Trattamento dati personali Dr. Antonio Piva -
[email protected]
2014
Il nuovo codice di protezione dei dati personali Il Codice, basandosi sul diritto alla protezione dei dati personali Il nuovo testo unico: riconosciuta a chiunque, raccoglie l’intera normativa coordinata ed è entrato in vigore il 1°gennaio 2004. Principi fondamentali: Finalità, necessità, liceità, correttezza, proporzionalità. Il Codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà personali, nonché della dignità dell’interessato con Finalità particolare riferimento alla riservatezza, all’idoneità personale e al diritto alla protezione dei dati personali. Il tutto deve avvenire secondo principi di armonizzazione, semplificazione ed efficacia delle modalità previste per la tenuta dei dati. I sistemi operativi e i programmi informatici sono configurati Principio di necessità riducendo al minimo l’utilizzazione dei dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità. 2
Il nuovo codice di protezione dei dati personali ART 1 : Chiunque ha diritto alla protezione dei dati che lo riguardano.
ART 2 : Parla di elevato livello di tutela nel rispetto dei principi di semplificazione ed efficacia per l’esercizio dei diritti da parte dell’interessato e per l’adempimento degli obblighi da parte del titolare del trattamento. ART 3 : Si rovescia la precedente impostazione: Principio di Necessità Chi tratta i dati lo può fare solo per specificate ragioni che non possono essere soddisfatte altrimenti. Trattare esclusivamente i dati strettamente necessari in condizioni di appropriata sicurezza.
3
Il principio di necessità
ART. 3:
I sistemi operativi ed i programmi informatici sono configurati riducendo al minimo l’utilizzazione dei dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità.
4
Evoluzione della tutela Tutela della riservatezza (diritto a essere lasciato solo)
Nel rispetto dei seguenti principi: 1. Qualità dei dati 2. Finalità del trattamento 3. Necessità del trattamento
Tutela dei dati personali (diritto al controllo sul flusso dei dati) Tutela dell’identità personale (diritto a essere rappresentati come si è) 5
Definizioni Interessato : persona fisica cui si riferiscono i dati personali; Titolare : persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo, cui competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; Responsabile : la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; Dato Personale : qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; Dato Identificativo : dato personale che permette la diretta identificazione dell'interessato;
6
Definizioni Dati Sensibili : dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale;
Dati Giudiziari : dati personali idonei a rivelare provvedimenti di cui all’articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale; Dati Quasi -Sensibili : dati personali diversi da quelli sensibili e giudiziari il cui trattamento può comportare rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità di trattamento o agli effetti che può determinare; 7
Definizioni Dato Anonimo : il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile; Trattamento : qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati; Comunicazione : il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; Diffusione : il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; 8
L’assetto organizzativo Il titolare
Responsabile Esterno
Incaricato
Incaricato
Quando il trattamento è effettuato da una persona giuridica, titolare è l’entità nel suo complesso o l’unità o organismo periferico che esercita un potere decisionale autonomo. Il responsabile è nominato facoltativamente dal titolare.
Responsabile Interno
Incaricato
Incaricato
La designazione degli incaricati è effettuata per iscritto e individua l’ambito del trattamento consentito.
Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attendendosi alle istruzioni impartite. 9
TRATTAMENTO La tutela è estesa anche alle operazioni eseguite su supporto cartaceo o manualmente. La legge è applicabile anche ai trattamenti effettuati nel territorio dello stato i cui dati sono detenuti all’estero. I Soggetti del Trattamento: Titolare del trattamento : È investito del potere decisionale circa la destinazione dei dati, sulla pianificazione delle linee strategiche ed organizzative, sulla metodologia della raccolta e di trattamento, obiettivi e scopi, sistemi di sicurezza. In particolare ha il compito di scegliere i collaboratori, interni o esterni, a cui affidare le singole operazioni di trattamento (incaricati e responsabili). 10
Responsabile del trattamento : Non è una funzione obbligatoria per legge, ma è una figura molto importante, in quanto affianca il titolare per compiti e responsabilità, in grado di soddisfare esigenze tecnico-pratiche connesse al trattamento. Deve essere dotato dei requisiti individuati all’ Art. 29 del Codice. Il profilo imposto dalla legge conduce necessariamente il responsabile a rispondere, nella stessa misura del titolare, alle manchevolezze del suo operato. Il responsabile del trattamento può essere alle dirette dipendenze del titolare o un ente o persona giuridica autonoma.
11
Art. 29 (Responsabile del trattamento) 1. Il responsabile e' designato dal titolare facoltativamente. 2. Se designato, il responsabile e' individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. 3. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti. 4. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare. 5. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni. 12
Incaricato del trattamento : E’ il soggetto che materialmente esegue le singole operazioni di trattamento. In base all’ Art. 30 del Codice devono attenersi alle istruzioni del titolare o responsabile. L’incaricato non ha alcuna responsabilità di fronte la legge e le conseguenze di un eventuale inadempimento ricadono sempre sui soggetti alla cui autorità è sottoposto, i quali in un secondo momento potranno rivalersi sull’incaricato in questione. Pertanto è consigliata una selezione particolare per la loro identificazione e anche per la loro sensibilizzazione in merito alla riservatezza delle informazioni anche tramite adeguato addestramento e formazione. La nomina è disciplinata dall’ Art. 30, comma 2, il quale stabilisce che la designazione deve essere fatta per iscritto e deve individuare l’ambito del trattamento consentito per ciascun incaricato.
