Il data breach: che cos’è e che cosa fare

Con data breach si fa riferimento a un qualunque evento accidentale o deliberato che può compromettere la sicurezza dei dati personali trattati da un titolare.

L’espressione data breach appartiene al mondo della gestione dei dati personali; viene utilizzata per identificare le violazioni dei sistemi di sicurezza messi a punto dal titolare del trattamento dei dati personali, che comportano, accidentalmente o con finalità illecita,

  • la distruzione
  • la perdita
  • la modifica
  • la divulgazione non autorizzata
  • l’accesso

ai dati personali trasmessi, conservati o comunque trattati dal titolare. 

Il furto o la perdita di dispositivi informatici contenenti dati personali è un evento di data breach.

Il concetto può apparire complesso, ma ecco alcuni esempi che lo rendono immediato e mostrano quanto l’eventualità di data breach sia tutt’altro che remota:

  • l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;
  • il furto o la perdita di dispositivi informatici contenenti dati personali;
  • la deliberata alterazione di dati personali;
  • l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware; 
  • la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;
  • la divulgazione non autorizzata dei dati personali.

La notifica del data breach al Garante

Nei casi in cui la violazione può comportare un rischio per i diritti e le libertà delle persone fisiche, causando danni fisici, materiali  o immateriali, il titolare del trattamento deve notificare la violazione al Garante per la protezione dei dati personali.

Nei casi in cui la violazione può comportare un rischio per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve notificare la violazione al Garante per la protezione dei dati personali.

La notifica deve essere trasmessa entro 72 ore dal momento in cui il titolare viene a conoscenza del data breach e, in caso di trasmissione oltre il termine delle 72 ore, motivando il ritardo.

A partire dal 1° luglio 2021 la notifica deve essere inviata al Garante tramite apposita procedura online raggiungibile CLICCANDO QUI. Rispetto a quanto accadeva in precedenza (invio a mezzo PEC di modulo sottoscritto digitalmente), questa modalità consente a ogni titolare di valutare attraverso la procedura di autovalutazione se sia necessario o meno procedere alla notifica al garante.

Altri adempimenti

Se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali che ritiene più idonei, a meno che non abbia già preso misure tali da ridurne l’impatto. 

In ogni caso e anche a prescindere dalla notifica al Garante, il titolare del trattamento deve documentare tutte le violazioni dei dati personali.

In ogni caso e anche a prescindere dalla notifica al Garante, il titolare del trattamento deve documentare tutti i data breach.

In genere si predispone un apposito registro che consenta di tracciare tutte le informazioni sufficienti a ricostruire l’accaduto, individuare eventuali responsabili, dare evidenza delle azioni intraprese per gestire la violazione e contenere il suo impatto, registrare la valutazione del rischio per i diritti delle persone in funzione del quale si è fatta seguire o meno la notifica al garante, dimostrare il rispetto del termine delle 72 ore e dettagliare le ragioni dell’eventuale ritardo della notifica. Per altro il registro, tenendo traccia delle violazioni nel tempo, può rappresentare un’utile fonte di informazioni sull’efficacia delle misure di sicurezza messe in atto, indirizzando il titolare nel miglioramento della gestione della privacy della sua organizzazione.

Preposto di fatto vs. preposto individuato

Il preposto di fatto è il soggetto che viene individuato come tale in funzione delle attività che svolge nella sua quotidianità a prescindere da una nomina formale.

Le modifiche al Testo Unico Sicurezza di fine 2021 hanno riportato l’attenzione sul tema dell’individuazione e della formazione dei preposti, mettendo in risalto la contrapposizione tra preposto di fatto e preposto nominato. Ma in cosa consiste questa contrapposizione? Che cosa comporta? È davvero una contrapposizione?

Preposto di fatto

Preposto lo è chi preposto lo fa” recita in modo molto esaustivo una vignetta online. Ci ricorda che, sin dalla sua pubblicazione, il D. L.vo 81/08 ha previsto che, in assenza di una specifica individuazione del preposto, questa possa avvenire in sede di giudizio sulla base del principio di effettività: sei preposto se svolgi i compiti del preposto, a prescindere dalla formazione ricevuta e da un atto formale di nomina.

Formare i preposti senza nominarla non garantisce la consapevolezza del proprio ruolo da parte dei lavoratori.

In termini operativi questo ha portato alla prassi aziendale di formare alcuni lavoratori come preposti, senza però procedere alla loro formale individuazione e nomina: svolgi attività di preposto e quindi ti formo come tale, ma non c’è scritto da nessuna parte (DVR, organigramma o nomina specifica) che sia proprio tu il preposto.

Allo stesso tempo il concetto di preposto di fatto ha fatto comprendere che non è sufficiente formare e nominare qualcuno per renderlo preposto, ma che per essere preposti si deve occupare una posizione gerarchica specifica, quindi avere responsabilità e autorità adeguate al ruolo.

Non è sufficiente formare e nominare qualcuno per renderlo preposto: si deve occupare una posizione gerarchica specifica, quindi avere responsabilità e autorità adeguate al ruolo.

Preposto individuato e nominato

Parallelamente alla prassi di formare i preposti senza nominarli, si è sviluppata quella di formarli e nominarli, quindi individuarli attraverso un atto formale che ricordasse compiti e responsabilità e richiedesse una firma per ricevuta. Anche se il Testo Unico Sicurezza non faceva in passato esplicito riferimento all’obbligo di individuazione dei preposti, la logica di molti è stata quella di garantire trasparenza e comunicazione dei ruoli, attuando il principio della delega. Forse anche sulla spinta delle richieste degli standard BS OHSAS 18001 e ISO 45001 relativi ai sistemi di gestione della salute e sicurezza sul lavoro.

Effettività vs. individuazione

Esiste una differenza rilevante tra preposto individuato e preposto nominato?

In termini formali sì, nella misura in cui il primo può essere un soggetto il cui nome sia stato riportato su un documento aziendale in corrispondenza della voce “preposto” senza avere dovuto sottoscrivere un incarico formale, mentre il secondo ha sottoscritto la sua nomina. In termini sostanziali quello che conta è che si tratta di un lavoratore al quale il datore di lavoro ha riconosciuto una funzione specifica e questo riconoscimento è formalizzato in un documento.

Il preposto individuato non è necessariamente nominato, la differenza la fa l'eventuale sottoscrizione di un incarico formale.

