Sottovalutare il DPO costa caro

www.studiolobrutto.eu

 

Come scelgo il giusto RPD?

 

Sul mercato sono disponibili diversi corsi certificati, ma non è prevista una formazione obbligatoria per i Responsabili della Protezione dei Dati (RPD). La tua scelta potrebbe quindi orientarsi verso una struttura che abbia nel proprio interno laureati in materie giuridiche che sicuramente padroneggiano perfettamente la parte legale della gestione dei dati. 

Oppure, potresti optare per uno specialista IT che conosca molto bene i Software, l’Hardware e i vari programmi. Ma la gestione della privacy è principalmente organizzazione legale, gestionale e consulenza, piuttosto che programmazione tecnica, motivo per cui lo specialista IT non è per niente indicato. 

⏩⏩⏩⏩⏩

Attenzione: 

Il tuo fornitore usuale di servizi IT, che arriva quando la tua stampante smette di funzionare o i tuoi dati nel sistema sono scomparsi, non può diventare contemporaneamente il Responsabile della Protezione dei Dati perché gli mancano l’obiettività e la neutralità necessarie. 

Infatti, ovviamente RISULTERA' IN TOTALE CONFLITTO DI INTERESSI!. 

                                                                                                            ⏪⏪⏪⏪⏪

L’esperto giuridico è quindi la scelta migliore in quanto i rapporti con le autorità di controllo si svolgono molto sul piano legale. Ricorda che sono richieste una conoscenza e esperienza specifica che non si possono apprendere attraverso un semplice corso di formazione. 

Meglio un DPO economico o uno costoso?

Questa domanda è molto popolare, ma qual è il tuo limite personale tra economico e costoso? Ci sono buoni Data Protection Officer economici e cattivi professionisti costosi, quindi per te dovrebbe essere logico scegliere l’intero pacchetto. Ma devi tener conto del fatto che l’istruzione e la formazione continua dei bravi Data Protection Officer non è economica! Un esperto che investe costantemente nella propria istruzione non può offrirti prezzi ridicoli. Semplicemente, non sarebbe conveniente per lui. Prezzi troppo bassi dovrebbero indurti a riflettere. 

Pensa ad un buon avvocato che dovrebbe salvarti dalla prigione. Certamente di fronte a tale possibile punizione (che, in senso figurato, nel GDPR è rappresentata da una enorme multa), ricercheresti il migliore difensore e, se necessario, senza badare a spese! È sempre pericoloso scegliere un partner solo per risparmiare, perché ciò alla fine ti può costare caro. 

In ogni caso dovresti prestare attenzione a:

• Che cosa ti viene offerto per i tuoi soldi? 
• Il fornitore di servizi è sufficientemente qualificato e ha molti anni di esperienza pratica e approfondite conoscenze specialistiche? 
• È sempre reperibile per te? 
• Ti consiglia in modo esaustivo e comprensibile e ti offre un buon servizio personale oltre ad un supporto telefonico e via e-mail? 

www.studiolobrutto.eu

Il Garante della Privacy apre un'istruttoria sull'antivirus russo Kaspersky

Il Garante per la protezione dei dati personali ha aperto un’istruttoria per valutare i potenziali rischi relativi al trattamento dei dati personali dei clienti italiani effettuato dalla società russa che fornisce il software antivirus Kaspersky.

In un comunicato, l'Autorità spiega che l'iniziativa “si è resa necessaria in relazione agli eventi bellici in Ucraina, allo scopo di approfondire gli allarmi lanciati da numerosi enti italiani ed europei specializzati in sicurezza informatica sul possibile utilizzo di quel prodotto per attacchi cibernetici contro utenti italiani”.

In particolare, il Garante ha già avanzato alcune richieste a Kaspersky. In particolare, il numero e la tipologia di clienti italiani, nonché informazioni dettagliate sul trattamento dei dati personali effettuato nell’ambito dei diversi prodotti o servizi di sicurezza, inclusi quelli di telemetria o diagnostici.

Inoltre, la società deve chiarire se “i dati sono trasferiti al di fuori dell’Unione europea (ad esempio nella Federazione Russa) o comunque resi accessibili a Paesi terzi”.

Infine Kaspersky “dovrà infine indicare il numero di richieste di acquisizione o di comunicazione di dati personali, riferiti a interessati italiani, rivolte alla società da parte di autorità governative di Paesi terzi, a partire dal 1° gennaio 2021, distinguendole per Paese e indicando per quante di esse Kaspersky abbia fornito un riscontro positivo”.

www.studiolobrutto.eu

Privacy e Facebook

Facebook è l’esempio più eclatante e più rappresentativo nella categoria dei Social Networks.