13
Art. 30 (Incaricati del trattamento) 1. Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite. 2. La designazione e' effettuata per iscritto e individua puntualmente l'ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unità per la quale e' individuato, per iscritto, l'ambito del trattamento consentito agli addetti all'unita' medesima.
14
La qualità dei dati Articolo 11: I dati personali oggetto di trattamento devono essere: a)
trattati in modo lecito e secondo correttezza;
b)
raccolti e registrati per scopi determinati, espliciti e legittimi, e utilizzabili in altre operazioni del trattamento in termini non incompatibili con tali scopi;
c)
esatti, e se necessario, aggiornati;
d)
pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
e)
conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. 15
Il diritto di accesso L’interessato ha diritto ad ottenere: - aggiornamento, rettifica ovvero integrazione; - cancellazione, anonimizzazione o blocco dei dati trattati in violazione di legge; - attestazione che tali operazioni sono state portate a conoscenza di coloro ai quali i dati sono stati comunicati, tranne il caso di impossibilità o di costo sproporzionato. L’interessato ha diritto a opporsi: - per motivi legittimi al trattamento dei dati personali che lo riguardano; - al trattamento dei dati personali a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. 16
Una garanzia effettiva: il diritto al riscontro (1)
A garanzia dell’effettivo esercizio dei diritti di cui all’ Art. 7, il titolare è tenuto ad adottare misure che: a) agevolino l’ accesso ai dati all’interessato anche con appositi programmi; b) semplifichino modalità e riducano tempi per il riscontro da parte del richiedente. I dati vengono comunicati al richiedente anche oralmente ovvero sono offerti in visione mediante strumenti elettronici (purchè la loro comprensione sia agevole). Su richiesta, sussiste l’obbligo di trasposizione dei dati stessi su supporto cartaceo o informatico, ovvero la trasmissione per via telematica.
17
Una garanzia effettiva: il diritto al riscontro (2)
Il riscontro ha per oggetto TUTTI i dati personali del richiedente. Se l’estrazione è difficoltosa, è sufficiente l’esibizione o la consegna di copia degli atti.
La comunicazione dev’essere comprensibile. In caso di utilizzo di codici, devono essere fornite chiavi di lettura idonee. Se i dati risultano inesistenti, il titolare ha diritto a un contributo spese.
18
Art. 7: I DIRITTI DELL’INTERESSATO Il codice ha riservato un intero articolo per definire i diritti di cui l’interessato gode per poter controllare la correttezza e liceità dei trattamenti dei suoi dati da parte dei soggetti che li hanno direttamente o indirettamente raccolti. In sintesi i diritti dell’interessato sono: - Diritto di accesso, ossia il diritto di ottenere la conferma dell’esistenza o meno dei dati personali che lo riguardano ed in particolare ha il diritto di conoscere: - l’origine dei dati; - le finalità e le modalità del trattamento; - la logica applicata in caso di trattamento automatizzato; - gli estremi identificativi del titolare e degli eventuali responsabili; - i soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati; - Diritto di interdizione, ovvero la facoltà di ottenere l’aggiornamento, la rettifica e l’integrazione dei dati; - Diritto di inibizione, ovvero la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione della legge; - Diritto di opposizione ai trattamenti leciti in presenza di motivi legittimi e nel caso di invio di materiale pubblicitario o vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. 19
L’informativa all’interessato Contenuti: - Finalità e modalità del trattamento;
Funzione: Costituisce lo strumento principale a disposizione dell’interessato per esercitare il controllo sul flusso dei dati.
- Natura obbligatoria o facoltativa dl conferimento dei dati;
- Conseguenze di un eventuale rifiuto di rispondere; - Soggetti o categorie di soggetti a cui i dati sono comunicati o che possono venire a conoscenza in qualità di responsabili o incaricati o l’ambito di diffusione degli stessi;
- I diritti di cui all’art. 7; - Nome, denominazione sociale, residenza o sede del titolare e di almeno un responsabile; - Le categorie di dati trattati, se questi sono raccolti presso terzi; - Indicazioni specifiche per categorie di soggetti. 20
L’informativa all’interessato (Art. 13) Il principio dell’informativa sottintende il concetto di trasparenza. Infatti l’interessato deve essere edotto chiaramente ed esaustivamente su tutti quegli elementi che coinvolgono il trattamento dei suoi dati personali. Queste informazioni devono essere rilasciate al momento della raccolta e cioè preventivamente al conferimento dei dati da parte dell’interessato per permettergli una cosciente scelta in merito alla destinazione dei dati che lo riguardano. La forma con cui le informazioni sono rese all’interessato può essere scritta o orale (si pensi al caso in cui i dati siano raccolti per via telefonica). L’informativa può essere resa anche via web e deve contenere tutte le finalità per le quali i dati personali vengono raccolti. L’informativa è dovuta anche se il trattamento non comporta il rilascio del consenso. 21
ART. 23 - Il consenso Il consenso è un altro elemento fondamentale introdotto a livello internazionale per la protezione dei dati personali. Il trattamento dei dati è ammesso in via generale sono con il consenso espresso dell’interessato . Ciò significa che deve essere manifestata una volontà chiara ed esplicita da parte dell’interessato (non basta il consenso implicito). Il consenso può riferirsi sia all’intero trattamento dei dati, sia ad una o più operazioni dello stesso, pertanto i dati trattati dal titolare dell’operazione di raccolta, ma oggetto di comunicazione a terzi, necessitano della richiesta sia del consenso per la raccolta sia di quello per la comunicazione a terzi. Il consenso può considerarsi valido solo se espresso liberamente, in forma specifica e documentata per iscritto e se è stata resa l’informativa. Si conferma quindi il principio di sovranità dell’interessato. 22
