Tag Archives: privacy policy

Smart working: privacy e sicurezza nel contesto dell’epidemia di COVID-19

24 Apr , 2020,
esseti
, , , , , , ,

L’emergenza del COVID-19 ha accelerato l’adozione, su tutto il territorio nazionale, delle misure di lavoro agile, il cosiddetto “smart working” (introdotto per la prima volta dalla Legge n. 81 del 2017), al fine di evitare gli spostamenti e contenere i contagi.

blogger-336371_1920

A causa del modo improvvisato con cui il sistema produttivo italiano si è avvicinato a questa modalità di lavoro, le aziende e le persone potrebbero non essere pronte ad avvalersene correttamente. Il “lavoro agile”, infatti, richiede un sapiente utilizzo dell’innovazione digitale, una gestione integrata ed un’evoluzione dei modelli organizzativi aziendali di cui la privacy è parte integrante, per via del ruolo di primo piano rivestito dalla tecnologia.

Le modalità flessibili di lavoro smart, in generale, consentono di migliorare la produttività delle imprese e di usufruire di diversi incentivi fiscali, oltre a permettere ai lavoratori una migliore conciliazione tra lavoro e famiglia, producendo pertanto maggiori opportunità per le imprese e per loro stessi. Dall’altro lato, però, l’improvviso utilizzo dello smart working espone a maggiori rischi informatici i dispositivi aziendali, ma anche quelli personali, spesso usati in questa circostanza per necessità lavorative.

A partire dall’inizio del contagio del Coronavirus sono in constante crescita attacchi informatici come ad esempio l’invio di e-mail sospette, tutte riferite all’attuale situazione d’emergenza, in cui vengono richieste credenziali e dati personali (phishing) o che contengono allegati o link dannosi. Questo dato evidenzia quanto i criminali informatici, sfruttando le notizie globali e la situazione d’emergenza sanitaria, si approfittano delle persone che cercano informazioni sul contagio e che sono per questo più propense a cliccare su link potenzialmente dannosi o a scaricare allegati che si rivelano indesiderati.

In questa condizione, il datore di lavoro è tenuto a prestare adeguata attenzione a diversi aspetti inerenti l’uso delle nuove tecnologie. Deve continuare a mantenere, seppur a distanza, contatti con i propri dipendenti portando avanti il lavoro quotidiano, nel rispetto dei limiti fissati dallo Statuto dei Lavoratori. L’articolo 4 ha una particolare rilevanza quando si parla di lavoro agile, perché fissa un principio cardine: sono vietati l’installazione e l’uso di strumenti tecnologici e sistemi in grado di controllare a distanza lo svolgimento dell’attività lavorativa del dipendente, a meno che il ricorso a questi non sia stato prima siglato con un accordo sindacale o sia autorizzato dall’Ispettorato Territoriale del Lavoro.

Lo Statuto, nato nel 1970, è stato interpretato in maniera evolutiva dalla giurisprudenza e dagli orientamenti del Garante della Privacy e ha finito per comprendere anche un controllo sugli strumenti digitali dei lavoratori: dai sistemi di rilevazione della posizione fino ai software che monitorano in maniera costante l’uso che viene fatto di internet. La riforma del 2015 (Jobs Act) ha poi aggiunto che, anche se lo strumento di controllo a distanza è lecitamente installato, il datore di lavoro deve preventivamente informare il lavoratore agile sulla possibilità di eseguire controlli sulla sua prestazione.

Non c’è, comunque, un divieto “assoluto” di controllo sul lavoratore da parte del datore; se quest’ultimo ha il fondato sospetto che il dipendente stia commettendo degli illeciti, può svolgere controlli mirati, anche a distanza, a patto che siano proporzionati e non invasivi, e che riguardino beni aziendali (il PC fornito dal datore, la casella di posta aziendale, etc.) rispetto ai quali il dipendente non ha alcuna “aspettativa di segretezza”, dal momento che gli strumenti aziendali non possono essere usati per motivi personali.

Tuttavia, il datore di lavoro deve anche occuparsi della sicurezza dei dati e delle reti aziendali, a tutela dei propri dipendenti, clienti e fornitori (rispettando adeguati standard di sicurezza di data protection e cyber security). I dipendenti e i collaboratori, dovrebbero avere precise istruzioni, impartite dal titolare, per la salvaguardia dei dati personali che sono autorizzati a trattare nello svolgimento della propria mansione lavorativa. Non tutte le aziende, però, hanno direttive e procedure di sicurezza precise per lo smart working, soprattutto quando questo non è stato mai previsto prima d’ora.