Cosa cambia con l’obbligo di individuazione del preposto

Due le novità principali:

  1. la mancata individuazione del preposto diventa violazione della norma e come tale motivo di contestazione in caso di illecito (con possibilità di coinvolgere in caso di mancata vigilanza la responsabilità di dirigenti e datori di lavoro);
  2. viene disincentivata la prassi di affidare la vigilanza in materia di sicurezza a figure di fatto, potenzialmente meno consapevoli dei propri compiti e delle proprie responsabilità, e incentivato un approccio che miri a organizzare in modo puntuale il servizio di prevenzione in azienda.

Piano di emergenza ed evacuazione e simulazioni

Il piano di emergenza ed evacuazione è un corollario della valutazione del rischio incendio ed esplosione.

Eccoci all’ultima parte dell’analisi dei 3 decreti antincendio del settembre 2021: dopo aver parlato di formazione, manutenzione dei dispositivi antincendio e valutazione del rischio, oggi voglio approfondire il tema del piano di emergenza ed evacuazione e delle simulazioni delle emergenze (che non sono solo una prova di evacuazione!).

Piano di emergenza ed evacuazione secondo il decreto 2 settembre 2021

Il piano di emergenza ed evacuazione è un corollario della valutazione del rischio incendio ed esplosione e serve per individuare la misure che devono essere adottate per la prevenzione e la protezione del rischio sia in condizioni di esercizio che in condizioni di emergenza.

Il piano di emergenza ed evacuazione deve definire le modalità di chiamata dei soccorsi esterni.

Le misure di prevenzione e protezione in esercizio

La nomina degli addetti alla gestione emergenze, la definizione delle procedure di esodo e delle azioni da porre in atto in caso di emergenza, l’informazione e la formazione del personale (non solo degli addetti antincendio!) e le esercitazioni antincendio sono tutte misure da porre in atto in condizioni di esercizio.

Questo significa che il piano di emergenza ed evacuazione non stabilisce solo ciò che deve essere fatto in caso di emergenza, ma anche tutti i passi necessari per prepararsi alla gestione dell’emergenza e che devono essere definiti e realizzati prima del verificarsi dell’emergenza stessa.

Il dettaglio di queste misure è definito nell’Allegato I al decreto 2 settembre 2021.

Il piano di emergenza ed evacuazione deve definire la modalità di comunicazione dell'emergenza a tutti i reparti aziendali.

Le misure di prevenzione e protezione in emergenza

L’Allegato II al decreto 2 settembre 2021 si occupa di tali misure: in parte vengono richiamati aspetti già citati nell’Allegato I, come la definizione delle vie d’esodo e le modalità di richiesta dei soccorsi esterni (chiamata ai Vigili del Fuoco), ma poi si pone l’accento su aspetti di dettaglio, come l’ubicazione di locali a rischio specifico, l’eventuale identificazione di ascensori utilizzabili in caso di emergenza e le modalità per fornire assistenza alle persone con esigenze speciali (ex. persone diversamente abili, donne in stato di gravidanza, anziani, bambini, persone con disabilità temporanea).

Si tratta in questo caso di aspetti pensati in condizioni di esercizio, ma destinati a essere messi in atto durante l’eventuale situazione di emergenza.

Le misure di prevenzione e protezione in emergenza comprendono le modalità per fornire assistenza alle persone con esigenze speciali.

Piano di emergenza ed evacuazione semplificato

Per gli esercizi aperti al pubblico ove

  1. sono occupati meno di 10 lavoratori;
  2. è prevista la presenza contemporanea di non più di 50 persone;
  3. non sono presenti attività soggette ai controlli di prevenzione incendi;

il datore di lavoro può predisporre misure semplificate per la gestione dell’emergenza costituite da planimetrie e indicazioni schematiche delle misure previste dall’Allegato II.

Non solo prove di evacuazione, ma simulazioni delle emergenze

Il decreto prevede che i lavoratori partecipino a esercitazioni antincendio con cadenza almeno annuale, salvo diverse indicazioni contenute nelle specifiche norme e regole tecniche di prevenzione incendi. Il personale la cui attività è essenziale al mantenimento delle condizioni di sicurezza del luogo di lavoro possono essere escluse dalle esercitazioni, ma prevedendo un meccanismo di rotazione.

Il decreto prevede che i lavoratori partecipino a esercitazioni antincendio con cadenza almeno annuale.

Le esercitazioni riguardano:

  1. le procedure di esodo;
  2. le procedure di primo intervento.

Il decreto specifica solo per i luoghi di lavoro di piccole dimensioni che le esercitazioni devono prevedere almeno:
– la percorrenza delle vie d’esodo;
– l’identificazione delle porte resistenti al fuoco, ove esistenti;
– l’identificazione e localizzazione dei dispositivi di allarme;
– l’identificazione e localizzazione delle attrezzature di estinzione.

Le esercitazioni devono essere ripetute in caso di variazione delle misure di prevenzione e protezione e e del sistema di esodo, anche se adottate a seguito di carenze riscontrate nel corso delle precedenti simulazioni, incremento significativo del numero dei lavoratori e dell’affollamento complessivo.

Le esercitazioni antincendio comprendono le procedure di esodo e di primo intervento.

Nelle esercitazioni si possono coinvolgere anche ulteriori persone presenti normalmente durante l’esercizio dell’attività (ex. utenti, pubblico, personale delle ditte di manutenzione, appaltatori) e nella loro programmazione si deve tenere conto delle situazioni di notevole affollamento e della presenza di persone con specifiche esigenze.

Infine, le esercitazioni devono essere documentate e, in caso di coesistenza di più imprese in uno stesso edificio, i datori di lavoro devono collaborare e coordinarsi per la realizzazione delle esercitazioni antincendio.

Perché la questione non è solo quella di raggiungere il punto di raccolta ma, in funzione delle caratteristiche dell’ambiente di lavoro, di disattivare impianti, gestire eventuali persone infortunate o in difficoltà, trasmettere il messaggio di allarme in modo corretto e ai tutti i reparti…

Novità per la sicurezza antincendio: il decreto 03/09/21

Il decreto 03.09.2021, in vigore dal 28.10.2022, definisce i criteri di sicurezza antincendio per i luoghi di lavoro.