ART. 23 - Il consenso Si nota che il conferimento del consenso deve essere espresso e specificatamente documentato. Nel caso dei dati ordinari la forma scritta è prevista esclusivamente per documentare il consenso; sostanzialmente l’interessato può esprimere il proprio consenso anche oralmente purché il soggetto che raccoglie i dati abbia cura di documentare per iscritto la manifestazione della volontà (ad esempio a seguito della raccolta di dati per via telefonica). I ‘dati sensibili’ sono dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Per quanto riguarda i dati sensibili, la legge ha previsto adempimenti particolari: Essi possono essere oggetto di trattamento solo con il consenso scritto. Osserviamo che la forma scritta richiesta per il trattamento dei dati sensibili è un requisito diverso dalla forma scritta menzionata quale requisito del consenso per il trattamento dei dati personali in generale. Nel caso di dati sensibili è il medesimo interessato a dover conferire per iscritto il proprio consenso ->>> FIRMA DIGITALE su WEB. 23
COMUNICAZIONE E DIFFUSIONE DEI DATI La comunicazione può essere considerata un’ipotesi specifica di trattamento per la quale è necessario un consenso specifico. Nell’informativa devono essere indicati i soggetti ai quali i dati raccolti sono comunicati; questi soggetti devono essere comunque ben identificati, anche nominalmente (identificabili in modo univoco e determinato, elencabili nominativamente). Nell’ipotesi della comunicazione è fondamentale che la persona a cui i dati si riferiscono sia messa a conoscenza, tramite opportuna informativa, della possibilità che i dati propri siano ceduti a terzi. Per diffusione si intende dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione (si pensi al web). A differenza della comunicazione, l’ambito di diffusione è più vago in quanto i soggetti terzi non sono identificabili singolarmente. Nell’informativa si deve precisare se i dati sono comunicati o diffusi e indicare a quali categorie o soggetti i dati saranno comunicati o diffusi.
24
COMUNICAZIONE E DIFFUSIONE DEI DATI Requisiti per la comunicazione e la diffusione dei dati: - il consenso espresso dell’interessato che, secondo le indicazioni fornite dal Garante, si deve esplicitare attraverso specifiche opzioni di tipo positivo che consentano all’interessato di prestare o negare il proprio consenso; - il consenso deve essere prestato in forma specifica; l’interessato deve potersi esprimere separatamente per ogni trattamento, per ogni finalità e per ogni titolare; - l’interessato deve ricevere un’informativa preventiva che sia chiara ed esaustiva e solo in presenza di questa può ritenersi soddisfatta la condizione di consenso informato. Per la comunicazione e diffusione dei dati sensibili valgono le regole stabilite all’ Art. 26 d.lgs 196 ex Art. 22 675 (consenso scritto e autorizzazione del Garante). Il divieto di diffusione dei dati inerenti alla salute era già sancito dall’ Art 23, comma 41 675.
25
OSSERVAZIONE Infine notiamo che, sebbene non necessariamente indicato nell’informativa, il soggetto che raccoglie i dati deve attenersi alla rilevazione lecita (compatibilità tra i dati raccolti e le finalità del trattamento perseguite dal titolare e notificate opportunamente) e corretta dei soli dati che sono strettamente necessari per lo svolgimento del fine della raccolta.
Deve peraltro mantenerli esatti e aggiornati, conservarli per permettere l’identificazione dell’interessato per il solo periodo necessario agli scopi per i quali sono stati raccolti. Deve poi raccogliere i dati per scopi legittimi, espliciti, determinati e tenendo conto delle qualità di completezza, pertinenza e non eccedenza rispetto alle finalità.
26
Dati Sensibili I ‘Dati sensibili’ sono definiti nell’ Art. 4 lettera d, come: ‘ I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante.’ Ad esempio, semplicemente il nome o cognome possono rilevarne l’origine etnica, oppure l’essere abbonati ad un quotidiano sostenuto da un determinato partito può fare desumere idee politiche del soggetto. Ne discende che non è il dato ad essere più o meno sensibile, bensì è la finalità per cui è raccolto e l’elaborazione o il tipo di trattamento a cui è sottoposto che lo rendono tale. L’autorizzazione del Garante può non essere obbligatoria in particolari ambiti: rapporto di lavoro (autorizzazione generale del garante 1/2000), settore medico (2/2000), organismi di tipo associativo (3/2000), investigatori privati (6/2000). Le autorizzazioni generali permettono di continuare il trattamento senza richiedere l’autorizzazione preventiva al Garante, ma acquisendo il consenso scritto dell’interessato. 27 Esistono anche eccezioni che ammettono il trattamento senza il consenso.
Notifica al Garante La Notifica al Garante è necessario solo se il trattamento riguarda: 1) 2) 3) 4) 5) 6)
dati genetici, biomedici o relativi all’ubicazione; dati idonei a rivelare lo stato di salute (in alcuni contesti specifici); dati idonei a rivelare la vita sessuale; dati volti a definire il profilo dell’interessato o a monitorare l’utilizzo dei servizi di comunicazione elettronica; dati sensibili per la selezione del personale per conto di terzi o per sondaggi d’opinione; dati registrati in banche dati sulla solvibilità economica, situazione patrimoniale.