L’errore più frequente nell’usufruire delle modalità di lavoro agile, utilizzando dispositivi personali e non forniti dall’azienda, è quello di trascurare le misure di sicurezza, non adottando sistemi antivirus e sottovalutando i rischi connessi alla navigazione in rete (accesso a siti pericolosi, download, etc.): uno scenario potenzialmente pericoloso se si accede, in questo modo, ai sistemi e ai server aziendali da remoto.

Anche in questo periodo di emergenza sanitaria, le misure di sicurezza adeguate che il titolare del trattamento dovrebbe attuare per garantire la tutela dei dati personali, dovranno rispettare il Regolamento UE 2016/679 (GDPR). Perciò il datore di lavoro dovrà attuare tutte le procedure per l’attività lavorativa dello smart working, seppur non precedentemente previste, in modo da limitare il rischio per i diritti e le libertà fondamentali degli interessati.

Una risposta concreta a tali problemi, seppur non obbligatoria, è rappresentata dalla compilazione e dall’aggiornamento della Valutazione d’Impatto (la “DPIA” — art. 35 GDPR), ovvero un’analisi delle necessità, della proporzionalità, nonché dei relativi rischi, allo scopo di approntare misure idonee ad affrontarli.

In questa forma di lavoro agile non si può non far riferimento alla cyber security, poiché innumerevoli informazioni vengono scambiate e condivise online. I dati particolari, le proprietà intellettuali e i documenti riservati potrebbero subire furti, perdite accidentali, accessi abusivi, diffusioni dolose o colpose ed essere quindi oggetto di “data breach”.

Oltre ad affidarsi a VPN (Virtual Private Network) sicure e a provider affidabili, anche in questo caso, la formazione dello smart worker costituirebbe un’efficace misura di sicurezza, poiché come prescritto dall’art. 32 del GDPR:

“Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.

Occorrerà considerare questa diffusione epidemica come un evento che ha interrotto l’abituale continuità lavorativa e, conseguentemente, ha minacciato i sistemi informativi. È auspicabile trarne un insegnamento per implementare sistemi efficaci al fine di rendere maggiormente operativa l’azienda già a partire dalla “Fase 2”, attivando una corretta progettazione e una maggiore cultura della sicurezza fra i dipendenti.

IL CONCETTO DI CYBERSECURITY NEL CONTESTO DEL GDPR ED I RISCHI CONNESSI AL DATA BREACH

6 Nov , 2019,
esseti
, , , ,

Come ormai, purtroppo, siamo stati costretti ad imparare dalla cronaca quotidiana e, qualche volta, a nostre spese, insieme alla rapida crescita della diffusione della tecnologia, la società digitale ha visto evolversi in maniera repentina una serie di attività dannose e criminose con tecniche sempre più raffinate, tanto da meritarsi un appellativo coniato su misura come Cybercrime.

La minaccia cyber appare in continua crescita e, dopo aver assistito alla nascita di attività criminali completamente nuove, quali le frodi finanziarie online ed i sequestri di dati, ci troviamo in presenza di un mercato virtuale che offre prodotti e servizi altamente specializzati per perpetrare veri e propri attacchi mirati. Siamo di fronte a quello che, nell’era del Cloud, viene definito come Crime-as-a-Service. Non mancano reti di servizi diversificati e personalizzati per attività criminali ed è piuttosto semplice accedere all’acquisto di pacchetti Malware, con relativi tutorial e apposite sessioni di consulenza.

Lo scenario che si profila per le aziende è dunque uno scenario di minaccia continua e spesso ci troviamo immersi in una vera e propria guerra che si combatte sulle autostrade telematiche, nella quale ci sentiamo impotenti e disarmati. Tutti noi siamo chiamati a misurare il cosiddetto Cyber Risk e adottare una serie di misure di sicurezza che portano indubbiamente ad aumentare il costo della nostra presenza sulla rete.

Restringendo lo sguardo a livello nazionale si può affermare, senza tema di smentita, che il panorama della sicurezza informatica in Italia è caratterizzato da un basso livello di preparazione, dalla mancanza di tempestività, e da lacune tecnologiche e di budget: sono questi i gap da colmare più evidenti delle aziende italiane in ambito Cybersecurity. Occorre quindi sviluppare nuove capacità e nuovi strumenti per migliorare la sicurezza del sistema Paese e questo rappresenta una sfida nazionale della massima importanza da cui passerà nei prossimi anni la crescita economica oltre che il benessere e la sicurezza dei cittadini. Sono molti gli studiosi che affermano con certezza che la correlazione tra prosperità economica di una nazione e la qualità delle sue infrastrutture cyber sarà sempre più stretta nei prossimi anni.