Dopo un’analisi sulle novità in materia di formazione antincendio e una in merito alla manutenzione di estintori e sistemi antincendio, eccoci alle novità più generali in materia di sicurezza antincendio: il decreto 3 settembre 2021, che entrerà in vigore il 28 ottobre 2022.

Che cos’è la sicurezza antincendio

L’insieme delle misure finalizzate a evitare l’insorgere di un incendio e a limitarne le conseguenze nel caso in cui si verifichi costituiscono la sicurezza antincendio. In termini più concreti si parla dei criteri di progettazione degli edifici, di gestione delle attività ordinarie e delle procedure di gestione delle emergenze.

Il decreto 3 settembre 2021 definisce i criteri di sicurezza antincendio in relazione ai luoghi di lavoro, con l’esclusione dei cantieri temporanei e/o mobili.

L'insieme delle misure finalizzate a evitare l'insorgere di un incendio e a limitarne le conseguenze nel caso in cui si verifichi costituiscono la sicurezza antincendio.

Le misure di sicurezza antincendio secondo il decreto 03 settembre 2021

Il datore di lavoro deve comprendere nel DVR la valutazione del rischio incendio e le relative misure di prevenzione e protezione, avendo cura di rendere la valutazione coerente e complementare alla valutazione del rischio esplosione.

Il decreto prevede che la valutazione del rischio incendio possa essere effettuata per i luoghi di lavoro a basso rischio d’incendio secondo criteri semplificati contenuti nell’allegato I al decreto stesso.

Il datore di lavoro deve comprendere nel DVR la valutazione del rischio incendio e le relative misure di prevenzione e protezione.

I luoghi di lavoro a basso rischio d’incendio sono definiti nello stesso allegato I e comprendono i luoghi ove non si svolgono attività soggette a controlli di prevenzione incendi (quindi tutte le attività non ricomprese nell’elenco dell’Allegato I al decreto del Presidente della Repubblica n. 151 del 2011) e che presentino tutti i seguenti requisiti aggiuntivi:

  • affollamento complessivo di 100 occupanti, dove l’occupante è una persona presente a qualsiasi titolo all’interno dell’attività;
  • superficie lorda complessiva 1000 m2;
  • piani situati a quota compresa tra -5 m e 24 m;
  • senza detenzione o trattamento di materiali combustibili in quantità significative (qf > 900 MJ/m2);
  • senza detenzione o trattamento di sostanze o miscele pericolose in quantità
    significative;
  • senza lavorazioni pericolose ai fini dell’incendio.
I luoghi di lavoro a basso rischio d'incendio sono definiti nell'allegato I al decreto 3 settembre 2021.

Per tutti gli altri luoghi di lavoro i criteri di progettazione, realizzazione ed esercizio della sicurezza antincendio sono quelli riportati nel decreto del Ministro dell’interno 3 agosto 2015 (“Approvazione di norme tecniche di prevenzione incendi, ai sensi dell’articolo 15 del decreto legislativo 8 marzo 2006, n. 139“).

Come e quando adeguare i luoghi di lavoro esistenti

I luoghi di lavoro esistenti alla data di entrata in vigore del decreto (28.10.2022) dovranno adeguarsi nei casi previsti dall’art.29, comma 3, del D. L.vo 81/08, e cioè:

  • in occasione di modifiche del processo produttivo o dell’organizzazione del lavoro significative ai fini della salute e sicurezza dei lavoratori;
  • in relazione al grado di evoluzione della tecnica, della prevenzione o della protezione;
  • a seguito di infortuni significativi;
  • quando i risultati della sorveglianza sanitaria ne evidenzino la necessità.

Il documento di valutazione dei rischi deve essere rielaborato nel termine di trenta giorni dalle rispettive causali, ma il datore di lavoro deve comunque dare immediata evidenza, attraverso idonea documentazione, dell’aggiornamento delle misure di prevenzione e immediata comunicazione al rappresentante dei lavoratori per la sicurezza.

La novità normativa non è forse un’evoluzione della prevenzione?

Novità manutenzione estintori e sistemi antincendio

Una sintesi delle novità per controllo e manutenzione di estintori e sistemi di sicurezza antincendio previste dal decreto 2 settembre 2021.

Dopo l’approfondimento sulla novità della formazione antincendio, eccomi pronta a parlarvi delle novità in materia di controllo e manutenzione di impianti, attrezzature e altri sistemi di sicurezza antincendio definite dal decreto 2 settembre 2021 che entrerà in vigore il 25.09.2022 (a eccezione della qualifica dei manutentori, prorogata al 25 settembre 2023 dal Decreto 15 settembre 2022). Per intenderci sono i riferimenti che interessano anche la manutenzione degli estintori.

Chi è responsabile della manutenzione di estintori, impianti e sistemi antincendio?

Il datore di lavoro!

Che deve quindi provvedere affinché la manutenzione sia:

  1. eseguita a cura di tecnici manutentori qualificati;
  2. registrata.

Resta in carico al datore di lavoro la predisposizione del registro dei controlli in cui devono essere annotati i controlli periodici e gli interventi di manutenzione, la verifica dell’aggiornamento e la sua disponibilità per gli organi di controllo. Questo non significa che il datore di lavoro debba materialmente provvedere alla predisposizione del registro e al suo aggiornamento, ma che deve sovrintendere a tutto il processo, accertandosi che venga messo in atto nel rispetto delle disposizioni di legge.

Resta in carico al datore di lavoro la predisposizione del registro dei controlli in cui devono essere annotati i controlli periodici e gli interventi di manutenzione, la verifica dell'aggiornamento e la sua disponibilità per gli organi di controllo.

Con quale frequenza devono essere eseguite le manutenzioni?

Le cadenze temporali di verifica sono definite da:

  1. norme e specifiche tecniche pertinenti, nazionali o internazionali;
  2. manuale d’uso e manutenzione dell’impianto, attrezzatura o sistema antincendio.

In sostanza il decreto non introduce o modifica le scadenze di controlli e manutenzioni, ma fornisce un elenco di norme tecniche di riferimento (Allegato I).

Come si diventa tecnico manutentore qualificato?