Chi non è soggetto all’obbligo di notifica è comunque tenuto a fornire tutte le informazioni contenute nel modello di notifica a meno che esse non siano contenute in registri pubblici o in documenti conoscibili da chiunque. 28
GARANTE DELLA PRIVACY Si sottolinea l’indipendenza e autonomia di giudizio e valutazione del Garante, dotato infatti di propria soggettività giuridica e slegato da influenze politiche. Tale organo esercita il suo potere di vigilanza e i suoi compiti di garanzia e controllo sull’attuazione della norma in materia di privacy agendo in piena libertà, autogovernandosi e decidendo autonomamente le proprie linee di condotta. In particolare le competenze sono: -istituire un registro generale in base alle notificazioni; -predisporre la modulistica per le comunicazioni; -controllare se i trattamenti sono effettuati in base alle norme e notificazioni; -segnalare ai titolari le modificazioni per ottemperare alla norma; -ricevere reclami o segnalazioni e disbrigare i ricorsi; -adottare provvedimenti; -vigilare sui casi di cessazione; -promuovere la conoscenza e applicazione delle normative e i codici di deontologia, partecipazione e promozione di convegni (bollettino, newsletter settimanale sul sito); -vietare il trattamento se vi sono rischi; -segnalare al governo l’opportunità di provvedimenti;
-…
29
GARANTE DELLA PRIVACY
-predisporre annualmente la relazione sull’attività e stato di applicazione delle norme; -esercitare il controllo sui trattamenti mediante visita ed ispezioni; -occuparsi delle autorizzazioni individuali e generali per esempio sul trattamento dei dati sensibili; -emettere pareri consulenziali offerti in caso di situazioni inerenti la privacy. Considerando in particolare la tutela dei diritti dell’interessato il Garante effettua interventi di carattere inibitorio, cautelare o sanzionatorio.
30
Trasferimento dati all’estero Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all’Unione europea. Il trasferimento è vietato qualora l’ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato. Sono valutate anche le modalità del trasferimento e dei trattamenti previsti, le relative finalità, la natura dei dati e le misure di sicurezza.
31
Trasferimento dati all’estero Applicata ad Internet questa disposizione può portare a delle conseguenze paradossali, infatti la semplice immissione in rete di un dato equivale al suo trasferimento in tutto il mondo senza avere la possibilità a priori di conoscere neppure il percorso seguito e se i paesi nei quali il dato è transitato (o transiterà) sono dotati o meno di una normativa adeguata. L’applicazione letterale avrebbe richiesto la necessità di una notifica per ogni paese collegato a Internet e il controllo da parte del Garante dell’adeguatezza. La Commissione dell’Unione Europea ha siglato una decisione C(2001) 1539 relativa alle clausole contrattuali tipo per il trasferimento di dati verso Paesi terzi. Vengono definite regole di comportamento, che assumono la formula di clausole contrattuali su base volontaria, che costituiscono una salvaguardia per i soggetti coinvolti (titolare, responsabile ed interessato) Le clausole devono essere inserite nell’ambito di un apposito accordo sottoscritto tra l’esportatore dei dati e l’importatore dei dati che si trova 32 in un paese terzo.
Trattamento che presenta specifici rischi (Art.17)
Dati “quasi - sensibili” Il trattamento dei dati diversi da quelli sensibili e giudiziari, che presenta rischi specifici per i diritti e le libertà fondamentali nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità di trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure e accorgimenti a garanzia dell’interessato ove prescritti. Le misure e gli accorgimenti sono prescritti dal Garante in applicazione dei principi sanciti dal presente codice, nell’ambito di una verifica preliminare all’inizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, anche se a seguito di un interpello del titolare. 33
Trattamento di dati sensibili e giudiziari Condizioni:
Autorizzazione del Garante (e non consenso) per:
1. consenso scritto; 2. autorizzazione del Garante;
Eccezioni:
• dati degli aderenti alle associazioni trattati dalle associazioni stesse
- dati degli aderenti alle confessioni religiose trattati dagli organismi che le rappresentano
• salvaguardia della vita e dell'incolumità fisica di un terzo
- dati delle associazioni sindacali o di categoria trattati dalle confederazioni
• adempimenti ad obblighi di legge per la gestione del rapporto di lavoro
Dati giudiziari
• svolgimento indagini difensive
il trattamento è consentito solo se autorizzato da espressa disposizione di legge o provvedimento del Garante. 34
Trattamento di dati da parte di soggetti pubblici
L’ Art. 18 del Codice precisa che il trattamento dei dati personali è consentito solo per lo svolgimento delle funzioni istituzionali, osservando i presupposti e limiti sanciti dal Codice. Vieta così ai soggetti pubblici di “inventarsi” nuove finalità e trattamenti che non trovino giustificazione in una legge o regolamento. Non è richiesto il consenso se non per gli esercenti le professioni sanitarie e gli organismi sanitari pubblici. Il trattamento dei dati diversi da quelli sensibili e giudiziari è consentito per quelle attività di minore impatto, anche in mancanza di una legge o regolamento.