Il suo successo è dovuto dalla semplicità di utilizzo che, unitamente alla gratuità del servizio, sono stati in grado di coinvolgere un numero impressionante di persone.

L’utilizzo di questo strumento di comunicazione presenta, tuttavia molti rischi per la riservatezza dell’utente:

1. nel momento in cui ci si iscrive a Facebook, automaticamente e senza il previo consenso dell’utente, il nome di quest’ultimo viene indicizzato sui motori di ricerca estranei al network così che i suoi dati e la sua immagine sono esposti e visibili a qualsiasi soggetto terzo (anche non iscritto alla community);
2. quanto al diritto alla cancellazione, l’utente non è messo nelle condizioni di poter facilmente recedere dal servizio in quanto sulla pagina principale non è riportata alcuna indicazione in merito ma solo accedendo all’interno dell’area “impostazioni” è possibile cancellare l’account. Inoltre, tutte le informazioni, le immagini e i dati personali non vengono immediatamente rimossi ma restano sul server per un periodo di tempo indeterminato (per un eventuale riaccesso al network da parte dell’utente “pentito”), contrariamente a quanto richiesto dall’utente.
    

Il Codice della privacy viene facilmente raggirato dai vari sistemi per mezzo dei quali, all’interno della rete, è possibile effettuare vendite, passaggi, scambi di dati in totale libertà e senza che si riesca a porre un’efficace freno legislativo al costante espandersi di un vero e proprio commercio illegale dei dati on line.

La gestione dei dati in internet e la loro sicurezza

La tematica della sicurezza informatica sta diventando sempre più seria con il progredire dei servizi su internet, dall’home banking alle transazioni telematiche, dai blog ai social network.

Al giorno d’oggi, infatti, con il computer di svolgono molte operazioni e questo fa si che un’enorme massa di dati, tra cui anche sensibili, transiti in pochi secondi su internet.

La sicurezza viene messa a rischio non solo quando i dati abbandonano il singolo pc per diffondersi in rete ma, altresì, quando sono ancora al suo interno (si pensi ai virus che si installano per il solo fatto di avere una porta aperta su internet).

Esistono, inoltre, pratiche molto sofisticate per ottenere informazioni personali.

La miglior difesa per la tutela della privacy consiste, nell’utilizzare il buon senso e nell’utilizzare piccoli accorgimenti:

1. adottare password imprevedibili e con codici alfanumerici, cambiandole frequentemente e diversificandole a seconda dei siti;
2. evitare di comunicare la propria password e conservarla in un luogo sicuro, non sul computer che va in rete;
3. installare e configurare firewall e antivirus tenendoli costantemente aggiornati;
4. procurarsi un antispyware in grado di ripulire efficacemente il sistema;
5. tenere sotto controllo i cookies, ogni tanto cancellandoli completamente e utilizzando cookie manager che permette una gestione effettiva da parte dell'utente;
6. utilizzare un trace eraser: talune tracce elettroniche persistono dopo l'utilizzo di un computer. Cancellare queste tracce è spesso molto complicato e l'utilizzo di software specifico è consigliato;
7. non aprire allegati di e-mail provenienti da utenti sconosciuti o sospetti; oltretutto si evitano il phishing o lo spoofing;
8. leggere le licenze e le disposizioni riguardo alla privacy prima di installare un qualsiasi software.

Diritto alla privacy: cos’è

 

Cosa vuol dire il termine privacy?

Con il termine privacy si indica un complesso di informazioni personali riservate. Tutta la normativa in materia, infatti, ha lo scopo di salvaguardare e tutelare la sfera privata del singolo individuo, impedendo la divulgazione di dati personali e sensibili senza l’autorizzazione dell’interessato.

Diritto alla privacy: cos’è?

Partiamo subito col dire che il diritto alla privacy va inteso come diritto alla protezione dei dati personali. In pratica, ogni individuo può scegliere liberamente a chi rivelare le informazioni che lo riguardano e le modalità di trattamento di tali informazioni. Di conseguenza, è illecita qualsiasi divulgazione di dati relativa alla sfera personale del soggetto interessato in assenza di un suo consenso.

Attenzione: per trattamento si intende, in buona sostanza, la raccolta, la registrazione, la conservazione, la comunicazione e la diffusione dei dati personali.