Il tecnico manutentore qualificato deve possedere requisiti di conoscenza, abilità e competenza. In particolare deve:

  • svolgere un percorso di formazione specifica, la cui durata dipende dalla tipologia di impianti, attrezzature e sistemi di sicurezza antincendio che si intende manutenere (definite nell’Allegato II del decreto);
  • essere sottoposto a una verifica di competenza che, se superata, consente il rilascio dell’attestazione di tecnico manutentore qualificato da parte delle strutture centrali o periferiche del Corpo nazionale dei vigili del fuoco;
  • mantenersi aggiornato sull’evoluzione tecnica e normativa degli impianti, delle attrezzature e degli altri sistemi di sicurezza antincendio.
Da settembre 2022 chi effettua le manutenzioni e i controlli di estintori e sistemi antincendio deve avere adeguato la propria qualifica.

Due i dettagli da aggiungere:

  1. i soggetti che alla data di entrata in vigore del decreto (25.09.2022) svolgono attività di manutenzione da almeno 3 anni sono esonerati dalla frequenza del corso e possono richiedere di essere sottoposti alla valutazione di competenza necessaria per ottenere l’attestazione;
  2. il decreto non definisce durata e frequenza di aggiornamento della formazione.

Sintetizzando, da settembre 2023 chi effettua le manutenzioni e i controlli deve avere adeguato la propria qualifica, mentre tutti i datori di lavoro devono accertarsi di ricorrere a personale qualificato. Da settembre 2022, invece, i datori di lavoro devono comunque predisporre/ far predisporre per tutti i sistemi antincendio aziendali i relativi registri di manutenzione e far eseguire la manutenzione nel rispetto delle norme e manuali di riferimento.

Accordo sulle molestie e la violenza sul posto di lavoro

L'Accordo sulle molestie e la violenza sul lavoro del 26.01.16 è una disposizione di legge vincolante per le aziende. Che cosa richiede?

Il 26 gennaio 2016 è stato recepito in Italia l’Accordo sulle molestie e la violenza nei luoghi di lavoro, frutto di un’attività . Questo Accordo è vincolante al pari dell’Accordo sul telelavoro (16 luglio 2002) e di quello sullo stress lavoro correlato (8 ottobre 2004), anche se è meno conosciuto.

Molestie sul lavoro: che cosa si intende

Si parla di molestie quando uno o più individui subiscono ripetutamente e deliberatamente

  • abusi (forma fisica di molestia);
  • minacce e/o umiliazioni (forme verbali di molestia)

in un contesto di lavoro.

Perché si configurino le molestie sul lavoro sono necessarie due condizioni:

  1. la ripetizione dell’atto di abuso, minaccia e/o umiliazione;
  2. la volontà di chi lo attua.
Si parla di molestie quando uno o più individui subiscono ripetutamente e deliberatamente abusi, minacce e/o umiliazioni sul luogo di lavoro.

Violenza sul lavoro: in che cosa consiste

Si verifica una violenza quando uno o più individui sono aggrediti in contesto di lavoro, sia che l’autore dell’aggressione porti a compimento il gesto sia che, per ragioni diverse, la situazione non evolva dalla fase iniziale a quella di effettiva aggressione della vittima.

Da chi possono provenire minacce e violenza

Tra i potenziali autori di minacce e violenza sul lavoro non sono compresi solo colleghi, superiori o sottoposti, ma anche soggetti “terzi” comunque appartenenti al contesto lavorativo. Nello specifico l’Accordo richiama tre figure:

  1. i clienti, comprendendo così tutte le professioni che si trovano a lavorare con il pubblico;
  2. i pazienti, includendo tutte le professioni sociali, di assistenza e cura;
  3. gli studenti, considerando non solo ogni contesto educativo ma anche genitori e parenti.
L'Accordo del 26 gennaio 2016 prevede che in ogni contento lavorativo venga effettuata un valutazione del rischio specifico relativamente a molestie e violenza sul lavoro.

Molestie e violenza sul lavoro: come riconoscerle

Oltre agli aspetti legati alla definizione e ai soggetti che possono agire molestie o violenza, risulta utile tenere in considerazione 4 criteri descritti;

• la natura della molestia o della violenza, che può essere fisica, psicologica e/o sessuale;
• la frequenza con cui vengono poste in essere, per cui si può trattare di episodi isolati (ma ripetuti o comportamenti sistematici/abituali;
• i soggetti che li hanno posti in essere, che possono essere superiori, subordinati, colleghi di pare grado o soggetti terzi;
• l’intensità di molestie e violenza che comprendono tutto lo spettro compreso tra i casi minori di mancanza di rispetto ad atti gravi, qualificabili come reati e che richiedono
l’intervento delle autorità pubbliche.

Questi criteri aiutano solo a individuare tutte le possibili forme di molestia o di violenza e non servono per classificare l’accaduto. Questo perché la finalità dell’Accordo è quella di tutelare la dignità della persona e la sua salute, agendo a garanzia di un ambiente di lavoro non ostile.

Bisogna sensibilizzare il personale in merito alla necessità di non sottovalutare le dinamiche nelle quali è coinvolto e quindi di segnalarle tempestivamente a partire da eventuali minacce, che sono già considerate molestie.

Molestie e violenza sul lavoro: cosa fare

L’Accordo del 26 gennaio 2016 prevede che in ogni contento lavorativo venga effettuata un valutazione del rischio specifico e si definiscano le misure formative e organizzative da porre in atto per prevenire il manifestarsi molestie e violenze sul lavoro e quelle necessarie per gestirle nel caso si verificassero.

Il primo passo di tali misure è la sensibilizzazione in merito:

  1. alla necessità di non sottovalutare le dinamiche nelle quali si è coinvolti e quindi di segnalarle tempestivamente a partire da eventuali minacce, che sono già considerate molestie;
  2. alla possibilità di denunciare le umiliazioni subite senza alcun timore in merito alla necessità di provare che abbiano uno specifico obiettivo o che siano attuate per un preciso intento persecutorio, in quanto il loro verificarsi è sufficiente per legittimare la segnalazione.
L'Accordo del 26 gennaio 2016 prevede che in ogni contento lavorativo si definiscano le misure formative e organizzative da porre in atto per prevenire il manifestarsi molestie e violenze sul lavoro e quelle necessarie per gestirle nel caso si verificassero.