Appare dunque evidente che in questo scenario sarà sempre più presente e sentito il problema rappresentato dai cosiddetti “data breach”, letteralmente “violazioni di dati”. Sotto questo termine vengono raggruppati tutti quei “casi in cui – a seguito di attacchi informatici, accessi abusivi, incidenti o eventi avversi, come incendi o altre calamità – si dovesse verificare la perdita, la distruzione o la diffusione indebita di dati personali conservati, trasmessi o comunque trattati”, secondo la definizione che viene data dal garante della Privacy.

Possiamo facilmente estendere il concetto di data breach dai dati personali a tutti quei dati aziendali che spesso rappresentano un grande valore e che vorremmo difendere dagli attacchi e da tutti i rischi che incombono su di loro. È importante sottolineare che oltre al danno spesso ingente causato dalla sottrazione di dati o dall’accesso fraudolento a informazioni dalle banche dati di industrie, enti pubblici ed organizzazioni di ogni genere, si può aggiungere la beffa delle sanzioni previste dal Regolamento Generale sulla Protezione dei Dati (GDPR).

La principale novità introdotta dal regolamento europeo GDPR è il principio di “responsabilizzazione” (cd. accountability), che attribuisce direttamente ai titolari del trattamento il compito di assicurare, ed essere in grado di comprovare, il rispetto dei principi applicabili al trattamento dei dati personali (art. 5).

Diventa quindi essenziale rivedere, o addirittura ripensare i propri processi di trattamento dati e procedere ad una adeguata valutazione dei rischi connessi a tali trattamenti.

Fino a pochi anni fa abbiamo pensato al mondo digitale come un mondo in cui si trovano milioni di persone con dati che rappresentano i nostri comportamenti e che possono essere usati per supportarci nel nostro lavoro e nella nostra vita quotidiana ma possono anche essere usati contro di noi. Abbiamo acquisito consapevolezza, abbiamo imparato a difenderci e ci sentiamo tutelati da leggi quali il GDPR che proteggono i nostri diritti.

Oggi però lo scenario è cambiato e all’Internet of People si affiancano le nuove tecnologie, con droni, robot, dispositivi IOT, industria 4.0, blockchain e Intelligenza Artificiale, oramai utilizzate intensivamente in molte aziende, che impongono una maggior attenzione al tema della Cybersecurity che non poteva, ed adesso a maggior ragione, non può essere ignorato in un mondo sempre più interconnesso.

Per far fronte al crescente numero di attacchi cibernetici diretti contro le varie organizzazioni occorre un cambio di paradigma, che sposti il baricentro dal risk management alla prevenzione della minaccia, dalla risposta all’incidente alla protezione dei sistemi.

Per aiutare le aziende si pone come supporto alla conformità in ambito sicurezza informatica, il Cybersecurity Act, entrato in vigore dal 27 giugno 2019. Esso è un regolamento facente parte del Cybersecurity Package europeo adottato dal 13 settembre 2017, come un insieme di strumenti per prevenire ed affrontare gli attacchi informatici. Il documento tiene conto degli attuali standard internazionali di sicurezza informatica (es. ISO 27001, NIST 800-53, PCI-DSS, CSA Cloud Control Matrix) e si va ad affiancare alla Direttiva Nis ed al GDPR.

Tra i principali argomenti trattati nel Cybersecurity Act, hanno rilievo la riforma globale dell’ENISA (European Union Agency for Cyber security, il cui mandato è stato reso permanente) e la creazione di un quadro di certificazione di prodotti e servizi di sicurezza informatica. Sarà quindi possibile ottenere la certificazione dei propri prodotti e servizi e vedersi riconoscere un livello di affidabilità che corrisponderà alla loro capacità di resistere agli attacchi di sicurezza informatica.

Diventa quindi essenziale per le aziende approcciare in modo strutturato il tema della sicurezza informatica e possono essere sicuramente utili strumenti come il Framework Nazionale per la Cybersecurity e la Data Protection che, ispirandosi al Framework creato dal NIST (National Institute of Standards and Technology), fornisce uno strumento operativo per organizzare i processi di cybersecurity adatto alle organizzazioni pubbliche e private, di qualunque dimensione.

Le statistiche ci dicono che i reati informatici sono in continuo aumento e che le aziende che hanno subito violazioni dei propri sistemi hanno subito danni diretti e indiretti: perdita di dati, costi di ripristino, fermi aziendali, perdita di clienti, perdita di opportunità di business e rallentamenti nella loro crescita.