Diritto alla privacy: l’importanza dell’informativa

La legge sua privacy [1] prevede che la detenzione, il trattamento e la divulgazione dei dati personali e sensibili devono essere effettuati nel pieno rispetto della volontà del soggetto cui si riferiscono. Ti sarà sicuramente capitato, ad esempio, di comunicare i tuoi dati per aprire un conto corrente, per registrarti su un social network o per fare un acquisto online. In tutti questi casi, viene richiesto all’utente di leggere e firmare la “privacy policy”, ossia l’informativa sul rilascio del consenso all’utilizzo dei dati personali per le finalità connesse al servizio. Quindi, l’informativa è necessaria ogni qualvolta ci sia un trattamento dei dati personali.

Diritto alla privacy: dati personali e dati sensibili

Ma cosa si intende per dati personali o dati sensibili? Sono la stessa cosa? Lo vediamo subito. Il Codice della privacy distingue tre forme di dati:

• i dati personali: si tratta di tutte quelle informazioni utili ad identificare una persona. Parliamo, quindi, del nome e cognome, del luogo e della data di nascita, del codice fiscale, ecc. Tali dati devono essere esatti, aggiornati e pertinenti alla finalità dichiarata;
• i dati sensibili: rivelatori dell’origine razziale, dell’orientamento sessuale e religioso, delle opinioni politiche, dello stato di salute, ecc. I dati sensibili possono essere trattati previo consenso scritto dell’interessato e in presenza di un’autorizzazione del Garante della Privacy;
• i dati particolari: si riferiscono ai dati giudiziari che possono rivelare, ad esempio, se un soggetto è imputato in qualche procedimento penale.

Per il trattamento di ciascuna tipologia di dati è importante che ci sia sempre il consenso del soggetto interessato. Per questo, come già detto, è necessaria l’informativa sulla privacy in cui sono indicati in particolare:

• il soggetto interessato al quale si riferiscono i dati;
• quali dati vengono trattati;
• le modalità e lo scopo del trattamento dei dati;
• l’eventuale diffusione a terzi dei dati personali;
• il titolare e il responsabile del trattamento.

Diritto alla privacy: la figura del Data Protection Officer

Il Data Protection Officer (DPO) è una figura professionale che si occupa principalmente di osservare, valutare e organizzare la gestione del trattamento di dati personali e la loro protezione all’interno di un’azienda pubblica o privata. Il DPO, quindi, assicura che le informazioni personali siano trattate nel rispetto delle normative privacy europee e nazionali. 

Diritto alla privacy: cosa fare in caso di violazione?

Se ritieni che la tua privacy sia stata violata, allora devi rivolgerti al Garante per la protezione dei dati personali con un ricorso, un reclamo o una semplice segnalazione. Si ha violazione del diritto alla privacy, ad esempio, se non viene data l’informativa, se i dati vengono trattati secondo modalità diverse da quelle indicate dalla legge o se vengono diffusi a terzi senza il tuo consenso.

Prima, però, devi trasmettere un’istanza scritta a chi detiene, per qualsiasi ragione, i tuoi dati personali e spiegare i motivi per i quali ritieni che ci sia una violazione. In assenza di riscontro, puoi presentare ricorso al Garante che, in caso di accoglimento, ordina al responsabile della violazione di cessare immediatamente la condotta illecita e di adottare le misure volte a tutelare i tuoi diritti ed evitare ulteriori illeciti.

In alternativa, puoi sempre presentare al Garante un reclamo o una semplice segnalazione oppure ancora rivolgerti direttamente alla giustizia ordinaria.

GDPR: FIDUCIA DEI FORNITORI

Fidarsi dei fornitori per un’azienda comporta un grande impegno, non essendo sufficiente la sicurezza aziendale, bisogna quindi entrare in un’ottica di sicurezza del business.

Un’implicazione del GDPR riguarda proprio i fornitori: se uno di questi subisse un attacco informatico perdendo così dei dati appartenenti, ad esempio, ad uno dei suoi clienti, è lo stesso cliente ad essere ritenuto responsabile della perdita, sempre che non dimostri di aver fatto tutto il possibile per la sicurezza dei dati.

Questo appare come un controsenso, ma la nuova normativa non si fa scrupoli ed è molto più severa, ed allora come si può creare una sicurezza efficace quando i dati non sono in possesso dell’azienda?

