Privacy by default, accountability, impact analysis, obbligo di denuncia, data minimization e retention. E così via. Il regolamento europeo sulla protezione dei dati personali (GDPR) conferma e rafforza diversi trend normativi già affermatisi nel corso del tempo in Europa, con una forte chiamata in corresponsabilità delle aziende e un sistema di sanzioni – vere e proprie multe espresse in percentuale dei fatturati aziendali – che sulla carta può diventare molto oneroso e difficilmente aggirabile. Il legislatore europeo ha sicuramente agito in linea di continuità con il passato, ma allo stesso tempo si rivolge alle imprese e ai responsabili delle loro infrastrutture informatiche, chiedendo un impegno ancora maggiore. Non solo in termini di tracciabilità delle informazioni – con una riduzione dei margini di rischio di esposizione delle stesse, per esempio attraverso nuovi metodi di anonimizzazione dei dati (disaccoppiamento tra informazioni generiche e informazioni anagrafiche), riduzione del volume complessivo delle informazioni conservate e della loro ridondanza, rimozione delle informazioni non più utili alla conduzione del business – ma anche in termini di capacità di individuare rapidamente le violazioni avvenute, che secondo il nuovo regolamento devono essere tempestivamente e volontariamente segnalate alle autorità centrali.

COMPLIANCE IN CHIAROSCURO

Il problema è che la linea di partenza per la definitiva entrata in vigore del GDPR (dopo un periodo transitorio che non prevedeva sanzioni), fissata per il prossimo maggio, è alle porte mentre gli obiettivi della compliance sembrano ancora molto lontani. «Dalle indagini che IDC ha condotto negli ultimi diciotto mesi su questo tema – afferma Giancarlo Vercellino, research and consulting manager di IDC Italia – si evidenzia un procedere flemmatico verso la scadenza del periodo transitorio». Quasi il 60% delle imprese sopra i dieci addetti, spiega Vercellino, dichiara di trovarsi in uno stadio avanzato di adeguamento ai nuovi termini della normativa in vista dell’imminente scadenza di maggio 2018, ma ben il 40% afferma di trovarsi ancora in una fase piuttosto preliminare, non avendo ancora pianificato una specifica roadmap oppure essendo appena partiti con le prime valutazioni. Quel che più conta – e forse dovrebbe preoccupare – è che «meno del 5% delle imprese sostiene di avere già provveduto a tutti gli adempimenti».

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Gli obblighi ai quali le organizzazioni aziendali (e non solo) devono ottemperare sono tanti e sicuramente la tecnologia e il software possono aiutare, insieme ai servizi di valutazione e affiancamento e formazione che i vendor di soluzioni di sicurezza, data protection e relativo consulting stanno offrendo – lo testimoniano le dimensioni ragguardevoli della partecipazione a questo dossier – un mercato di piccoli, medi e grandi utenti di informatica oggi alle prese con la messa in regola delle attività basate sui dati digitali. Secondo le analisi di IDC Italia, la quota dell’intero mercato della cybersecurity attribuibile agli sforzi di adeguamento non sarà indifferente. «Quest’anno – avverte infatti Vercellino – la compliance avrà verosimilmente un impatto particolarmente significativo su alcuni investimenti IT, in modo particolare sulla sicurezza. Il 22% delle imprese italiane sopra i dieci addetti indica la compliance come una priorità essenziale per il 2018, dato che sale al 39% tra le imprese che avvertono la necessità di investire sulla sicurezza IT. Circa il 10% delle imprese in fase avanzata di adeguamento al GDPR investirà in sicurezza oltre il 3% del budget IT complessivo». Oltre ai processi, conclude l’esperto, le aree di maggiore rilevanza degli investimenti saranno le tecnologie di web security, la mobilità e le infrastrutture di rete.

BINOMIO INSCINDIBILE

Una grossa area di incertezza percepita dalle organizzazioni che sono tenute a rispettare il regolamento, riguarda proprio le contromisure vere e proprie da adottare. Al momento, dal legislatore non sono ancora arrivate linee guida precise o best practice da implementare e come vedremo in seguito – dall’intervista con l’avvocato Valentina Frediani, founder e CEO dello studio Colin & Partners che abbiamo coinvolto in questo dossier – l’assenza di un preciso codice di comportamento è stata per così dire ingegnerizzata da un legislatore che ha voluto fissare una serie di obiettivi e presupposti, lasciando a chi deve ottemperare al regolamento, uno spazio di manovra che agisce anche da stimolo alla lettura e alla comprensione di un testo, che secondo Valentina Frediani è molto più esplicito del temuto. Come affermava Alessandro Cecchetti, general manager dello stesso studio specializzato in consulenza legale informatica, nel corso della tavola rotonda organizzata da Data Manager proprio per fare chiarezza sull’adozione del GDPR, la mancanza di precise norme di comportamento invita a rispettare l’unica regola possibile: leggere con cura il testo, individuare i punti di aderenza alla propria realtà procedurale e infrastrutturale e implementare di conseguenza le necessarie misure tecniche e organizzative. Si andrà a creare così – sottolineava Cecchetti – il binomio inscindibile voluto dal legislatore, quello tra il dato digitale inserito nel contesto delle infrastrutture e delle applicazioni informatiche e l’informazione considerata dal punto di vista del business e dei suoi processi.

