In occasione dell’Evento, organizzato da DIGITAL 360 Group a Milano lo scorso 19 Aprile, sono stati affrontati i temi che avevano sollevato non poche polemiche nei giorni scorsi.

Fonti: Agenda Digitale; Garante Prinvacy; 

All’evento sono intervenuti autorevoli rappresentanti del Garante per la Protezione dei Dati Personali e del Cini – Consorzio Interuniversitario Nazionale dell’informatica.

Ecco la sintesi su alcune questioni di particolare interesse ai fini dell’applicazione in ambito aziendale, del nuovo regolamento europeo.

GDPR unico riferimento

A far data dal 25 maggio 2018, la legge riferimento sarà il GDPR.

Con il nuovo Dlgs, di cui il Governo sta discutendo la bozza per l’adeguamento della normativa nazionale alle disposizioni del presente regolamento, sarà abrogata la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

Tale intervento è diretto essenzialmente a settori specifici di attività, quali ad esempio la sanità e la ricerca.

Il GDPR sarà comunque obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

La figura del Data Privacy Officer (DPO)

Con il nuovo regolmento europeo è stata delineata anche una nuova figura professionale, Data Privacy Officer – DPO, che sarà ritenuta obbligatoria solo in alcuni ambiti.

Dove tale figura sarà obbligatoria, questi potrà essere un consulente esterno all’azienda ma dovrà possedere i requisiti di professionalità, indipendenze e autonomia di spesa, diventando una sorta di auditor interno dei processi di trattamento dei dati personali.

Sarà anche il Soggetto che  il Garante contatterà in caso debba acquisire informazioni o formulare contestazioni rivolte a chi tratta i dati personali in azienda.

Il DPO si configura essenzialmente come un esperto conoscitore dei processi e dei dati aziendali oltre che delle norme e tendenzialmente non è da identificarsi né in una figura di Avvocato né di un Informatico.

Certificazioni o codici di condotta dei DPO

Non esiste alcuna norma del GDPR che imponga di certificarsi o di aderire ad un codice di condotta anche perché non esiste ad oggi alcun organismo autorizzato dagli organi competenti a rilasciare certificazioni relativamente alla conformità del presente regolamento.

Le attestazioni delle competenze professionali raggiunte o della formazione eseguita possono essere utili per valutare un candidato, ma non rappresentano e non equivalgono a una “abilitazione” allo svolgimento del ruolo del DPO (né interni né esterni).

Oltre il 25 Maggio, quali sanzoni?

Il Garante privacy rimanda di sei mesi controlli e relative sanzioni.

Il Garante italiano si pone nella stessa scia del CNIL, l’Autorità garante francese, che ha dichiarato l’istituzione di un grace period durante il quale non sanzionerà le aziende che, a seguito di ispezioni, dovessero risultare inadempienti rispetto ai nuovi obblighi introdotti dal GDPR (purché i titolari siano in buona fede, dimostrino di avere avviato un processo di adeguamento e uno spirito di collaborazione con l’Autorità).

Resteranno sanzionabili le condotte che violano regole già consolidate da tempo nella normativa nazionale e confermati dal GDPR.

Non è definito il quadro sanzionatorio nel dettaglio per mantenere un grado di discrezionalità nell’applicazione.

Il Regolamento distingue le violazioni in due gruppi tali da corrispondere a illeciti più o meno gravi; l’art. 83 del GDPR prevede che “siano in ogni singolo caso effettive, proporzionate e dissuasive”.

Valutazione d’impatto

L’estensione e il contesto del trattamento, il numero di soggetti interessati e la natura dei dati oggetto di trattamento costituiscono fattori da tenere in debito conto nel determinare l’obbligatorietà della valutazione d’impatto.

Le nomine degli Autorizzati al trattamento (già Incaricati ex D.Lgs 196/2003) sono redatte sulla base delle caratteristiche e delle esigenze aziendali derivanti dalla valutazione d’impatto effettuata.

Il nuovo dilemma ad un mese dall’applicazione del nuovo Regolamento europeo

Fonti: Altarex; Interlex; OmiaVis; Il Fatto Quotidiano

Si fanno sempre più serrate le polemiche che in questi giorni animano il dibattito  a seguito dell’approvazione dello Schema di Decreto Legislativo che introduce disposizioni per l’adeguamento della normativa nazionale al Regolamento (UE) 2016/679, ovvero il GDPR – General Data Protection Regulation.

Nonostante le tempistiche fossero ampiamente compatibili con le “necessità” di adeguamento dei singoli Stati membri , solo il 21 marzo scorso, “ancora” in fase di formazione del nuovo Governo, il Consiglio dei Ministri ha annunciato l’approvazione dello Schema di Decreto Legislativo di recepimento.

Questo non ha certo portato a semplificare e tanto meno a chiarire le modalità con cui occorre gestire l’applicazione delle norme sull’intera materia Privacy. Anzi.

Le associazioni nazionali più rappresentative nel settore della protezione dei dati personali (ANORC Privacy e ANORC Professioni, ANDIP, Associazione Privacy Italia, Istituto Italiano Privacy, ANGIF, ANDIG e Federprivacy) sono già mobilitate per intraprendere un’azione congiunta contro il Decreto in questione.