Ad esempio come si può seguire scrupolosamente il customer service o i sistemi informatici di chi programma le app? Non basta fidarsi dei propri partner, anche perché non tutti hanno un adeguato budget per tutelare ogni quadro della propria rete; inoltre le aziende di grandi dimensioni hanno come loro fornitori gruppi di aziende più piccole.

Si evince che la collaborazione in materia di sicurezza tra le società e i loro fornitori diventa di fondamentale importanza: ad esempio le banche si sono attivate in prima persona per controllare la sicurezza che assumono i propri partner, collaborando con loro per permettere di raggiungere la conformità al GDPR, investendo anche denaro per alcune necessità.

Guardando alla sicurezza informatica ciò appare come un evoluzione naturale, perché la sicurezza informatica non emerge più solo come sicurezza aziendale ma diventa sicurezza del proprio business oltre i confini fisici nei quali si sviluppa.

Le conseguenze della perdita di dati sono gravi sempre, ma con il nuovo GDPR bisogna anche aggiungere multe che potrebbero essere molto onerose, quindi diventa essenziale provvedere in prima persona alla sicurezza, anche quando si affidano i dati ad altri, e non si può delegare ad altri le eventuali mancanze.

Quindi quando un’azienda programma un budget per la sicurezza non deve pensare solo a quella aziendale ma anche a quando questa sicurezza è nelle mani dei propri partner.

Ma farsi assegnare un budget non è facile ma è indispensabile per la sicurezza di tutto il business, fa parte delle buone pratiche che devono essere adottate dalle aziende in maniera capillare.

GARANTE DELLA PRIVACY: MANCATO RISPETTO DELL’ACCOUNTABILITY DI PROVINCE AUTONOME, REGIONI E IN-HOUSE

Sono state effettuate indagini internazionali in 18 Paesi, inerenti al rispetto del principio di accountability, vale a dire di responsabilizzazione, affermato dal GDPR.

Il Presidente dell’Autorità Garante italiano ha sottolineato la mancanza dell’impegno, da parte di Regioni, società controllate e Province autonome, per il rispetto di tale principio, che, secondo l’indagine a tappeto a carattere internazionale intrapresa dalle Autorità per la protezione dei dati personali appartenenti al Global Privacy Enforcement Network, GPEN, per verificare il rispetto del principio di responsabilizzazione, necessita ancora di molto lavoro al fine della piena comprensione ed attuazione.

Dal report si evince che, nonostante molti enti pubblici ed imprese, analizzati dalle Autorità, ivi inclusa quella italiana, abbiano compreso i concetti base del principio di responsabilizzazione, rimangono rilevanti carenze verso l’effettiva e concreta realizzazione di particolari programmi e politiche a tutela dei dati personali.

Nell’ambito di tale ricerca è stata data facoltà alle Autorità europee, di scegliere liberamente uno specifico settore di analisi, (ad esempio telecomunicazioni, salute, etc., e il Garante italiano ha optato per l’analisi delle Provincie autonome, delle Regioni e delle rispettive società controllate che svolgono importanti trattamenti di dati personali per l’esercizio di compiti di pubblico interesse, occupando oltre un quinto delle 356 organizzazioni in tutto il mondo, oggetto di indagine

La protezione dei dati, oramai, ricopre una funzione sociale, imponendo alle pubbliche amministrazioni ed alle aziende una maggiore responsabilità, ma i processi relativi all’attuazione della reale tutela dei dati, non vengono ancora effettuati correttamente.

Nonostante ciò il Garante italiano ha riscontrato un miglioramento nelle misure adottate dagli enti pubblici, sottolineando il prosieguo delle attività di controllo ed ispettive, oltre alla promozione sulla consapevolezza del valore dei dati.

Dall’analisi effettuata è risultato che un quinto delle Regioni non ha ancora adottato una procedura interna per la gestione dei dati personali nell’organizzazione o non l’ha applicata correttamente nelle attività quotidiane; la maggior parte delle Regioni ha compreso l’importanza della formazione privacy ai dipendenti, ma ancora non è stata messa in atto, almeno nel 40% dei casi, l’attuazione di pratiche corrette per i trattamenti; viene garantita un’idonea trasparenza sul trattamento, tramite informative agli interessati, le quali sono aggiornate ed accessibili, ma alcune organizzazioni sembrano limitarsi a presentare solo la privacy policy del sito web; è emersa una grave criticità sul fatto che il 24% delle società ed il 48% delle Regioni, non abbiano procedure o policy per la gestione delle richieste e dei reclami da parte degli interessati, o delle stesse Autorità; vi sono carenze in merito alla gestione dei ”Data Breach”, infatti un quinto delle organizzazioni non ha ancora una procedura in tal senso, che includa, peraltro, la notifica all’Autorità, la comunicazione agli interessati ed il registro che documenti le violazioni subite; per alcune società, addirittura per il 58% delle Regioni,  non sono stati rinvenuti processi documentati per la valutazione dei rischi sulla protezione dei dati personali, DPIA, in relazione all’utilizzo di nuovi prodotti, tecnologie o servizi; molti dei soggetti analizzati ha redatto un registro dei trattamenti effettuati, ma alcune Regioni dovrebbero tenere traccia dei dati trasmessi o comunicati a terzi.

