Al ritorno dalle ferie una delle attività da gestire è la redazione e l’invio al cliente degli ISEE Universitari. L’anno accademico è alle porte e gli studenti si presentano in studio carichi di dati personali, vediamo a cosa prestare attenzione per evitare di effettuare delle violazioni dei dati.
Nella redazione dell’ISEE si entra in contatto con vari dati personali del cliente, quindi codice fiscale, residenza, redditi, patrimoni, disabilità e altri ancora. Spesso nel gergo comune si parla di questi dati come dati sensibili, ma facciamo chiarezza sul termine “dati sensibili”.
I cosiddetti dati “sensibili” sono quelli che attualmente vengono chiamati dati particolari secondo gli artt. 9 e 10 del GDPR. In particolare, si fa riferimento ai dati relativi alla salute, l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla vita sessuale o all’orientamento sessuale (art. 9) e ai dati giudiziari (art. 10).
Si parla invece di dati personali per indicare i dati che identificano una persona quindi per esempio nome, cognome, foto e altri, in particolare in questo caso si parla di identificazione diretta. L’identificazione indiretta si verifica invece con dati quali il codice fiscale, l’indirizzo IP, la targa e altri.
In questo macrogruppo che sono i dati personali i dati particolari sono un sottogruppo. Il Garante della Privacy con il provvedimento n. 467 del 18 ottobre 2018 effettua un’interpretazione estensiva della norma e stabilisce l’obbligo della valutazione d’impatto per tutti i “Trattamenti di categorie particolari di dati ai sensi dell’art. 9 oppure di dati relativi a condanne penali e a reati di cui all’art. 10 interconnessi con altri dati personali raccolti per finalità diverse”.
Il momento della consegna dei documenti è uno dei momenti in cui è possibile commettere delle violazioni dei dati. Tra le violazioni più comuni di uno studio professionale c’è proprio l’invio dei documenti a destinatario errato, soprattutto via mail. Di persona certo bisogna prestare attenzione ma avendo il cliente davanti e riguardando insieme la dichiarazione è meno probabile consegnare la dichiarazione di un altro cliente.
Con l’invio tramite mail è possibile prendere l’indirizzo mail di un cliente diverso da quello a cui avremmo dovuto inviare la dichiarazione oppure inserire l’indirizzo mail corretto ma allegare il documento di un altro cliente.
Questa svista è una violazione dei dati personali per il GDPR, che in questo caso compromette la riservatezza del dato, i dati di un cliente sono a disposizione di un altro soggetto che non sarebbe dovuto entrare in contatto con questi dati.
È necessario inoltre prestare attenzione alla conservazione dei dati. Il principio del GDPR richiede che la conservazione sia limitata al periodo di tempo necessario per le finalità per cui i dati sono stati raccolti.
Per alcuni trattamenti è possibile che ci sia un obbligo normativo di conservazione. Nel caso della redazione e trasmissione dell’ISEE la Convenzione sottoscritta tra CAF ed INPS in materia di ISEE fissa in due anni dalla data di trasmissione al CAF l’obbligo di conservazione documentale (artt. 10-11 Convenzione ISEE 2020 – 2021), quindi il periodo di conservazione dovrebbe rispettare tale obbligo normativo.
La conservazione è un trattamento e come indicato dall’articolo 6 paragrafo 1 lettera c) il trattamento è lecito in quanto esiste un obbligo legale.
Inoltre, l’accesso ai dati deve essere limitato ai soli dipendenti e collaboratori che hanno l’autorizzazione al trattamento e il trattamento anch’esso deve essere il più possibile minimizzato.
Che siano dati particolari o più in generale dati personali è fondamentale prestare attenzione al momento della consegna della dichiarazione e dell’attestazione ISEE, perché consegnare i dati giusti alla persona giusta evita una violazione dei dati.
Giulia Zecca – Centro Studi CGN