35
Trattamento di dati da parte di soggetti pubblici Le finalità di rilevante interesse pubblico sono: - accesso a documenti amministrativi al fine di favorire la partecipazione e di assicurarne l’imparzialità e la trasparenza; -tenuta degli atti e dei registri dello stato civile, delle anagrafi della popolazione residente in Italia e dei cittadini italiani residenti all’estero, delle liste elettorali; - rilascio e rinnovo di visti, permessi, attestazioni , autorizzazioni e documenti di tipo sanitario per cittadinanza e immigrazione, riconoscimento del diritto di asilo o dello status di rifugiato, obblighi dei dati di lavoro o dei lavoratori e applicazione delle norme in materia di istruzione e alloggio; - elettorato attivo e passivo, di esercizio di altri diritti politici e documentazione dell’attività istituzionale di organi pubblici; - riconoscimento dei benefici economici, concessione di contributi e riconoscimento di esoneri e agevolazioni fiscali; - rapporti istituzionali con enti di culto, confessioni religiose e comunità religiose. 36
Trattamento di dati da parte di soggetti pubblici
Il trattamento viene riconosciuto alla finalità di istruzione e formazione in ambito scolastico, professionale, superiore o universitario, il “rilevante interesse pubblico” richiesto ai soggetti pubblici per il trattamento di dati personali. La comunicazione e la diffusione a soggetti pubblici sono ammesse quando siano previste da norme di legge o di regolamento o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In quest’ultimo caso, deve essere data comunicazione al Garante e le operazioni possono iniziare decorsi 45 giorni dalla comunicazione. La comunicazione e la diffusione di dati personali da parte di soggetti pubblici a privati o a enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento. E’ vietata la comunicazione e la diffusione di dati di cui è stata ordinata la cancellazione o per finalità diverse da quelle indicate nella notifica se prescritta.
37
Trattamento di dati sensibili da parte di soggetti pubblici Condizioni
I soggetti pubblici verificano periodicamente l’esattezza e l’aggiornamento dei dati sensibili e giudiziari, nonché la loro indispensabilità rispetto alle finalità perseguite nei singoli casi, anche rispetto ai dati che l’interessato conferisce di sua iniziativa. A tal scopo i soggetti pubblici valutano specificamente il rapporto tra i dati e gli adempimenti.
- previsione di legge che individui le finalità del trattamento;
I dati che risultano pertinenti o eccedenti o non indispensabili non possono essere utilizzati, salvo che per la conservazione a norma di legge dell’atto o del documento che li contiene.
- regolamento della P.A. che individui: - i tipi di dati trattati;
Specifica attenzione è riservata all’indispensabilità dei trattamenti di dati sensibili e giudiziari riferiti a soggetti diversi da quelli cui si riferiscono le prestazioni o gli adempimenti.
-
le operazioni eseguibili;
Gli istituti scolastici devono adottare un regolamento che disciplina il trattamento di dati sensibili e giudiziari in conformità alle indicazioni del Garante. 38
Consenso e casi di esonero (Art. 23 e 24) Il trattamento di dati personali da parte di soggetti privati ed enti pubblici economici è ammesso solo con il consenso espresso dell’interessato. Il consenso non è richiesto quando il trattamento: - è necessario per l’adempimento di un obbligo normativo; - è necessario per l’esecuzione di obblighi derivanti da contratto del quale è parte l’interessato; - riguarda dati provenienti da pubblici registri, elenchi o documenti conoscibili da chiunque; - riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della normativa in materia di segreto aziendale e industriale; - è necessario per la salvaguardia della vita o incolumità fisica di un terzo;
- è necessario per perseguire legittimo interesse del titolare o di terzo, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse. 39
Lavoratori dipendenti e applicazioni pratiche I datori di lavoro che trattano i dati personali dei lavoratori devono sempre tenere presente i principi fondamentali della riservatezza e della protezione dei dati stabiliti dal Codice e quanto indicato dallo Statuto dei Lavoratori. È necessaria l’adozione di un regolamento aziendale che stabilisca il corretto utilizzo ai quali sono destinati i beni e gli strumenti aziendali e quali forme di controllo il datore di lavoro intende applicare per verificarne il giusto uso. Il datore di lavoro deve adottare le seguenti misure in grado di prevenire rischi di utilizzi impropri, così da ridurre controlli successivi: - individuare preventivamente i siti considerati correlati o meno con la prestazione lavorativa; - utilizzare filtri che prevengano determinate operazioni, quali l’accesso a siti inseriti in una black list o il download di file musicali o multimediali; - rendere disponibili indirizzi condivisi tra più lavoratori, rendendo chiara la natura non privata della corrispondenza; - attribuire al lavoratore un altro indirizzo destinato ad uso personale; - prevedere, in caso di assenza del lavoratore, messaggi di risposata automatica con le coordinate di altri lavoratori a cui rivolgersi; - permettere al dipendente di delegare un altro lavoratore a verificare il contenuto dei 40 messaggi a lui indirizzati e ad inoltrare al titolare quelli ritenuti rilevanti per l’ufficio.
Lavoratori dipendenti e applicazioni pratiche
Pronunce sul mancato rispetto della privacy del dipendente
• Dati posti su cartellini identificativi; • Ritratti dei dipendenti durante spot pubblicitari; • Utilizzo dei log di connessione; • Busta - paga non sigillata; • Modalità di controllo dei tabulati di traffico telefonico; • Iscrizione a sindacati e dati sensibili; • Fornitura di dati per l’invio di curriculum vitae; • Assenze per malattie; • Dicitura “portatore di handicap”; • Mancato aggiornamento dei dati di dipendenti laureati; • Dicitura “pignoramento” sul cedolino stipendio; • Divulgazione di graduatorie. 41
Aspetti legati a frode informatica e al phishing Il phishing è un’attività truffaldina che, sfruttando tecniche di ingegneria sociale, mira al furto delle credenziali d’accesso al conto corrente del malcapitato, dal quale vengono prelevate somme di denaro generalmente trasferite all’estero. È un vero e proprio attacco, condotto soprattutto per mezzo della posta elettronica e viene considerato come reato di frode informatica.
