Politica di protezione dei dati di Grassroots Economics Foundation

Traduzione di lavoro — non ancora in vigore. Questa traduzione italiana è disponibile per la revisione prima dell’approvazione legale. Il testo inglese è il testo di riferimento e prevale, salvo che la legge applicabile disponga diversamente. Leggi il testo inglese.

1. Finalità

Grassroots Economics Foundation (GEF) rispetta la privacy e considera il trattamento dei dati personali una responsabilità verso le persone e le comunità coinvolte nel proprio lavoro. La presente Politica stabilisce gli standard minimi per i dati personali trattati attraverso i sistemi, i programmi, la ricerca, la formazione, gli eventi, i partenariati e le attività di GEF, compresa Cosmo-Local Credit (CLC App).

La presente Politica tiene conto del Data Protection Act, 2019 del Kenya, dei regolamenti applicabili e delle attuali linee guida dell’Office of the Data Protection Commissioner. Possono applicarsi anche altre leggi nei luoghi in cui GEF opera o in cui si trovano le persone interessate.

L’Informativa sulla privacy della CLC App fornisce informazioni più specifiche sui campi dell’App, sulle risorse pubbliche, sulla ricerca dei destinatari e sui registri delle blockchain pubbliche. I Termini di servizio disciplinano l’utilizzo dell’App.

2. Ambito di applicazione

La presente Politica si applica ai fiduciari, agli amministratori, al personale, ai volontari, ai tirocinanti, ai collaboratori, ai consulenti, ai ricercatori e alle altre persone che trattano dati personali per conto di GEF. I contratti e gli accordi di partenariato devono imporre obblighi adeguati di protezione dei dati ai fornitori di servizi e ai partner.

La Politica riguarda i dati personali contenuti in registri digitali, cartacei, audio, visivi, di ricerca, di comunicazione e di altro tipo. Si applica quando GEF agisce come titolare, contitolare o responsabile del trattamento. Ogni progetto deve individuare il ruolo di GEF e quello delle altre parti, senza presumere che un’unica politica disciplini tutti i partecipanti.

3. Principi applicabili

GEF tratta i dati personali secondo i seguenti principi:

1. Liceità, correttezza e trasparenza. Ove possibile e richiesto, le persone ricevono informazioni comprensibili sui trattamenti rilevanti prima della raccolta dei dati o al momento della raccolta.
2. Limitazione della finalità. I dati vengono raccolti per finalità determinate, esplicite e legittime e non vengono riutilizzati in modo incompatibile senza una base giuridica e un’informativa adeguata.
3. Minimizzazione dei dati. GEF raccoglie e condivide soltanto quanto ragionevolmente necessario per la finalità dichiarata.
4. Esattezza. Vengono adottate misure ragionevoli per mantenere esatti i dati personali rilevanti e correggere i registri fuorvianti.
5. Limitazione della conservazione. I dati identificabili vengono conservati soltanto per il tempo ragionevolmente necessario alla loro finalità e agli obblighi applicabili.
6. Integrità e riservatezza. Le garanzie sono proporzionate ai dati, alle persone, al contesto e ai rischi.
7. Responsabilizzazione. GEF documenta le decisioni importanti e può dimostrare come applica questi principi.
8. Partecipazione e dignità. Le pratiche relative ai dati devono rispettare l’autonomia, la sicurezza, la cultura e le ragionevoli aspettative delle persone e delle comunità interessate.

4. Responsabilizzazione e compiti

Gli organi di governo e di gestione di GEF devono garantire risorse e supervisione adeguate per i rischi relativi alla privacy. Essi attribuiscono ruoli responsabili per il coordinamento della privacy, la sicurezza delle informazioni, la gestione dei registri, la governance della ricerca, la tutela, la risposta agli incidenti e le richieste degli interessati.

La responsabilità segue il lavoro e l’autorità coinvolti e non viene attribuita automaticamente a uno specifico reparto. Chiunque lavori per conto di GEF deve:

• rispettare la presente Politica e le procedure pertinenti al proprio ruolo;
• accedere ai dati personali soltanto quando è autorizzato e necessario;
• segnalare tempestivamente sospetti di perdita, uso improprio, divulgazione o vulnerabilità della sicurezza;
• completare la formazione richiesta; e
• consultare il responsabile del progetto o della privacy prima di iniziare un trattamento incerto o ad alto rischio.