In termini operativi, le procedure hanno l’obiettivo di indicare le modalità con cui chi ha subito molestia o violenza può denunciare l’accaduto e avere garanzia che:

  • i referenti procedano con discrezione per proteggere dignità e riservatezza di tutte le parti coinvolte, senza rendere nota alcuna informazione a persone non coinvolte nl caso e ascoltando e trattando con correttezza e imparzialità tutte le parti coinvolte;
  • sia possibile avere l’assistenza esterna da parte di strutture territoriali individuate dalle parti sociali;
  • i casi segnalati saranno esaminati e gestiti senza ritardo ingiustificato;
  • le false accuse non saranno tollerate e potranno dare luogo a un’azione disciplinare e che quindi è necessario che i casi segnalati siano fondati su informazioni particolareggiate.
Le procedure aziendali per la gestione di segnalazioni di molestie o violenza sul lavoro possono includere una fase di confronto, assistenza e consulenza supportata da una persona indicata congiuntamente dalle parti sociali firmatarie dell'Accordo.

In merito all’assistenza esterna di strutture specializzate, le procedure aziendali possono includere una fase di confronto, assistenza e consulenza supportata da una persona indicata congiuntamente dalle parti sociali firmatarie dell’Accordo (Confindustria, CGIL, CISL e UIL).

Qualora il caso denunciato venga accertato, l’organizzazione deve:

  • adottare misure adeguate nei confronti di colui o coloro che hanno poste in essere molestie e/o violenza, come l’azione disciplinare del licenziamento, nel rispetto delle disposizioni del contratto collettivo di lavoro applicato nell’impresa;
  • rispettare i provvedimenti previsti dalle autorità pubbliche nel caso in cui l’accaduto si configuri come reato.

E tu, hai incluso la valutazione del rischio di molestie e violenza nel DVR della tua azienda?

Novità della formazione antincendio con il decreto 02/09/21

Nei primi tre giorni di settembre 2021 sono stati emanati 3 nuovi decreti contenenti nuove disposizioni in materia antincendio:

  • il decreto 1 settembre 2021 ha introdotto criteri aggiornati per la sorveglianza, il controllo e la manutenzione di impianti, attrezzature e sistemi di sicurezza antincendio;
  • il decreto 2 settembre 2021 ha definito le modalità di gestione dell’emergenza incendio sul luogo di lavoro in termini di definizione del piano di emergenza, di informazione e formazione del personale aziendale e di formazione degli addetti alla gestione emergenze;
  • il decreto 3 settembre 2021 ha introdotto i criteri di effettuazione della valutazione del rischio incendio e di definizione delle misure di prevenzione del rischio e di gestione in caso di insorgenza dell’emergenza.
Nei primi tre giorni di settembre 2021 sono stati pubblicati 3 nuovi decreti contenenti nuove disposizioni in materia antincendio.

Partiamo dalle novità che riguardano la formazione!

Informazione e formazione antincendio: chi riguarda?

Il decreto 2 settembre 2021 effettua una distinzione tra due tipologie di formazione:

  • la formazione e l’informazione di tutti i lavoratori espositi a rischi di incendio o di esplosione correlati al posto di lavoro;
  • la formazione degli addetti alla prevenzione incendi o addetti antincendio.

Nel primo caso la formazione “specifica e adeguata” deve essere effettuata dal datore di lavoro e deve tenere conto del livello di rischio a cui la mansione espone il lavoratore. Il contenuto è dettagliato in apposito allegato del decreto (allegato I) e in sostanza prevede che vengano fornite ai lavoratori tutte le informazioni e le conoscenze necessarie affinché sappiano come comportarsi per prevenire il verificarsi di un’emergenza incendio e durante un’eventuale situazione di emergenza. Si tratta di una formazione aziendale o interna in quanto fortemente calata sulle attività, l’organizzazione e la logistica dell’impresa.

Il decreto 2 settembre 2021 effettua una distinzione tra due tipologie di formazione antincendio, una per tutti i lavoratori e una per gli addetti al servizio antincendio.

I lavoratori incaricati dell’attuazione delle misure di prevenzione incendi, lotta antincendio e gestione delle emergenze, o addetti al servizio antincendio, invece, devono seguire corsi di formazione di durata variabile a seconda della classificazione dell’attività. Un po’ com’è stato sinora, ma con qualche differenza che ti racconto subito.

Che cosa cambia per la formazione degli addetti antincendio?

Non si parla più di formazione distinta per rischio basso, medio o elevato, adesso la distinzione è tra 3 livelli di attività. Così gli addetti al servizio antincendio dovranno frequentare:

  • un corso di 4 ore per attività di livello 1;
  • un corso di 8 ore per attività di livello 2;
  • un corso di 16 ore per attività di livello 3.

La frequenza di aggiornamento è finalmente esplicitata ed è almeno quinquennale e di 2, 5 e 8 ore a seconda che si parli di aggiornamento per livello 1, 2 o 3.

La nuova classificazione in 3 livelli è equivalente alla precedente in 3 classi di rischio?

A grandi linee sì, le novità riguardano l’inserimento di riferimenti normativi aggiornati o alcune precisazioni, per esempio gli uffici con oltre 1000 dipendenti previsti in rischio alto sono sostituito dagli uffici con oltre 1000 persone presenti, considerando quindi nel conteggio anche i possibili visitatori.

Un’attività che viene specificata ex novo, invece, e che ricade nel livello 3 è quella degli stabilimenti e impianti che effettuano stoccaggio di rifiuti e/o operazioni di trattamento di rifiuti, con l’esclusione di quelli che gestiscono rifiuti inerti.

Per alcune tipologie di attività o nel caso in cui il datore di lavoro lo ritenga necessario, a seguito della formazione antincendio il lavoratore deve superare un esame specifico per il conseguimento dell'attestato di idoneità tecnica.

L’attestazione di idoneità tecnica

Un ultimo dettaglio importante in materia di formazione degli addetti alla prevenzione incendi riguarda il requisito di idoneità tecnica. In sostanza per alcune tipologie di attività o nel caso in cui il datore di lavoro lo ritenga necessario, a seguito della formazione il lavoratore deve superare un esame specifico per il conseguimento dell’attestato di idoneità tecnica, organizzato presso i Comandi dei Vigili del Fuoco.

Le attività per le quali l’idoneità tecnica è obbligatoria sono elencate nell’allegato IV del nuovo decreto e comprendono buona parte delle attività di livello 3, ma con alcune differenze che è opportuno verificare nel determinare i requisiti degli addetti alla prevenzione incendi.

Il decreto 2 settembre 2021 entra in vigore il 3 ottobre 2022. L'aspetto più difficile è capire come gestire il periodo di passaggio dai vecchi ai nuovi obblighi, quindi ecco i riferimenti per orientarsi.