Molti organismi hanno designato un responsabile o un’unità per garantire il rispetto delle norme, è presente la formazione ma non l’aggiornamento della stessa.

Un quarto degli organismi manca di programmi di autovalutazione o monitoraggio interno relativo alla protezione dei dati, mentre quelli che hanno adottato tale monitoraggio risultano seguire delle buone prassi, come attività periodiche di autovalutazione.

Dei soggetti presi in esame, alcuni dispongono di procedure documentate in risposta ad eventuali incidenti per la sicurezza dei dati, ma molti organismi non dispongono di procedure necessarie per rispondere in maniera idonea a tali eventi.

Dossier sanitario elettronico: più tutele per i pazienti

Il Garante Privacy adotta le nuove linee guida: consenso informato, accessi  tracciati, immediata comunicazione dei data breach.

Varate  dal Garante privacy le nuove Linee guida sul dossier sanitario elettronico [doc. web n. 4084632]. Maggiori tutele per i dati dei pazienti, più trasparenza e obbligo per le strutture sanitarie di comunicare immediatamente all'Autorità i cosiddetti data breach (violazioni o incidenti informatici, come attacchi, accessi abusivi, azioni di malware, perdita, furto), che possano avere un impatto significativo sui dati. Il paziente avrà la possibilità di conoscere gli accessi eseguiti sul proprio dossier.

Scopo delle Linee guida è quello di definire un quadro di riferimento unitario per il corretto trattamento dei dati raccolti nei dossier, già istituiti o che si intendono istituire,  da parte di strutture sanitarie pubbliche e private.

Il dossier sanitario elettronico è lo strumento costituito presso un'unica struttura sanitaria (un ospedale, un'azienda sanitaria, una casa di cura), che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso quella singola struttura e offrirgli un migliore processo di cura. Si differenzia dal fascicolo sanitario elettronico in cui invece confluisce l'intera storia clinica di una persona generata da più strutture sanitarie.

Il provvedimento del Garante, pubblicato sulla Gazzetta ufficiale n. 164 del 17 luglio 2015, stabilisce, in particolare, che ai pazienti deve essere consentito di scegliere, in piena libertà, se far costituire o  meno il dossier sanitario. In assenza del consenso il medico avrà a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista. La mancanza del consenso non deve incidere minimamente sulla possibilità di accedere alle cure richieste. Per poter inserire nel dossier informazioni particolarmente delicate (infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia) sarà necessario un consenso specifico.

Per consentire al paziente di scegliere in maniera libera e consapevole, la struttura dovrà informarlo in modo chiaro, indicando in particolare, chi avrà accesso ai suoi dati e che tipo di operazioni potrà compiere.

La struttura sanitaria inoltre, dovrà garantire al paziente l'esercizio dei diritti riconosciuti dal Codice privacy (accesso ai dati, integrazione, rettifica, etc.) e la conoscenza del reparto, della data e dell'orario in cui è avvenuta la consultazione del suo dossier. Al paziente dovrà essere garantita anche la possibilità di "oscurare" alcuni dati o documenti sanitari che non intende far confluire nel dossier.

Considerata la particolare delicatezza del dossier il Garante ha prescritto l'adozione di elevate misure di sicurezza. I dati sulla salute dovranno essere separati dagli altri dati personali, e dovranno essere individuati criteri per la cifratura dei dati sensibili. L'accesso al dossier sarà consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi file di log che la struttura dovrà conservare per almeno 24 mesi.

Eventuali violazioni di dati o incidenti informatici dovranno essere comunicati all'Autorità, entro quarantotto ore dalla conoscenza del fatto, attraverso un modulo predisposto dal Garante all'indirizzo: databreach.dossier@pec.gpdp.it.

fonte: Garante Privacy

Sicurezza Zero Pensieri