GEF mantiene registri adeguati dei sistemi di trattamento, delle finalità, delle categorie di dati, delle persone interessate, delle basi giuridiche, dei destinatari, dei trasferimenti, della conservazione, delle garanzie e dei responsabili.

5. Basi giuridiche e consenso

Ogni attività di trattamento deve avere una base giuridica applicabile, quale il consenso, l’esecuzione di un accordo, l’adempimento di un obbligo legale, la protezione di interessi vitali, un compito di interesse pubblico ove previsto dalla legge o un legittimo interesse che non prevalga sui diritti delle persone.

Il gruppo responsabile registra la base giuridica prima della raccolta. Quando si utilizza il consenso, questo deve essere informato, specifico, libero ove richiesto, documentato e revocabile con la stessa facilità con cui è stato prestato. Il rifiuto o la revoca del consenso non deve comportare conseguenze non comunicate.

Il consenso non è la soluzione predefinita per ogni attività. GEF deve utilizzare la base che descrive correttamente il trattamento e adottare le ulteriori garanzie richieste per dati sensibili, minori, persone vulnerabili, comunicazioni dirette, ricerca o trasferimenti internazionali.

6. Trasparenza e raccolta

Prima di raccogliere dati personali, GEF fornisce un’informativa adeguata al pubblico e al contesto. Ove applicabile, l’informativa deve spiegare:

• chi raccoglie i dati e come contattarlo;
• quali dati vengono raccolti e se sono obbligatori o facoltativi;
• perché vengono utilizzati e su quale base giuridica;
• le conseguenze della mancata comunicazione dei dati obbligatori;
• chi riceve i dati e se possono essere trattati a livello internazionale;
• per quanto tempo vengono conservati o come viene determinato il periodo di conservazione;
• le principali misure di sicurezza e riservatezza;
• se le informazioni verranno pubblicate o inserite in una blockchain pubblica; e
• i diritti della persona e i canali per presentare reclami.

Di norma GEF raccoglie i dati direttamente dalla persona. Una raccolta indiretta deve avere una base giuridica, una fonte documentata e un’informativa adeguata, salvo che si applichi un’eccezione prevista dalla legge.

7. Dati sensibili e persone maggiormente esposte a rischi

I dati possono creare rischi gravi a causa del loro contenuto, del contesto, della combinazione con altri dati o delle persone coinvolte. Rientrano tra questi i dati sanitari, biometrici, genetici, etnici, religiosi, politici, sessuali, finanziari, relativi alla posizione precisa, identificativi e di tutela, nonché i dati che potrebbero esporre una persona a discriminazione, violenza, esclusione, sorveglianza, sfruttamento o perdita.

GEF applica garanzie rafforzate quando il rischio è maggiore. Le misure possono comprendere una raccolta più limitata, la separazione degli identificativi, restrizioni di accesso più rigorose, cifratura, periodi di conservazione più brevi, metodi di contatto più sicuri, trasferimenti protetti, verifica delle divulgazioni, consulenza specialistica e una valutazione d’impatto documentata.

I gruppi di lavoro devono considerare le circostanze locali. Un nome, l’appartenenza a una comunità, un punto sulla mappa, un indirizzo di Portafoglio, una fotografia o la cronologia delle transazioni possono essere sensibili anche se non sono classificati come dati sensibili in ogni ordinamento.

8. Minori e tutela

Il trattamento dei dati di un minore richiede particolare attenzione, una base giuridica applicabile, informazioni adeguate all’età e le eventuali autorizzazioni necessarie di un genitore o tutore. L’interesse superiore del minore è una considerazione primaria.

GEF riduce al minimo i dati dei minori, limita gli accessi, evita posizioni precise o contenuti identificativi non necessari e valuta se la pubblicazione o la comunicazione digitale possa causare un danno prevedibile. Il trattamento deve rispettare la Politica di tutela dei minori.

La CLC App è riservata agli adulti. La presente Politica non crea alcuna procedura che consenta a un minore di registrarsi all’App.