Tempi di attuazione

Il decreto 2 settembre 2021 entra in vigore il 3 ottobre 2022. L’aspetto più difficile è capire come gestire il periodo di passaggio dai vecchi ai nuovi obblighi, quindi ecco i riferimenti per orientarsi:

  1. sono validi i corsi eseguiti in riferimento alla normativa precedente purché effettuati entro il 3 aprile 2023;
  2. chi è già in possesso di formazione antincendio (rispetto alla normativa precedente) dovrà effettuare il primo aggiornamento entro 5 anni dalla conclusione del corso. Se al 3 ottobre 2022 i 5 anni risulteranno già trascorsi, il lavoratore per mantenere valida la sua formazione dovrà provvedere a un aggiornamento rispetto alla nuova normativa entro il 3 ottobre 2023.

Green Pass e privacy

Da oggi, 15 ottobre 2021, il Green Pass diventa obbligatorio in ambito lavorativo. Verificato se le procedure adottate rispettano la privacy?

Da oggi, 15 ottobre 2021, il Green Pass diventa obbligatorio in Italia per svolgere attività lavorative nel settore pubblico e privato. In molti stanno ripassando le FAQ sul sito del Governo per essere certi di sapere che cosa si può fare e che cosa no, ma soprattutto come fare quel che si deve. In pochi, invece, si pongono il problema della definizione di procedure operative che rispettino anche i requisiti del GDPR, convinti che il divieto di qualunque tipo di registrazione dei controlli effettuati escluda automaticamente dall’applicazione della normativa privacy. Ma non è così!

Si trattano dati personali verificando il Green Pass?

Il Green Pass contiene un codice a barre bidimensionale (QR code) che consente di effettuare la verifica delle condizioni che hanno portato all’emissione del certificato (vaccinazione, guarigione dalla Covid-19 o tampone), e i seguenti dati:

  1. nome e cognome;
  2. data di nascita;
  3. identificativo univoco del certificato.
Il Green Pass contiene un codice a barre bidimensionale (QR code) e alcuni dati comuni (nome e cognome e data di nascita) oltre all'identificativo univoco del certificato.

Per quanto comuni possano essere questi dati, restano dati personali. Inoltre, il fatto che il certificato attesti una delle tre condizioni previste per l’emissione, lo avvicina a un dato relativo allo stato di salute della persona e, come tale, è da gestire almeno in via prudenziale.

Gli adempimenti in materia di privacy per il Green Pass

In termini operativi la procedura è ormai abbastanza chiara: si tratta di formalizzare la modalità con cui l’organizzazione eseguirà le verifiche, incaricare i soggetti che effettueranno la verifica del possesso e della validità del Green Pass, si dovranno gestire i casi di controllo che hanno avuto esito negativo e, in caso si rilevino violazioni del divieto di accesso al luogo di lavoro senza Green Pass, applicare le sanzioni disciplinari previste dal contratto collettivo nazionale di riferimento.

La verifica del possesso del Green Pass deve essere effettuata attraverso l'app Verifica C19 e senza alcuna raccolta dei dati.

Sul fronte privacy, questa operatività richiede tre adempimenti:

  1. la nomina degli incaricati al controllo della verifica del Green Pass anche in ottica di protezione dei dati personali. In sostanza questa nomina equivale alla nomina di un incaricato al trattamento e, quindi, deve fornire le istruzioni necessarie alla corretta esecuzione del trattamento, assicurando il rispetto dei principi di riservatezza e minimizzazione;
  2. la predisposizione di informative relative al trattamento dei dati connesso alla verifica del Green Pass, da consegnare a tutti gli interessati e/o da esporre in azienda;
  3. la revisione del registro dei trattamenti con l’aggiunta di questo ulteriore trattamento.

Gli accorgimenti da seguire in fase operativa

Il certificato cartaceo è da piegare, rispettando le istruzioni riportate sul certificato stesso. Non solo la parte del documento che contiene informazioni ulteriori a identità, data di nascita e identificativo del certificato non devono risultare visibili, ma nell’ambito dei controlli sul lavoro si deve anche vietare la verifica di ogni dato ulteriore a quello riportato sul frontespizio.

Il Green Pass cartaceo è da piegare, rispettando le istruzioni riportate sul certificato stesso

Il fatto che la verifica del possesso del Green Pass sia effettuata attraverso l’app VerificaC19 e senza alcuna raccolta dei dati, significa che:

  • non si possono fotografare i Green Pass, cartacei o digitali che siano;
  • non si può richiedere copia del certificato digitale;
  • non è possibile registrare la scadenza dei certificati.

I datori di lavoro che lamentano difficoltà organizzative possono considerare la possibilità, ammessa dal 9 ottobre scorso, di richiedere ai lavoratori di comunicare con anticipo rispetto alla scadenza del proprio certificato tale condizione, al fine di ridurre le conseguenze sulla programmazione del lavoro in azienda. L’indicazione più diffusa è quella di richiedere la comunicazione con 48 ore di anticipo.

Nel caso dei soggetti esclusi dall'obbligo del Green Pass per ragioni di salute, chi effettua il controllo dovrà fare attenzione a non trattare o raccogliere dati che non sia quelli essenziali alla verifica dell'esenzione, escludendo quindi ogni informazioni in merito alla condizione che ha dato luogo all'esenzione.

Infine, nel caso dei soggetti esclusi dall’obbligo del Green Pass per ragioni di salute, in attesa che vengano emessi i QR code dedicati, chi effettua il controllo dovrà fare attenzione a non trattare o raccogliere dati che non sia quelli essenziali alla verifica dell’esenzione, escludendo quindi ogni informazioni in merito alla condizione che l’ha determinata. Per i dipendenti della pubblica amministrazione, il DPCM del 12 ottobre 2021, ha stabilito che, in attesa dell’emissione dei QR code dedicati, gli esentati non potranno essere soggetti ad alcun controllo nel momento in cui avranno trasmesso la relativa documentazione sanitaria al medico competente dell’amministrazione di appartenenza.

Si può registrare l’esito negativo del controllo?

La risposta è sì, in quanto, se il lavoratore dichiara di essere sprovvisto o risulta sprovvisto del certificato verde, seguono delle conseguenze che risulterebbero contestabili in assenza di una prova dell’esito negativo della verifica. In questo caso il dato non risulta rilevante o sensibile perché i motivi per cui un soggetto sia privo di Green Pass possono essere molto diversi e comunque non vi è ragione di identificarli.