Al fine di tutelarsi contro questi rischi è possibile: - utilizzare appositi programmi che bloccano le mail o collegamenti sospetti, confrontando gli indirizzi reali dei mittenti con le black list presenti in internet; - non rispondere a richieste di informazioni personali ricevute tramite posta elettronica; - visitare i siti internet digitando sempre l’indirizzo direttamente nella barra degli indirizzi. 42
Aspetti legati a frode informatica e al phishing Le azioni attraverso cui i truffatori agiscono sono costituite da una serie di fasi: - Preparazione dell’attacco: gli ideatori determinano le modalità con cui propagare l’attacco in rete; - Propagazione dell’attacco: vengono innescate le procedure rivolte a stabilire un contatto diretto o indiretto con la vittima, al fine di rubarne l’identità ottenendo le credenziali di autenticazione; - Azione della vittima: il soggetto vittima, convinto o distratto, risponde all’attacco seguendo il link fornito dal phisher; - Furto d’identità: si compie nel momento in cui l’utente fornisce i propri dati al phisher digitandoli in un messaggio di risposta o nel sito internet clone o per mezzo di programmi infetti attivati inconsapevolmente dal soggetto all’interno del proprio computer; - Consumazione della frode e truffa: il momento in cui si consuma il reato è quello in cui avviene da un lato l’indebita percezione del profitto e dall’altro lato la realizzazione del danno per l’utente; - Dispersione e reimpiego dei profitti: la condotta fraudolente del phisher non si esaurisce con la violazione del patrimonio del correntista; Subentra una fase di reclutamento di soggetti compiacenti e non, che si rendono disponibili al transito di capitali attraverso i propri conti correnti. 43
La privacy nei Social Network Un servizio di social network consiste in una struttura informatica che gestisce nel web le reti basate su relazioni sociali. Il community networking sta generando approcci innovativi al modo di conoscersi, lavorare, relazionarsi di molte persone, ma con alcuni rischi. Per far parte di un social network online occorre innanzitutto registrarsi, compilando il proprio profilo personale. Rispetto al rischio che il contenuto nel profilo-utente venga riprodotto ci sono scarse tutele, ovvero i dati possono essere copiati da altri membri del social network o da terzi non autorizzati e quindi venire utilizzati per costruire profili personali oppure essere ripubblicati altrove. Nella conferenza internazionale dei Garanti europei a Strasburgo nel 2008 è stata approvata la “Risoluzione della tutela della privacy nei social network” dove viene evidenziato che il principale rischio per la privacy è quello di perdere il controllo dell’utilizzo dei propri dati una volta pubblicati in rete. 44
La privacy nei Social Network Le immagini e le informazioni che vengono pubblicate e condivise nei social network, anche se poi vengono cancellate, potranno riemergere a distanza di anni. L’Autorità Garante ha impartito precise raccomandazioni a: - utenti, i quali devono valutare con attenzione se e in quale misura pubblicare dati personali in un profilo creato sui servizi di social network e sono comunque tenuti a rispettare la privacy altrui; - fornitori di servizi, i quali devono ottemperare la normativa in materia di protezione dei dati, in particolare informando gli utenti in merito al trattamento dei dati personali che li riguardano e alle conseguenze derivanti dalla loro pubblicazione sul profilo.
Se una persona ha già un profilo in un social network, il furto delle credenziali di accesso è sufficiente per impossessarsi anche della sua identità digitale. 45
Il Direct Marketing e lo Spamming Direct Marketing : insieme delle attività, nonché ogni servizio ausiliario ad esse, che permettono di offrire prodotti e servizi e di trasmettere ogni altro messaggio pubblicitario a segmenti di popolazione mediante posta, telefono o altri mezzi diretti a scopo d’informazione o al fine di sollecitare una reazione da parte della persona interessata. Spamming : tecnica di invio massivo e spesso indiscriminato di comunicazioni elettroniche non desiderate (messaggi di posta elettronica non richiesti), a fini commerciali. - costi a carico dell’azienda; Aspetti nocivi per l’azienda ricevente: - sottrazione di tempo utile agli operatori; - intasamento dei canali di trasmissione.
La lotta allo spam è combattuta con l’ausilio di diversi mezzi tecnici e sia gli stessi prestatori di servizi di comunicazione elettronica che gli utenti finali cercano di tutelarsi installando appositi software di filtraggio basati su black list. 46
Spamming e principi pronunciati dal Garante
E’ soggetto all’applicazione della privacy ed equivale a spamming l’invio di messaggi anche da parte di persone fisiche quando si tratti di comunicazione sistematica.
L’invio di e-mail commerciali indesiderate dovrebbe essere possibile solo qualora il destinatario abbia precedentemente acconsentito a ricevere tali messaggi. La presenza di un indirizzo e-mail di una persona su un sito internet non autorizza le aziende, per il solo fatto di essere pubblico, a utilizzarlo per inviare pubblicità. Internet non equivale ad un elenco pubblico.