9. Protezione dei dati fin dalla progettazione e valutazione d’impatto

I requisiti di privacy devono essere considerati durante la progettazione di un progetto o sistema e non aggiunti soltanto dopo la raccolta dei dati. Prima del lancio, i gruppi di lavoro devono definire la finalità, il flusso dei dati, la visibilità, gli accessi, la conservazione, la cancellazione, i fornitori, i trasferimenti e le procedure relative agli incidenti.

GEF svolge e documenta una valutazione d’impatto sulla protezione dei dati quando è probabile che il trattamento comporti un rischio elevato. Tra gli indicatori pertinenti rientrano il monitoraggio sistematico o su larga scala, i dati sensibili o dei minori, le posizioni precise, le nuove tecnologie, l’abbinamento pubblico, la valutazione automatizzata, la combinazione di insiemi di dati o una pubblicazione irreversibile.

Un rischio elevato non risolto deve essere sottoposto all’organo di gestione o di governo responsabile e, ove richiesto, all’autorità competente prima dell’inizio del trattamento.

10. Accesso e sicurezza

L’accesso ai dati personali è limitato in base al ruolo e alla necessità. GEF sceglie misure adeguate al sistema e al rischio, che possono comprendere:

• autenticazione forte e accesso amministrativo controllato;
• autorizzazioni basate sul minimo privilegio e separazione dei compiti;
• trasmissione sicura e protezione adeguata dei dati archiviati;
• software supportato, aggiornamenti, verifica della configurazione e gestione delle vulnerabilità;
• registrazione degli eventi, monitoraggio, limiti di frequenza e rilevamento degli abusi;
• backup protetti, procedure di ripristino verificate e misure di continuità del servizio;
• cancellazione o distruzione sicura al termine del periodo di conservazione; e
• obblighi contrattuali di riservatezza e sicurezza per il personale e i fornitori.

I controlli di sicurezza vengono riesaminati quando cambiano i sistemi, le minacce o i rischi. I registri delle blockchain pubbliche richiedono garanzie diverse perché, di norma, i registri confermati non possono essere modificati né eliminati.

11. Fornitori di servizi, partner e trasferimenti

Prima di consentire a un fornitore di servizi di accedere ai dati personali, GEF valuta finalità, necessità, sicurezza, ubicazione, ulteriori condivisioni, cancellazione e capacità di sostenere gli obblighi legali. Le condizioni scritte devono definire i trattamenti consentiti, la riservatezza, la sicurezza, la segnalazione degli incidenti, il ricorso a sub-responsabili, l’assistenza, la restituzione o cancellazione dei dati e la supervisione, ove richiesta.

Un partenariato non rende automaticamente ogni organizzazione un responsabile del trattamento. Ogni accordo deve stabilire se le parti agiscono come titolari autonomi, contitolari oppure come titolare e responsabile del trattamento, e deve fornire alle persone informazioni accurate su tali ruoli.

L’accesso o il trasferimento internazionale deve basarsi su una base giuridica applicabile e su garanzie adeguate. I gruppi di lavoro competenti documentano il destinatario, il Paese di destinazione, la finalità, i dati, i rischi e le garanzie. Le informazioni pubblicate e i dati delle blockchain pubbliche possono essere consultati in tutto il mondo e richiedono un avviso chiaro prima della pubblicazione.

12. Ricerca, statistiche e dati aperti

GEF sostiene la ricerca responsabile e l’apprendimento aperto. Apertura non significa pubblicare automaticamente dati personali.

Le attività di ricerca e di diffusione di dati pubblici devono:

• definire la domanda, il valore pubblico, la base giuridica e i dati minimi necessari;
• utilizzare, ove opportuno, aggregazione, de-identificazione, pseudonimizzazione, campionamento o accesso controllato;
• valutare i rischi di re-identificazione e di danno ai gruppi, comprese le combinazioni con dati pubblici;
• evitare di presentare dati de-identificati come anonimi quando la re-identificazione rimane ragionevolmente possibile;
• documentare, ove richiesto, il consenso, la valutazione etica, l’accordo della comunità o un’altra autorità legittima;
• stabilire regole di accesso, riutilizzo, attribuzione, conservazione, correzione e ritiro adeguate al progetto; e
• verificare tabelle, mappe, testi, immagini e piccoli gruppi per evitare divulgazioni involontarie prima della pubblicazione.