Se il lavoratore dichiara di essere sprovvisto o risulta sprovvisto del certificato verde, seguono delle conseguenze che risulterebbero contestabili in assenza di una prova dell'esito negativo della verifica.

Il caso degli enti giuridici

Il titolare del trattamento in caso di ente giuridico è l’ente medesimo. In questo caso è necessario predisporre l’incarico quale autorizzato al trattamento e le relative istruzioni anche al datore di lavoro dell’ente.

Cookie analytics e miglioramenti dell’informativa

Le "Linee guida cookie e altri strumenti di tracciamento" pubblicate a 10 giugno 2021 dal Garante per la protezione dei dati personali forniscono dettagli sui cookie analytics e su alcuni aspetti da valutare in relazione alle informative privacy.

Continuo l’approfondimento sulle Linee guida cookie e altri strumenti di tracciamento pubblicate lo scorso 10 giugno dal Garante per la protezione dei dati personali. Dopo un’analisi delle pratiche da evitare e della proposta del garante per la gestione dei cookie, oggi parliamo di cookie analytics e di alcuni aspetti da valutare in relazione alle informative privacy.

Cookie analytics: che cosa sono e che cosa richiede il Garante

I cookie che vengono utilizzati per ricavare dati in merito all’efficacia di un sito web o alle visite al sito da parte degli utenti, con la possibilità di ottenere dati in relazione all’area geografica, alla durata della permanenza sul sito o al percorso compiuto all’interno di un sito, vengono chiamati cookie analytics.

A dimostrazione che la gestione della privacy non è un’attività di cui ci si può occupare una volta e mai più, il Garante rivede con le linee guida del 2021 la sua posizione in materia di cookie analytics e obbligo di consenso. Nel 2014 si era espresso considerando questi cookie quale una sottocategoria di quelli tecnici, ossia necessari al funzionamento del sito e come tali esclusi dall’obbligo di acquisizione del consenso dell’interessato. Oggi il Garante ritiene che questa equivalenza tra cookie ananlytics e cookie tecnici sia possibile solo nel caso in cui i primi siano gestiti in modo da non consentire l’identificazione del singolo interessato.

I cookie che vengono utilizzati per ricavare dati in merito all'efficacia di un sito web o alle visite al sito da parte degli utenti vengono chiamati cookie analytics.

In altre parole, il Garante ritiene che i cookie analytics possano essere esclusi dall’obbligo di acquisizione del consenso se:

  • uno stesso cookie è riferibile a più dispositivi, in modo da creare una ragionevole incertezza sull’identità informatica del soggetto che riceve il cookie sul proprio dispositivo;
  • il cookie consente solo la produzione di statistiche aggregate;
  • un cookie è utilizzato in relazione a un singolo sito o una sola applicazione mobile, in modo da non consentire il tracciamento della navigazione della persona tra applicazioni e siti diversi.

L’ultimo passaggio delle linee guida in materia di cookie analytics riguarda la possibilità di effettuare analisi statistiche relative a più canali, attività che è soggetta a vincoli diversi a seconda che chi svolge l’analisi sia un soggetto terzo o il titolare dei canali.

I cosiddetti soggetti terzi, come Google Analytics, che forniscono al proprietario o al gestore del sito il servizio di rilevazione dei dati non possono combinare i dati, anche minimizzati come previsto all’elenco precedente, con altre elaborazioni (ex. statistiche di visite ad altri siti) né trasmetterli a ulteriori terzi. L’unica è eccezione è quella in cui le statistiche facciano riferimento a più domini, siti web o app riconducibili al medesimo proprietario o gruppo imprenditoriale.

I cosiddetti soggetti terzi, come  Google Analytics, che forniscono al proprietario o al gestore del sito il servizio di rilevazione dei dati non possono combinare i dati con altre elaborazioni né trasmetterli a ulteriori terzi.

Resta invece possibile a un titolare, proprietario di più domini, siti web o app, effettuare analisi statistiche relative a tutti i canali, anche in assenza delle misure di minimizzazione, purché proceda in proprio all’elaborazione statistica e non utilizzi i risultati dell’elaborazione a fini commerciali.

Gli aspetti da migliorare nelle informative privacy

L’informativa, ricorda il Garante, deve essere sviluppata in un’ottica di trasparenza verso l’utente e deve contenere l’indicazione degli eventuali soggetti destinatari dei dati personali e dei tempi di conservazione delle informazioni acquisite. Inoltre, l’utente deve individuare nell’informativa le indicazioni su come può esercitare tutti i diritti previsti dal Regolamento, incluso quello di avanzare una richiesta di accesso ai dati e di proporre un reclamo a un’autorità di controllo.

Vi sono però due dettagli specifici che devono essere messi a fuoco da parte del titolare del trattamento dati.

Il primo riguarda il fatto che, in assenza di un sistema universalmente accettato di codifica dei cookie e degli altri strumenti di tracciamento che consenta di distinguerli in modo oggettivo, è in carico al titolare mettere a fuoco i sistemi adottati integrando dell’informativa privacy almeno con i criteri di codifica dei sistemi in questione.

Il secondo dettaglio riguarda invece il fatto che è onere del titolare adottare ogni accorgimento necessario a garantire che le informazioni contenute nel banner siano fruibili, senza discriminazioni, anche da parte di chi, a causa di disabilità, necessita di tecnologie assistive o configurazioni particolari.

Gli obblighi sono stemperati dalla messa a fuoco di due opportunità in termini di realizzazione dell’informativa, che il titolare deve però valutare in termini di adeguatezza ai requisiti del Regolamento:

1. l’informativa può essere multilayer, quindi suddivisa in sezione o livelli, con gradi di approfondimento crescenti e dettagli specifici per alcune pagine di un sito;

2. l’informativa può essere multichannel, cioè resa attraverso più canali e modalità (ex. video, pop-up informativi, assistenti virtuali, chatbot).

Gestione dei cookie secondo la proposta del Garante

Con la pubblicazione delle "Linee guida cookie e altri strumenti di tracciamento", il Garante per la protezione dei dati personali ha individuato alcune pratiche che proprio non vanno nell'attuale gestione dei cookie e ha proposto una soluzione operativa dettagliata da adottare nei siti web di cui si è titolari.