47
Le comunicazioni commerciali indesiderate L’ Art. 130 del Testo Unico, disciplinante le comunicazioni indesiderate, dispone: L’uso di sistemi automatizzati di chiamata per l’invio di materiale pubblicitario o di vendita diretta è consentito con il consenso dell’interessato. Tale disposizione si applica anche alle disposizioni elettroniche, effettuate per suddette finalità mediante posta elettronica, sms, mms o altro. Se il titolare del trattamento utilizza, ai fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, informato, non rifiuti inizialmente o successivamente, tale uso. E’ vietato in ogni caso l’invio di comunicazioni a scopo promozionale effettuato camuffando o celando l’identità del mittente o senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i diritti previsti dal T.U. Qualsiasi ente, al fine di non essere contattati telefonicamente da aziende di telemarketing, può iscriversi al Registro delle Opposizioni.
48
Codice di buona condotta e Direct Marketing Ex Art. 140 T.U. disciplinante il Marketing diretto: Il Garante promuove la sottoscrizione di un codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato ai fini di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale, prevedendo anche, per i casi in cui il trattamento non presuppone il consenso dell’interessato, forme semplificate per manifestare e rendere meglio conoscibile l’eventuale dichiarazione di non voler ricevere determinate comunicazioni. E-mail commerciali lecite: - Consenso informato del destinatario; - Consenso chiesto previo invio e solo dopo aver informato l’interessato su scopi per i quali i suoi dati verranno usati; - Non ammesso invio anonimo di messaggi pubblicitari; - Obbligo far valere i diritti di coloro che sono i titolari dei dati; - Formazione di un elenco di chi invia e-mail pubblicitarie o di black-list che non deve comportare oneri per gli interessati. 49
Il Telemarketing Art. 130 : Gli abbonati che non desiderano ricevere telefonate pubblicitarie devono iscriversi al Registro pubblico delle opposizioni (regime di opt-out). Le società che operano nel settore del telemarketing non possono contattare i numeri degli abbonati che si sono iscritti nel Registro delle opposizioni, mentre la singola azienda che ha ricevuto in passato il consenso dell’abbonato a ricevere telefonate promozionali, potrà contattarlo anche se esso è iscritto nel Registro. Gli operatori di telemarketing che intendono contattare gli abbonati presenti negli elenchi telefonici pubblici per attività commerciali, promozionali o per il compimento di ricerche di mercato tramite l’uso del telefono, devono registrarsi al sistema gestito dal Gestore del registro pubblico delle opposizioni e a comunicare la lista dei numeri che intendono contattare. Il Gestore mettendo a confronto le informazioni contenute nel registro e la lista dei numeri fornita dall’operatore, cancellerà da essa tutti i numeri degli abbonati che hanno richiesto di non essere contattati. 50
Comunicazioni Telefoniche I dati relativi al traffico sono definiti come i dati sottoposti a trattamento “ai fini della trasmissione di una comunicazione su una rete di comunicazione elettronica o della relativa fatturazione”. L’ Art. 123 stabilisce il limite di 6 mesi per la conservazione dei dati di traffico telefonico per finalità di fatturazione dei sevizi telefonici erogati, pagamenti in caso di interconnessione e di commercializzazione dei servizi
L’obbligo di conservazione riguarda i dati relativi al traffico telefonico, inclusi quelli concernenti le chiamate senza risposta, nonché i dati inerenti al traffico telematico, esclusi comunque i contenuti delle informazioni. L’ Art. 125 introduce alcune modalità di gestione della funzione di identificazione della linea chiamante, dove, se essa è disponibile, viene riconosciuto il diritto di: - impedire la presentazione della linea chiamante; - impedire la presentazione delle chiamate entranti; - respingere le chiamate entranti se la presentazione della linea chiamante è stata eliminata dall’utente o abbonato chiamante; - impedire la presentazione dell’identificazione della linea collegata all’utente chiamante. 51
Videosorveglianza e nuovo codice Applicazione Art. 11 TU (modalità del trattamento e requisiti dei dati) Art.114 (recepimento art. 4 Stat.Lav.) e Art.134 (Codice di deontologia e di buonacondotta)
• Principio di proporzionalità dei mezzi usati.
Presupposti rispetto privacy
• Indicazione presenza di impianti di videosorveglianza. • Indicazione periodo di conservazione dati (max 24h). • Riconoscimento diritto di accesso. • Apparecchiature poste per finalità produttive.
E’ possibile se …
• Apparecchiature poste per finalità di controllo e di sicurezza.
• Informativa ben visibile, nella quale vanno esposte con chiarezza le finalità del trattamento. L’impiego di sistemi di videosorveglianza può risultare eccedente qualora siano già adottati altri efficaci sistemi di controllo o vigilanza.
52
La sicurezza e la figura dell’ Incaricato
Sicurezza dati
• Misure minime : complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza. • Strumenti : mezzi elettronici o automatizzati con cui si effettua il trattamento. • Amministratore di sistema : compito sovrintendere alle risorse del sistema operativo di un elaboratore o di un sistema di base e di consentirne l’utilizzazione. Anteriormente al trattamento è necessario adottare le seguenti misure:
Individuazione incaricati
• Parola chiave per l’accesso ai dati.
