servizi

|| Quando ci approcciamo alla normativa sulla data protection, ovvero a quella sulla responsabilità amministrativa degli enti, di primo acchito siamo portati a ritenerle due discipline distinte e autonome, entrambe applicabili all’interno dell’azienda ma operanti su binari paralleli.In realtà, sono svariate le situazioni in cui le due normative si incontrano e intersecano, talvolta presentando similitudini e talvolta profili di reciproca incidenza; profili che, per una loro corretta gestione, necessitano di essere conosciuti e approfonditi.In questo senso anche il Garante della Privacy, che nel parere reso in ordine al ruolo privacy dei membri dell’Organismo di Vigilanza (OdV) si era espresso nel senso di ritenere i singoli componenti dell’OdV necessariamente disciplinati dalla normativa sulla data protection e dalla stessa vincolati (Doc. Web 9347842). Basti pensare a come l’OdV, nell’esercizio delle sue funzioni, sia tenuto a effettuare indagini che riguardano o potrebbero riguardare dati personali (talvolta anche particolari) che, come tali, devono essere condotte all’interno di un regime di rispetto della normativa privacy. Non solo, ma particolare attenzione meritano anche i rapporti intercorrenti tra l’OdV e il Dpo (Data Protection Officer), che rappresentano due figure altrettanto fondamentali, entrambe dotate di autonomi poteri di iniziativa e controllo, ma non sovrapponibili. Tale aspetto assume fondamentale importanza, rendendo necessario identificare correttamente i rispettivi ruoli e le reciproche competenze all’interno della struttura organizzativa e gestionale dell’azienda.È quindi imprescindibile acquisire una piena consapevolezza della relazione che intercorre tra le due discipline e come tale rapporto si debba tradurre in termini operativi, così da scongiurare errori che, contestualmente, potrebbero determinare una violazione di entrambe le normative.Per informazioni:Tel.: 0422 916417E-mail: privacy@unisef.it

|| “L’anno peggiore di sempre in termini di evoluzione delle minacce 'cyber'”, così l’ultimo rapporto Clusit, pubblicato lo scorso ottobre, definisce il 2021, descrivendo i dati preoccupanti degli attacchi informatici. Si registrano, infatti, notevoli perdite a livello globale (per il 2021 stimate in 6 trilioni), con effetti gravemente pregiudizievoli anche in termini di data protection, attesa la ormai nota inscindibilità tra i due settori.Anche il vecchio continente, purtroppo, ha evidenziato un aumento sensibile del numero degli attacchi, stimato del 10% (dal 15% al 25%) ovvero, tradotto, corrispondente a un attacco coinvolgente una realtà su quattro basata in Europa. Non solo, ma gli attacchi con impatto “Critical” e “High” sono stati misurati nel 74%. Come riferisce Clusit: “Il fenomeno più preoccupante è l’incremento dell’attività dei ransomware con richiesta di riscatto. Infatti, è stata osservata una crescita dell’attività di questo malware di circa il 350% rispetto allo stesso periodo dello scorso anno”.A fronte dell’andamento di tale fenomeno, è intervenuto il National Institute of Standards and Technology (NIST), il quale lo scorso settembre 2021 ha pubblicato il Cybersecurity Framework Profile for Ransomware Risk Management, uno strumento di guida per aiutare le organizzazioni a ridurre il rischio di attacchi ransomware e, in caso di loro accadimento, affrontarli e risolverli. Questo strumento, basato sui cinque pilastri della sicurezza informatica, ovvero Identify, Protect, Detect, Respond e Recover fornisce una metodologia di grande rilievo che, tuttavia, rappresenta solo un punto di partenza.La palla, dunque, passa alle imprese, le quali dovranno adottare delle strategie aziendali basate sullo sviluppo di risorse, sia umane, che organizzative e tecnologie, per mettere in pratica una stringente governance in ottica di cyber security.D’altronde, come riporta il Clusit nel proprio rapporto: “Riassumendo le nostre impressioni sulle tendenze in atto, con una battuta affermiamo che “la festa è finita”. I dati dimostrano che il tempo della sottovalutazione dei problemi, del rimandare l’adozione di contromisure efficaci (evitando di investire quanto necessario) è terminato”.Per informazioni:Tel.: 0422 916417E-mail: privacy@unisef.it