Con la pubblicazione delle “Linee guida cookie e altri strumenti di tracciamento“, il Garante per la protezione dei dati personali ha individuato alcune pratiche che proprio non vanno nell’attuale gestione dei cookie e ha proposto una soluzione operativa dettagliata da adottare nei siti web di cui si è titolari. Ecco una sintesi della proposta del Garante, punto per punto.

0. Impostazioni di default

Per impostazione predefinita nessun cookie o altro strumento diverso da quelli tecnici deve essere posizionato all’interno del dispositivo dell’utente al momento del primo accesso a un sito web, né deve essere utilizzata alcuna altra tecnica attiva o passiva di tracciamento.

Il proprietario del sito può definire un meccanismo in base al quale l’utente, accedendo per la prima volta a una qualunque pagina del sito web, visualizzi immediatamente un’area o banner di dimensioni sufficienti a essere individuato e riconoscibile.

1. Il banner per la gestione dei cookie

Il proprietario del sito può definire un meccanismo in base al quale l’utente, accedendo per la prima volta a una qualunque pagina del sito web, visualizzi immediatamente un’area o banner di dimensioni sufficienti a essere individuato e riconoscibile, ma tale da impedire che l’utente possa compiere scelte indesiderate o inconsapevoli.

Il banner può consentire il mantenimento di impostazioni di default e, attraverso un’azione specifica dell’utente, l’espressione del suo consenso. In particolare, se l’utente scegliesse di mantenere le impostazioni di default e di non prestare il consenso al posizionamento dei cookie o all’impiego di altre tecniche di tracciamento, dovrebbe limitarsi a chiudere il banner mediante selezione di una X posizionata in alto a destra e all’interno del banner, senza essere costretto ad accedere ad altre aree o pagine. La X deve avere la stessa evidenza grafica dei comandi a disposizione dell’utente per esprimere le proprie scelte.

Il banner per la gestione dei cookie può consentire il mantenimento di impostazioni di default e, attraverso un'azione specifica dell'utente, l'espressione del suo consenso.

Il banner deve contenere anche le seguenti indicazioni e opzioni come contenuto minimo:

  • l’avvertenza che la chiusura del banner mediante selezione della X comporta l’accettazione delle impostazioni di default (navigazione senza cookie o altri strumenti di tracciamento diversi da quelli tecnici);
  • un’informativa minima relativa al fatto che il sito utilizza cookie o altri strumenti tecnici e potrà utilizzare, esclusivamente previa acquisizione del consenso dell’utente, anche cookie di profilazione o altri strumenti di tracciamento per inviare messaggi pubblicitari, personalizzare il servizio e/o per effettuare analisi e monitoraggio dei comportamenti dei visitatori del sito;
  • il link alla privacy policy (che deve essere presente anche nel footer di ogni pagina del sito), accessibile con un solo click, che fornisca in maniera chiara e completa almeno tutte le indicazioni di cui agli artt. 12 e 13 del Regolamento, anche con riguardo ai cookie o ad altri strumenti tecnici utilizzati dal sito;
L'utente deve poter modificare in ogni momento le scelte compiute in materia di cookie o altri sistemi di tracciamento.
  • un comando attraverso il quale sia possibile esprimere il proprio consenso accettando il posizionamento di tutti i cookie o l’impiego di eventuali altri strumenti di tracciamento;
  • il link a un’ulteriore area dedicata nella quale l’utente possa selezionare in modo analitico soltanto le funzionalità, i soggetti (cd. terze parti) e i cookie, eventualmente raggruppati per categorie omogenee, a cui sceglie di acconsentire. L’elenco delle terze parti deve essere tenuto costantemente aggiornato e consentire di raggiungere il sito del soggetto specifico o di un soggetto intermediario che lo rappresenta. E le impostazioni di default di ogni singolo elemento devono prevedere il diniego all’installazione dei cookie, con possibilità per l’utente di accettarne il posizionamento caso per caso.
Il proprietario del sito deve prevedere un'ulteriore area dedicata nella quale l'utente possa selezionare in modo analitico soltanto le funzionalità, i soggetti (cd. terze parti) e i cookie, eventualmente raggruppati per categorie omogenee, a cui sceglie di acconsentire.

1.1 Solo cookie tecnici o strumenti analoghi

Nell’eventualità in cui sia prevista la sola presenza di cookie tecnici o altri strumenti analoghi, il titolare del sito potrà darne informazione nella homepage o nell’informativa generale senza l’esigenza di apporre specifici banner da rimuovere a cura dell’utente.

2. La gestione delle scelte in merito ai cookie

L’utente deve poter modificare in ogni momento le scelte compiute. Pertanto deve essere introdotto un link nel footer delle pagine del sito con una dicitura del tipo “rivedi le tue scelte sui cookie” che dia accesso alla sezione relative ai consensi. Ogni modifica delle scelte dovrà sovrascrivere e superare le precedenti e le scelte di design di quest’area non devono influenzare o penalizzare un’opzione rispetto a un’altra, quindi devono essere utilizzati comandi e caratteri di uguali dimensioni, enfasi e colori, tutti ugualmente facili da visionare e utilizzare.

Ogni modifica delle scelte dell'utente in merito ai cookie dovrà sovrascrivere e superare le precedenti. Il titolare del sito web deve essere in grado di dimostrare di avere raccolto il consenso, quando necessario, e di disporre della documentazione aggiornata che attesti le scelte compiute dall'interessato.

In particolare il Garante suggerisce di posizionare in ciascuna pagina del sito, eventualmente accanto al link all’area dedicata alle scelte, una soluzione grafica che indichi, anche in modo essenziale, lo stato dei consensi resi dall’utente, favorendone in ogni momento l’eventuale modifica o aggiornamento.

3. Poter dimostrare di aver raccolto il consenso

Il titolare del sito web deve essere in grado di dimostrare di avere raccolto il consenso, quando necessario, e di disporre della documentazione aggiornata che attesti le scelte compiute dall’interessato. Per fare questo il gestore del sito web potrebbe avvalersi o di appositi cookie tecnici o di ulteriori modalità che la tecnologia dovesse rendere disponibili, e la cui individuazione è in carico al titolare del sito.

I dettagli delle Linee guida del Garante non finisco qui, settimana prossima approfondiremo quelli che riguardano i cookie analytics e alcuni miglioramenti da apportare alle informative