I ricercatori e i destinatari non devono tentare di re-identificare le persone né utilizzare i dati per danneggiare, discriminare, sfruttare o prendere di mira una persona o una comunità. GEF può limitare, correggere, ritirare o rifiutare una pubblicazione quando il rischio non è adeguatamente controllato.

13. Esattezza, correzione e provenienza

I gruppi di lavoro adottano misure ragionevoli per mantenere esatti i dati personali rispetto alla finalità per cui vengono utilizzati. Le persone devono disporre di un modo pratico per segnalare errori rilevanti.

Le correzioni devono conservare i necessari registri di provenienza, audit o controversia senza continuare a presentare come attuali informazioni inesatte. Quando una blockchain pubblica o una copia controllata in modo indipendente non può essere modificata, GEF correggerà il registro esterno alla blockchain sotto il proprio controllo e, ove opportuno, spiegherà il limite tecnico.

14. Conservazione e smaltimento

Ogni sistema o attività deve avere una regola di conservazione basata su finalità, obblighi legali, contratti, rischi, termini di prescrizione, audit, integrità della ricerca e diritti delle persone interessate. Non viene applicato un unico periodo fisso a tutte le categorie soltanto perché lo utilizza un partner o un altro progetto.

Al termine del periodo di conservazione, GEF elimina, distrugge, aggrega, de-identifica o limita i dati in modo sicuro. La cancellazione dai backup può seguire un ciclo documentato di sostituzione. Un obbligo di conservazione legale, una questione di tutela, un reclamo, un’indagine o un archivio di interesse pubblico possono richiedere una conservazione limitata con accesso ristretto.

GEF non può eliminare i registri delle blockchain pubbliche né le copie controllate da terzi indipendenti.

15. Diritti individuali e reclami

GEF mette a disposizione una procedura pratica affinché le persone possano esercitare i diritti previsti dalla legge applicabile, compresi informazione, accesso, rettifica, opposizione, limitazione, revoca del consenso, cancellazione e portabilità, ove applicabili.

Le richieste devono essere inviate a [email protected]. GEF può verificare l’identità e l’autorizzazione del richiedente e risponderà entro il termine previsto dalla legge applicabile. Se una richiesta non può essere soddisfatta integralmente, GEF ne spiega il motivo, ove consentito, e indica un canale disponibile per presentare reclamo.

Le persone possono presentare un reclamo all’Office of the Data Protection Commissioner o a un’altra autorità competente.

16. Incidenti relativi ai dati

Chiunque lavori per conto di GEF deve segnalare tempestivamente una sospetta perdita, un accesso, una divulgazione, una modifica, una distruzione o un uso improprio non autorizzati di dati personali attraverso il canale designato per gli incidenti o alla dirigenza responsabile.

GEF conterrà e analizzerà l’incidente, proteggerà le persone interessate, conserverà le prove adeguate, valuterà il rischio, documenterà le decisioni e informerà, ove richiesto, le persone interessate, i partner, gli assicuratori o le autorità. Le informazioni sull’incidente devono essere condivise soltanto con chi ne ha bisogno per la risposta, la responsabilizzazione o l’adempimento di obblighi legali.

17. Formazione, verifica e applicazione

Il personale riceve informazioni su privacy e sicurezza adeguate al proprio ruolo. I ruoli a rischio più elevato ricevono una formazione supplementare. GEF verifica periodicamente i sistemi, gli accessi, le informative, i fornitori, la conservazione, gli incidenti e il rispetto della presente Politica.

Il mancato rispetto della presente Politica può comportare limitazioni degli accessi, misure correttive, rimedi contrattuali, provvedimenti disciplinari, cessazione di un rapporto, segnalazione a un’autorità o altre misure proporzionate.

Nessuno deve subire ritorsioni per aver segnalato in buona fede un problema di privacy o sicurezza.

18. Riesame e contatti

GEF riesamina la presente Politica almeno una volta all’anno e quando intervengono modifiche rilevanti di carattere legale, operativo o tecnico. Le versioni aggiornate indicano le date di pubblicazione e di entrata in vigore.

Domande, richieste relative ai diritti o segnalazioni in materia di privacy possono essere inviate a:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]