Possiamo concludere dicendo che la speranza è che presto ogni organizzazione si doti di un proprio Sistema di Gestione delle Sicurezza delle Informazioni e che aumenti il proprio livello di conoscenza e di competenza per contrastare la diffusione del Cybercrime facendo recuperare velocemente quel gap che si è formato in Italia rispetto ai paesi tecnologicamente più evoluti.

Normativa trattamento cookies. Entro il 3 Giugno 2015 i siti dovranno adeguarsi

28 Mag , 2015,
esseti
, , , ,

cOOKIES_Privacy Policy: adempimenti per tutti i siti web. Cookies, Informative Privacy e Dati Aziendali

Fonte: Garante Privacy

Il Garante della privacy,  al termine di una consultazione pubblica  seguita alla pubblicazione del provvedimento n.  229 dell’8 maggio 2014,  ha stabilito la necessità di adottare procedure di adeguaemnto dei siti internet  per rendere agli utenti l’informativa on line sull’uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

Le indicazioni fornite specificano che ogni sito internet dovrà avere la una sorta di banner informazioni agli utenti nel quale dovranno essere chiariti tutti gli aspetti relativi all’utilizzo dei cookie e allo stesso tempo dare la possibilità di scegliere quali cookie autorizzare.

Entro il 1° giugno 2015, tutti i siti web dovranno essere in regola con l’informativa e il Consenso sull’uso dei Cookies.

Tale onere ricade sui Proprietari dei siti che nel caso non avessero provveduto ad adeguare il sistema informativo secondo le prescrizioni normative o non le abbiano completate in modo conforme potrebbero incorrere in una sanzione da parte dell’Autorità Garante, per una somma che va da 6.000 a 36.000 euro.

E’ bene ricordare che affidarsi a strumenti automatici che creano una privacy policy standard, modificando soltanto alcuni campi non garantisce un’attenta e sicura rispondenza a quanto la legge prevede.  Un privacy policy generator non riuscirà mai a creare un’informativa sulla privacy completa e personalizzata.

I cookies sono piccoli files di testo che i siti internet inviano ai browser (Chrome, Firefox, Safari, Internet Explorer, ecc) nei quali sono contenuti alcuni dati per essere utilizzati dai siti stessi.
Poichè nei siti possono essere presenti elementi come,  immagini, mappe, suoni, specifici link a pagine web di altri domini che risiedono su server diversi da quello sul quale si trova la pagina richiesta, l’utente può ricevere sul suo terminale anche cookies di siti o di web server diversi (c.d. cookies di “terze parti”).

Pertanto gli utenti dovranno essere informati sull’uso di eventuali cookie che memorizzano i dati di navigazione al fine di impedire/consentire l’installare di cookie per finalità di profilazione e marketing sui terminali degli utenti (consenso informato). I cosiddetti cookie “tecnici” sono parzialmente esclusi da questa normativa, in quanto servono solamente a raccogliere dati a scopo tecnico e di fruizione di un sito e delle sue molteplici funzioni (come ad esempio i dati di login), ma comunque  resta obbligatorio informare della loro presenza e del loro utilizzo.

Nell’ambito della Privacy Policy, la creazione e la gestione dei siti web, richiede inoltre il rispetto di altri adempimenti di pubblicazione, sempre al fine di informare gli utenti sull’utilizzo e il trattamento dei dati che volontariamente o involontariamente vengono acquisiti.

Tutti i siti web dovranno rispondere all’obbligo di pubblicazione online di precisi dati aziendali

Tutti i siti devo contenere informazioni sui dati aziendali: ragione sociale, sede legale, Codice Fiscale e Partita IVA, posta elettronica certificata (PEC), Ufficio del Registro dove si è iscritti, numero Repertorio economico amministrativo (Rea), capitale in bilancio (società di capitali), l’eventuale liquidazione in seguito a scioglimento, eventuale stato di società con unico socio (Spa e Srl unipersonali), società o ente alla cui attività di direzione e di coordinamento la società è soggetta (art. 2497-bis c.c.).

Tutti i siti web dovranno pubblicare un’idonea informativa sulla Privacy

La legge impone la riservatezza dei dati sensibili degli utenti eventualmente lasciati sul sito aziendale. Ogni volta che l’utente, compilando un form di richieste o inserndo i dati di registrazione,  (per iscriversi ad una newsletter, per contattare la società, etc…) dovrà poter esprimere un consenso informato, a seguito della lettura dell’informativa sulla tutela della privacy.

Ti invitiamo a contattarci per saperne di più e valutare insieme le soluzioni necessarie da adottare per adegaure il tuo sito.

Mettiamo a disposizione la nostra esperienza di consulenza in questo ambito, per gestire in maniera specifica la tua Privacy Policy.