elemento del sito acconsenti automaticamente all’uso dei cookie.

Come bloccare i singoli Cookie:

L’utente può bloccare o limitare la ricezione di cookies attraverso le opzioni del proprio browser.