La pubblicità sulla radio più ascoltata dagli imprenditori “passa” diverse volte al giorno e promette ai datori di lavoro di risolvere con “semplicità e sicurezza per tutti” il problema del momento: la verifica del green pass per i lavoratori.
Le ‘soluzioni’ in cloud da evitare, perché violano la privacy
La soluzione analizzata è basata su un sistema cloud ossia un computer gestito dal produttore del software, fornito come SAAS Software as a service. Se il datore di lavoro paga per attivarla, funziona così (in grassetto tutti i rischi privacy, che saranno analizzati dopo).
- Crea l’anagrafica di ogni dipendente e collaboratore.
- I lavoratori caricano ogni giorno, da smartphone o da Pc, il “QR Code o il certificato digitale”
- “L’immagine caricata viene salvata nell’area privata del lavoratore a cui nessun altro ha accesso”, si legge sul sito.
- Poi però è scritto che può accedere “ogni responsabile incaricato della verifica”, che “può visualizzare, tramite l’apposita schermata giornaliera, la lista lavoratori e procedere alla verifica utilizzando l’app VerificaC19”.
- Inquadrando il QR Code con l’app ‘VerificaC19’ si procede alla verifica il cui esito viene salvato nell’apposito registro informatizzato.
- Attraverso il registro si può inoltre visualizzare la percentuale giornaliera dei lavoratori verificati.
- Per garantire la compliance con le direttive del garante, l’immagine viene distrutta automaticamente contestualmente alla registrazione dell’esito della verifica.
Le violazioni e i rischi privacy e cybersecurity
Con il data protection officer (DPO) Christian Bernieri, abbiamo ‘studiato’ questa soluzione cloud, ecco le violazioni e i rischi privacy, secondo la sua analisi.
- Non è conforme alla norma, che vieta la conservazione e memorizzazione del QR Code del Green Pass. Il QR code può essere solo mostrato per farlo verificare, invece l’azienda privata, che realizza il software, crea un vero e proprio archivio quotidiano e registra gli esiti di ogni verifica effettuata.
- In questo modo si crea un database dei QR Code o ancora più grave dei certificati verdi Covid, perché il software consente di uploadare l’intero lasciapassare sanitario, da cui è possibile leggere tutti i dati personali e sanitari del lavoratore, tra cui il motivo per il quale il green pass è stato rilasciato (vaccino, test o guarigione). E questa è un’altra violazione delle norme.
Questo screenshot, da cui si vede caricato l’intero green pass, è stato catturato dal sito web del software, ma ora risulta cambiata l’immagine: si vede solo il caricamento del QR Code. Ma nella FAQ sul sito si spiega che è possibile caricare il QR Code o il certificato digitale.
- Il rischio data breach è alto. In caso di un riuscito attacco informatico, i green pass validi possono essere utilizzati illegalmente per altri fini. Lo stesso datore di lavoro, in qualità di titolare del trattamento, potrebbe ordinare la consegna del database all’azienda e questa non potrebbe sottrarsi.
- Non è di default la modalità ‘distruggi certificato’. Per cui, se il lavoratore dimentica di attivarla, il suo green pass viene memorizzato per sempre. “È negli abusi, che si vedono i rischi privacy”, sottolinea Christian Bernieri.
- Infine, esiste una verifica alternativa per i lavoratori che vogliono rifiutare di caricare ogni giorno il green pass nell’applicativo cloud? Se il datore di lavoro lo impone, i lavoratori non possono esercitare il diritto di opposizione al trattamento dei dati?
Come avere sempre a portata di mano e al sicuro il green pass sullo smartphone
Passiamo ora ad analizzare una ‘soluzione’ digitale rivolta ai cittadini per avere sempre a disposizione il green pass sullo smartphone. È tra le app più famose per la raccolta delle carte fedeltà di negozi e supermercati. “Con questa app abbiamo rischi minori, perché memorizza solo il QR Code in modo crittografico”, ci spiega Christian Bernieri, “sono in gioco meno dati, solo nome, cognome e data di nascita del possessore del green pass”. “Ma in caso di data breach”, conclude, “questi green pass validi possono finire nelle mani sbagliate e possono essere venduti illegalmente”.
Le 5 modalità ufficiali e sicure per verificare il green pass dei lavoratori nella PA
Invitiamo i datori di lavoro ad utilizzare solo le modalità ufficiali riconosciute dal Governo. Ecco le 5 per la verifica del green pass per i lavoratori che accedono ai luoghi di lavoro nella Pubblica amministrazione.
- L’app del ministero della Salute VerificaC19, si scarica da qui per dispositivi iOS, Android e Huawei.
E altre 4 sono state introdotte dal decreto del presidente del consiglio dei ministri, firmato ieri, e sono: - SDK (Software Development Kit). L’utilizzo di un pacchetto di sviluppo per applicazioni (Software Development Kit-SDK), rilasciato dal Ministero della Salute con licenza open source, da integrare nei sistemi di controllo agli accessi fisici (come i tornelli), inclusi quelli di rilevazione delle presenze (badge), o della temperatura (termoscanner e totem) per verificare la validità del green pass, ma senza memorizzare i dati del QR Code. La modalità SDK offre le stesse funzionalità dell’app VerificaC19 e non prevede la registrazione o il tracciamento dell’utilizzatore finale della componente SDK. Si scarica da qui il Software Development Kit.
- Portale INPS. Per i datori di lavoro con più di 50 dipendenti, sia privati che pubblici non aderenti a NoiPA, l’interazione asincrona tra il Portale istituzionale INPS (con riferimento all’elenco di codici fiscali di propri dipendenti, noti all’Istituto al momento della richiesta, previa richiesta di utilizzo del servizio) e la piattaforma nazionale del green pass.
- NoiPa. Per gli enti pubblici aderenti a NoiPA, sono 1,9 milioni di dipendenti pubblici iscritti, l’interazione asincrona tra questa piattaforma e quella nazionale del green pass (https://www.dgc.gov.it/web/). La memorizzazione delle informazioni sul sistema NoiPA è temporanea e l’informazione è crittografata ed inoltre l’interrogazione dei dati può essere effettuata esclusivamente attraverso un servizio dedicato cui i verificatori accedono con SPID di livello 2 o CNS.
- Interoperabilità applicativa. Per le amministrazioni pubbliche con almeno 1.000 dipendenti, anche con uffici di servizio dislocati in più sedi fisiche, è stata individuata la modalità “S2S”, Service to Service, ossia l’interoperabilità applicativa, in modalità asincrona, tra i sistemi operativi di gestione del personale e la piattaforma nazionale del green pass. Il modo migliore per far ‘parlare’ il server delle grandi PA con quelli di Sogei per la verifica della validità del green pass.
La verifica dovrà avvenire solo per chi deve effettivamente lavorare in quel giorno, escludendo i dipendenti assenti per specifiche casuali, ad esempio: ferie, malattie, permessi o che svolgono la prestazione lavorativa in modalità agile.
Le 3 modalità ufficiali e sicure per verificare il green pass dei lavoratori nel settore privato
Per la verifica nel settore privato sono adottabili le prime 3 modalità (vedi sopra) usate anche nella PA.