• Se presente una pluralità incaricati, individuare per iscritto i soggetti preposti alla custodia o che hanno accesso. 53
La figura dell’ Amministratore di Sistema L’amministratore di sistema, già disciplinato dal D.P.R. 318/99, è una figura che è stata reintrodotta, vista la sua rilevanza nell’ambito delle operazioni di trattamento, dall’Autorità Garante mediante apposito Provvedimento del 27 novembre 2008 “Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistemi”. Con la definizione di amministratore di sistema si individuano quindi, in ambito informatico, le figure professionali incaricate della gestione e della manutenzione di un impianto di elaborazione. La designazione dell’amministratore di sistema deve avvenire previa valutazione dell’esperienza, della capacità e dell’affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno rispetto delle disposizioni in materia di trattamento, compreso il profilo relativo alla sicurezza. La designazione deve essere individuale, ovvero solo una persona fisica può essere oggetto di tale nomina, ed inoltre bisogna elencare gli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato. È stato inoltre introdotto l’obbligo di verifiche periodiche del suo operato a carico del titolare o del responsabile. 54
Funzioni dell’amministratore di sistema e verifica del suo operato Gli estremi identificativi delle persone fisiche che sono amministratori di sistema, con l’elenco delle funzioni ad essi attribuite, devono essere riportati in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti da parte del Garante. Le funzioni tipiche dell’ Amministratore di Sistema sono richiamate nell’Allegato B e comprendono: - realizzazione di copie di sicurezza (operazioni di backup e recovery dei dati); - custodia delle credenziali; - gestione dei sistemi di autenticazione e autorizzazione. L’operato degli amministratori di sistema deve essere oggetto di verifica annuale, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dal Codice. In particolare il Garante fornisce una misura tecnica specifica a supporto dell’attività di verifica dell’operato che consiste nella registrazione degli accessi logici ai sistemi di elaborazione e agli archivi elettronici. Tale misura permette di identificare ciascun amministratore all’atto dell’accesso o tentativo di accesso al sistema informativo o all’atto della sua disconnessione e di 55 conservarne la registrazione.
Gli Access Log
Le registrazioni, o access log, devono comprendere i riferimenti temporali e la descrizione dell’evento che le ha generate e devono essere conservate per un periodo non inferiore a 6 mesi. Si ripropone il principio di non eccedenza nella raccolta dei dati rispetto alle finalità, che sono quelle di verificare la presenza di anomalie nella frequenza degli accessi e nelle loro modalità (orari, durata, sistemi cui si è fatto accesso, ecc.). La norma richiede che gli access log abbiamo caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità, adeguate al raggiungimento dello scopo di verifica per cui sono richieste.
56
SANZIONI Nel D.lgs 196 (anche nella legge 675/1996) sono previste sanzioni non solo amministrative ma anche penali. L’ Art. 15 nell’ambito della sezione di risarcimento dei danni provocati per effetto del trattamento dei dati, definisce tale attività pericolosa ai sensi dell’art. 2050 c.c. [ 2050. (Responsabilità per l’esercizio di attività pericolose). Chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno.] 1. A norma del Codice della privacy chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento, salvo dimostri di aver adottato tutte le misure idonee ad evitarlo (Art. 2050 del c.c.). 2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell’art 11. 57
Violazioni Amministrative
Fattispecie
Sanzioni
Omessa o inidonea informativa all’interessato
Da 3.000 a 30.000 € La somma può essere triplicata (pubblicazione facoltativa dell’ordinanza)
Cessione di dati in violazione di legge
Da 5.000 a 30.000 € (pubblicazione facoltativa dell’ordinanza)
Comunicazione di dati sanitari senza il tramite del medico
Da 500 a 3.000 € (pubblicazione facoltativa dell’ordinanza)
Omessa o incompleta notificazione
Da 10.000 a 60.000 € (pubblicazione dell’ordinanza ingiunzione)
Omessa informazione o esibizione al Garante
Da 4.000 a 24.000 € (pubblicazione facoltativa dell’ordinanza)
58
Illeciti Penali (1) Fattispecie
Pena
Violazione disciplina del trattamento con specifici rischi Violazione disciplina del trattamento per i soggetti pubblici Violazione disciplina trattamento di dati sensibili per i soggetti pubblici
Da 1a 3 anni Da 6 a 24 mesi
Diffusione di dati sanitari
Da 1 a 3 anni
Uso dati sensibili e giudiziari per test psicoattitudinali utilizzando bd di titolari diversi senza previsione di legge
Da 1 a 3 anni
Violazione disciplina sul consenso Violazione dei divieti di comunicazione e diffusione Violazione disciplina trattamento dei dati sensibili per i soggetti privati Violazione disciplina trattamento dati giudiziari Violazione disciplina trasferimento dati all’estero
Da 6 a 24 mesi Da 1 a 3 anni
Da 1 a 3 anni
Da 1 a 3 anni
Da 1 a 3 anni Da 1 a 3 anni 59
Illeciti Penali (2)
Fattispecie
Pena
Violazione disciplina trattamento dei dati relativi al traffico (comunicazioni elettroniche) Violazione disciplina trattamento dati ubicazione
Da 6 a 24 mesi
Spamming
Da 6 a 24 mesi
Violazione disciplina elenchi telefonici
Da 6 a 24 mesi
Falsità nelle dichiarazioni e notificazioni al Garante
Da 6 mesi a 3 anni
Violazione misure minime di sicurezza
Arresto fino a 2 anni o ammenda da 10.000 a 50.000 €.
Inosservanza dei provvedimenti del Garante
Da 6 a 24 mesi
Violazione articolo 8 Statuto dei Lavoratori
Reclusione da 3 mesi a 3 anni Arresto fino a 15 giorni, ammenda da 150 a 1.500 €.
Violazione articolo 4 Statuto dei Lavoratori
Arresto fino a 15 giorni, ammenda da 150 a 1.500 €. 60
Dr. Antonio Piva
[email protected] Vicolo degli Orti n. 9 UDINE
Cell 335-7739475
61