|| Il Garante torna sul tema del whistleblowing, ancora una volta dimostrando la fondamentale interazione tra protezione dei dati personali e responsabilità amministrativa degli enti. Questa volta a cadere sotto la falce sanzionatoria la società Aeroporto Guglielmo Marconi di Bologna e il suo fornitore di software, in qualità di responsabile del trattamento. Nel ripercorrere il quadro normativo oggi vigente, l’Autorità ribadisce come la natura delle informazioni trattate nell’ambito della segnalazione degli illeciti sul luogo di lavoro, così come i rischi e la vulnerabilità degli interessati (segnalanti e segnalati), rendano indispensabili adeguate misure per tutelarne la riservatezza. Conclude, quindi, indicando la necessarietà, per il titolare, di predisporre un modello di gestione delle segnalazioni, conforme al GDPR sotto il profilo di privacy by design e by default che, nel prevedere le misure di sicurezza adeguate, renda indispensabile una preliminare valutazione d’impatto. Per informazioni:Tel.: 0422 916417E-mail: privacy@unisef.it

|| Negli ultimi anni, la cosiddetta “nuvola informatica” ha dimostrato di essere uno strumento non solo di importanza strategica per le imprese, ma anche estremamente trasversale e versatile.Si tratta, infatti, di una tecnologia in grado di offrire infrastrutture e potenza di calcolo a una larga gamma di soggetti, comprese le piccole e medie imprese, fornendo indistintamente vantaggi in termini di efficienza e risparmio, anche a quelle realtà che difficilmente avrebbero potuto raggiungerli con le proprie sole risorse.Non solo, ma nel tempo questo strumento si è mostrato estremamente versatile, venendo impiegato senza discriminazione nei più diversi campi ed offrendo soluzioni idonee a soddisfare le esigenze più diverse.Tuttavia, proprio ciò che costituisce il punto di forza del cloud, ovvero la gestione esternalizzata di dati e processi, ne costituisce al contempo il punto più critico.Difatti, per sua natura, tale strumento presenta numerose problematicità, tra cui una drastica diminuzione del controllo dei dati da parte dell’azienda titolare, che si riverbera nell’impossibilità di verificarne la corretta gestione, l’ubicazione dei server (questione ancora più problematica dopo la sentenza Schrems II), l’adozione e il rispetto delle misure di sicurezza da parte del fornitore, solo per citarne alcune.Queste circostanze sono ben note a livello europeo, tanto che ENISA ha oggi in corso la stesura di un nuovo schema di certificazione della sicurezza informatica nel cloud, all’esito di una consultazione pubblica terminata lo scorso febbraio.Non solo, ma a riprova della rilevanza del tema, lo scorso maggio l’EDPS ha comunicato di aver aperto due indagini sui servizi cloud forniti da Amazon e Microsoft alle istituzioni europee, nel timore di una loro non conformità al GDPR, in particolare con riguardo al tema del trasferimento dei dati.Se, quindi, risalgono al 2012 le ultime istruzioni a imprese e pubblica amministrazione fornite del Garante Italiano tramite il vademecum “La guida del Garante della Privacy per imprese e pubblica amministrazione”, il panorama giuridico e tecnologico, nel mentre, è profondamente mutato, e rende necessario uno sguardo più esperto e aggiornato, al fine di mitigare i rischi e le criticità connesse all’uso di tale tecnologia.Per poter, dunque, ricorrere a un uso del cloud “GDPR compliant” è bene oggi conoscerne, riconoscerne e soppesarne i punti critici e i vantaggi, così da saper scegliere con cura la soluzione più sicura per il proprio business ed evitare di poter…cadere dalle nuvole.Per informazioni:Tel.: 0422 916417E-mail: privacy@unisef.it