A questo coro si aggiunge anche la voce di molti esperti del settore e di altre Associazioni di Categoria, non solo per contestare l’aspetto legato alle tempistiche e modalità con cui è stato approvato lo schema, ma anche per un vizio non indifferente per così dire di interpretazione.

La questione sostanziale è infatti legata alla previsione di un’abrogazione dell’intero Codice per la protezione dei dati personali (e delle sanzioni penali ivi previste), indicata nello stesso Schema di Decreto, che appare verosimilmente incostituzionale.

La delega al Governo per far fronte all’adeguamento al GDPR, prevedeva di abrogare soltanto le disposizioni del regolamento vigente (decreto lelgislativo 193/2003)  in contrasto con i principi indicati al livello europeo.

Un esercizio di coordinamento tra le due normative che ovviamente è stato ignorato dai nostri legislatori, che hanno individuato la soluzione più idonea nell’abrogazione dell’intero Codice in materia di protezione dei dati personali.

Resta comunque una scadenza certa, il 25 maggio prossimo, per risolvere tutta la questione.

Intanto le imprese e i soggetti interessati continuano a confrontarsi con dettagli sempre più confusi e incerti rispetto alla gestione dei dati e alla loro tutela, mentre è in atto una vera e propria bufera scatenata anche a seguito della vicenda “Cambridge Analytica”.

La vicenda sembra quindi aprire scenari del tutto nuovi, diretti probabilmente ad ulteriori “approfondimenti”.

Viaggiano sempre e saranno sempre di più.

Passa attraverso Google Chrome e tramite i siti da cui si scaricano film illegalmente il Virus più diffuso in Italia

Fonti: Ansa.it –  Eset –  Corriere Comunicazioni Digital

Non c’è dubbio che i Virus non vanno mai in vacanza…O meglio sono sempre in viaggio per qualunque destinazione “abbordabile”.

E proprio perchè durante le NOSTRE vacanze l’utilizzo della tecnologia non ci abbandona, ma anzi, la utilizziamo con i dispositivi più vulnerabili sotto il profilo della sicurezza, che dobbiamo fare ancora più attenzione ai “visitatori” indesiderati.

Attualmente la classifica dei virus più diffusi in Italia vede al comando  Submelius, il malware che ha minacciato quasi il 32% degli utenti e si fa strada proprio attraverso i siti da cui si scaricano film illegalmente.

Il malware, veicolato principalmente attraverso Google Chrome, si conferma come una delle minacce più aggressive nel Paese negli ultimi mesi

Il rapporto Eset di luglio, spiega le modalità di diffusione di questo virus.

Tutto inizia quando Il’utente visualizza sul browser le classiche finestre con l’annuncio ‘è stato rilevato un virus’ o ‘guadagna soldi lavorando da casa’, poi viene reindirizzato ad un sito che chiede a sua volta di passare ad un altro indirizzo, finché l’utente non clicca su ‘accetta’, “indirizzando così il browser verso il download di un’estensione dallo store di Google Chrome”.

In ogni caso il principio è sempre lo stesso. I dati mostrano che le tipologie di virus più efficaci e diffusi sono  i malware trojan che una volta iniettati aprono il sistema ai  truffatori informatici.

E a questo punto acquisiscono il controllo e iniziano ad installare altri malevoli e/o reindirizzare la navigazione internet per rubare magari anche dati privati .

L’implicazione della diffusione sempre più intensa di questi virus investe ormai tutti, imprese e privati che ovviamente sono sempre interconnessi.

Tutto questo non è sfuggito all’attenzione dei legislatori che continuamente cercano di intensificare le normative di sicurezza e tutela della Privacy.

Certamente il nuovo Regolamento sulla protezione dei dati dell’Unione Europea (GDPR) ci mette subito in guardia fin da oggi dall’assumere un comportamento mirato ad accorta prevenzione delle minacce.

Per questo ad esempio le Imprese devono adeguare fin da oggi i propri sistemi, processi e modalità organizzative per trovarsi pronte alla scadenza fissata a maggio 2018, quando il regolamento sarà pienamente applicabile.

Intanto la classifica dei malware si incrementa e si trasforma quotidianamente.

E questa sarà proprio la maggiore difficoltà e sfida che dovrà essere affrontata. Prevenire, adeguare e intervenire in maniera sempre più flessibile e tempestiva.

La medaglia d’argento dei virus malevoli più diffusi in Italia spetta attualmente a ScriptAttachment (rilevato nel 6% delle infezioni), che viene distribuito come allegato ad una email: una volta aperto, scarica e installa differenti varianti di virus, la maggior parte dei quali costituiti da ransomware, che bloccano il sistema operativo dei dispositivi e chiedono un “riscatto” per sbloccare i dati contenuti nel Pc.

Le 50 principali minacce e la loro percentuale di diffusione in ogni singola nazione e in tutto il mondo >>

Fonte: Eset

Contattaci per una consulenza >>

Prodotti per la Sicurezza >>