App per il tracciamento dei casi di Covid, app per volare Covid-free (come l’app IATA Travel pass ideata dalla International Air Transport Association), non fanno che accrescere l’attività di monitoraggio di dati personali particolari nel comparto dei viaggi. Non è solo questione di pandemia o di disponibilità a cedere i nostri dati, perché nella partita della privacy giocano anche gli hacker: gli indicenti informatici sono sempre più frequenti nell’industria del turismo. Nei mesi scorsi, come riporta The New York Times, un cyberattacco ha colpito EasyJet: rubati i dati di 9 milioni di clienti, rivelati i dati delle carte di credito di 2.200 viaggiatori. Queste nuove potenziali violazioni della sicurezza si aggiungono a quelle più tradizionali: l’intero aeroporto di Monaco è stato chiuso per l’ingresso di una persona che non è passata al controllo di sicurezza, con centinaia di voli cancellati.
Il tracciamento dei viaggiatori
Con il protrarsi della pandemia, è cresciuta l’importanza di nuovi strumenti e tecnologie per il monitoraggio dei viaggiatori d’affari per agevolare spostamenti e controlli sanitari e per garantire loro aiuto in caso di eventi imprevisti o emergenze. Per gestire in sicurezza un viaggio di lavoro, è sempre più importante servirsi di servizi ed APP che permettano la geolocalizzazione dei viaggiatori in caso di emergenze. Di solito è quest’ultima a destare le maggiori preoccupazioni a livello di privacy. In realtà, molte piattaforme di tracciamento e geolocalizzazione possono essere configurate per attivarsi in modalità background: il viaggiatore e il datore di lavoro vengono avvertiti solo in caso di alto rischio nella stessa area. In sostanza, i dipendenti si possono sentire al sicuro, senza doversi preoccupare che il loro capo li controlli in qualsiasi momento e soprattutto fuori dal lavoro.
I dati sanitari
Un’altra preoccupazione che può aumentare al tempo del Covid è quella della diffusione di dati personali “particolari o sensibili” sulla salute personale. Un tema che si porrà ad esempio in caso di introduzione del cosiddetto passaporto sanitario, direzione nella quale stanno andando diverse compagnie aeree. Emirates sta per diventare una delle prime compagnie aeree al mondo a provare IATA Travel Pass, un’app mobile per aiutare i passeggeri a gestire in modo semplice e sicuro i propri viaggi in linea con i requisiti governativi per COVID -19 test o informazioni sui vaccini. Anche Etihad Airways lo offrirà su voli selezionati da Abu Dhabi nel secondo trimestre del 2021. In caso di successo, il pass verrà esteso ad altre destinazioni sulla rete Etihad.
La stessa presidente della Commissione Europea Ursula Von Der Leyen nei giorni scorsi ha dichiarato di “accogliere con favore” l’ipotesi un passaporto vaccinale europeo che certifichi che una persona ha ricevuto la somministrazione del vaccino anti-Covid e quindi può viaggiare in sicurezza nell’area Schengen.
Si tratterebbe dell’opportunità del ritorno a una vita quasi normale: il passaporto vaccinale consentirebbe alle persone di tornare a spostarsi nello spazio Schengen per lavoro e turismo, senza paura di contagiare o essere contagiati. Ma il tema, ha sottolineato una portavoce della Commissione Ue, non è solo di natura medica: è una questione politica e giuridica quella che gli Stati membri dovranno affrontare per arrivare a definire un certificato riconosciuto reciprocamente.
La privacy in Europa: Gdpr e trasferimenti di dati all’estero
In Europa è in vigore dal 2018 il Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 (GDPR), che si propone di rafforzare la protezione dei dati personali di cittadini dell’Unione europea e dei residenti nell’UE, sia all’interno che all’esterno dei confini dell’Unione, restituendo ai cittadini il controllo dei propri dati personali, semplificando il contesto normativo che riguarda gli affari internazionali, unificando e rendendo omogenea la normativa privacy dentro l’UE.
Il testo affronta anche il tema dell’esportazione di dati personali al di fuori dell’Unione e obbliga tutti i titolari del trattamento dei dati, anche con sede legale fuori dall’Unione, che trattino dati di residenti nell’UE, a osservare le norme e adempiere agli obblighi previsti dal GDPR.
Mentre la circolazione dei dati all’interno dello Spazio economico europeo è libera, i trasferimenti al di fuori di esso non sono generalmente autorizzati, a meno che non siano presenti specifiche garanzie: il paese destinatario deve garantire, infatti, un adeguato livello di sicurezza definito dalla Commissione Europea. In mancanza di una decisione di adeguatezza, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale solo se si verifica una delle seguenti condizioni (art. 49): consenso dell’interessato, trasferimento necessario all’esecuzione, conclusione di un contratto, importanti motivi di interesse pubblico, accertamento, esercitazione o difesa di un diritto in sede giudiziaria, tutela di interessi vitali dell’interessato.
In concreto, visto che che la maggior parte dei colossi del web sono americani, il trasferimento di dati negli Stati Uniti è il più studiato. Al di là delle incertezze causate dall’abolizione del Privacy Shield (il cosiddetto scudo UE-USA per la privacy) da parte della Corte di Giustizia europea, il 16 luglio 2020, e precedentemente dell’invalidazione degli International Safe Harbour Privacy Principles, i trasferimenti necessari sono sempre possibili, come tutti i trasferimenti che si basano sulle deroghe previste dall’art. 49 del Gdpr, purché siano occasionali e non ripetitivi: quindi trasferimenti basati su accordi contrattuali o sul consenso dell’interessato, che deve essere esplicito, specifico e informato. Non è invece più ammesso il trasferimento con l’unica finalità della convenienza dell’azienda: ad esempio non si potranno trasferire i dati dall’Europa agli Stati Uniti solo per una maggiore convenienza economica a detenere i dati su server americani.
L’importanza della Travel Policy aziendale
Per far sì che i dipendenti vivano con serenità i loro spostamenti in questo contesto, è innanzitutto fondamentale che siano informati sul trattamento dei loro dati personali tramite la Travel policy ed adeguate informative sul trattamento dati fornite dall’azienda ai viaggiatori stessi. A questo proposito, sarà importante che nei documenti citati siano chiariti gli ambiti, le finalità e le basi legali del monitoraggio dell’itinerario e della geolocalizzazione per garantire un’assistenza rapida ed efficace, così come il rispetto delle normative. È bene condividere prima le informazioni sui protocolli di assistenza di viaggio e illustrare i potenziali problemi come la privacy in modo che i viaggiatori siano consapevoli delle tutele messe in atto dall’azienda per la loro sicurezza e tranquillità nel viaggio.
Formarsi su Privacy e Trattamento dei dati dei viaggiatori aziendali
Travel for business Academy ha realizzato un corso dedicato alla gestione della Privacy e Trattamento dei dati dei viaggiatori aziendali.
Il corso mira a formare i travel e mobility manager e ad aggiornare chi svolge già questo ruolo aiutando a sviluppare le competenze necessarie, anche di carattere normativo.
Per saperne di più clicca qui
