Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il diritto di accesso può comprendere informazioni sulle date e sulle finalità delle consultazioni dei dati personali. L’identità dei dipendenti segue una valutazione distinta e non deve essere né consegnata né esclusa automaticamente.
La situazione.
Scenario illustrativo fittizio. Un cliente nota che una conoscente impiegata in banca conosce un pagamento riservato. Chiede chi abbia aperto il suo profilo negli ultimi mesi, quando e per quale motivo. La banca risponde soltanto che i log sono documenti interni contenenti dati del personale. L’ufficio sicurezza possiede registrazioni dettagliate, ma non le ha ancora confrontate con le attività lavorative autorizzate. Il cliente non chiede l’intero sistema informatico: vuole capire come siano stati consultati i propri dati.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
I registri possono contenere informazioni sulle operazioni effettuate sui dati del richiedente, oltre a informazioni relative ad altre persone.
- 02
Le date e le finalità delle consultazioni non coincidono con l’identità nominativa dell’operatore.
- 03
Un sospetto concreto di accesso improprio richiede verifiche di sicurezza, oltre alla gestione della richiesta di accesso.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Nella causa C-579/21 la Corte di giustizia ha chiarito la rilevanza, per il diritto di accesso, delle informazioni su date e finalità delle consultazioni. La natura bancaria dell’attività non sottrae il trattamento a questa tutela. Non è quindi sufficiente qualificare tutti i log come materiale riservato interno e rifiutare qualsiasi informazione.
L’identità del personale autorizzato che agisce sotto l’autorità del titolare non è oggetto di una comunicazione automatica. La Corte ammette una valutazione quando l’identificazione sia indispensabile per esercitare effettivamente i diritti, considerando anche diritti e libertà dei dipendenti. Occorre distinguere questo problema dalla ricostruzione di eventuali accessi abusivi e dalle conseguenti responsabilità, senza anticipare conclusioni non provate.
Cosa fare, in pratica.
- 01
Registrare la richiesta e chiarirne soltanto gli elementi necessari, evitando di imporre al cliente la conoscenza dei nomi tecnici degli archivi da interrogare.
- 02
Conservare le evidenze pertinenti e ricercare le consultazioni riferibili ai dati del richiedente, controllando attendibilità, intervallo temporale e sistemi coinvolti.
- 03
Preparare una spiegazione comprensibile di date, operazioni e finalità, senza limitarsi a codici che l’interessato non possa interpretare.
- 04
Valutare separatamente l’eventuale comunicazione dei nominativi con motivazione concreta e possibili misure di protezione delle altre persone.
- 05
Avviare l’analisi di sicurezza se emergono consultazioni estranee ai compiti, distinguendo accertamenti, misure correttive ed eventuali obblighi conseguenti a una violazione.
L’errore da evitare.
Rifiutare l’intera richiesta perché il registro contiene anche informazioni sui dipendenti che hanno utilizzato il sistema.
Tre verifiche da portare con te.
- Date e finalità ricostruite.
- Nominativi valutati separatamente.
- Sospetti accessi impropri verificati e documentati.
Un documento misto richiede una risposta ragionata sui dati del richiedente: la presenza di altre persone non cancella il diritto di capire le consultazioni.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.