Alla base del principio di responsabilizzazione che ispira il testo della normativa, c’è l’obbligo da parte dell’azienda di essere in grado di dimostrare l’adeguatezza con la quale è stato affrontato il tema della protezione del dato digitale. In altre parole, l’organizzazione è tenuta a stendere un accurato piano di valutazione da cui potrà derivare l’implementazione di contro misure sia tecniche (come per esempio l’uso della cifratura delle informazioni, o di tool che consentano un uso anonimo del dato personale) sia organizzative (per esempio la gestione improntata a una minore ridondanza dei dati e all’eliminazione di tutto ciò che non ha più utilità per il business). Un’altra forte motivazione dell’estensore della nuova direttiva europea è quella di evitare la definizione di norme preconfezionate e “one size”, proprio per venire incontro all’esigenza di una protezione più adatta allo specifico settore di attività. Uno dei tratti distintivi della compliance consiste proprio nello studio dei trattamenti e delle peculiarità che caratterizzano un’azienda di produzione industriale o un istituto di credito. Questo inevitabilmente comporta la capacità di analisi delle singole situazioni e la creazione di un percorso su misura. In una ottica che volutamente il legislatore ha inteso di vero e proprio risk management.

Dossier #GDPR È iniziato il conto alla rovescia. Come adeguarsi in tempo? Ecco i fattori critici che bisogna tenere d’occhio secondo @Clusit @ColinPartners @IDCItaly
Click To Tweet

EVOLUZIONE DELLA PRIVACY

Qual è la risposta dei system integrator e più in generale del mondo delle soluzioni di IT security anche in termini di offerta consulenziale, di assessment e progettazione, e di veri e propri tool a supporto della compliance? Oltre a cercare di spiegare quali sono i principali obblighi e le misure sanzionatorie introdotti dal GDPR, questo dossier si prefigge di evidenziare quali mosse sono concretamente previste da chi deve affrontare un percorso di compliance e quali sforzi sono richiesti alle imprese in termini finanziari e temporali, e quali sono appunto i possibili contributi che vengono dal tradizionale mercato delle soluzioni di data protection, data leak prevention, e di risk e incident management, nonché dal mondo dei servizi di assessment, implementazione e gestione delle soluzioni adottate, in vista dell’obiettivo fondamentale del regolamento: determinare il passaggio da una cultura della tutela della riservatezza a un contesto generale in cui la salvaguardia del dato non viene mai separata dal concreto rischio di esposizione di informazioni personali che sono – anche da un punto di vista valoriale, economico – al centro di attività commerciali o di pubblico servizio.

Per evidenziare i punti essenziali della normativa, facciamo ancora una volta ricorso ai contenuti che Alessandro Cecchetti di Colin & Partners e Claudio Telmon, membro del direttivo e del comitato scientifico di CLUSIT hanno delineato, nelle due chiavi di lettura giuridica e informatica, nel corso della tavola rotonda di Data Manager. Il nuovo regolamento, aveva precisato Cecchetti, va appunto in direzione della data protection, tanto che tra le misure di sicurezza da adottare si fa riferimento alla 27001, la norma ISO sulla gestione della sicurezza informatica. Il punto chiave di una norma concepita come trasversale all’interno dei settori di industria e delle singole aziende è che diversamente dal passato, il nuovo regolamento non deve essere demandato esclusivamente a figure come il data protection officer (DPO). È il modo di concepire la privacy, che cambia completamente. La struttura del GDPR non prevede come si è detto una lista di cose da fare ma definisce una serie di macro-obiettivi, rimettendo all’azienda il compito di raggiungerli. Spetta a ogni singola organizzazione, in funzione del core business, del modo di trattare i dati, di tanti altri fattori, andare a calare il testo della norma nella propria realtà. Quest’ultima è una considerazione da tenere presente anche nell’affrontare le misure di sicurezza che il regolamento prevede, introducendo tra l’altro un principio di responsabilità, di “accountability”, in base al quale le aziende devono dimostrare la consapevolezza sulle misure adottate, ovvero nell’intera gestione del regolamento e della sua applicazione. Di analoghi margini di interpretazione godono le strutture preposte ai controlli, come la Guardia di Finanza, incaricata di svolgere verifiche che possono avere una durata più estesa, considerando che il compito del controllore è anche quello di capire le logiche con cui il regolamento è stato studiato e applicato alle diverse situazioni.

L’ONERE DELLA PROVA

Il principio di “accountability” – in altre parole, l’onere della prova in relazione all’efficacia delle misure messe in atto – è stato introdotto proprio perché il GDPR prevede l’introduzione di misure tecniche e organizzative “adeguate”. Il binomio inscindibile di cui parla Cecchetti di Colin & Partners prevede un costante allineamento tra misure tecniche e procedure operative: inutile per esempio adottare sofisticati processi di autenticazione che regolano l’accesso alle risorse di rete se mi dimentico di disattivare gli account dei dipendenti che lasciano l’azienda. Il GDPR equivale in pratica all’obbligo di adottare un sistema gestionale, non prima di aver analizzato le procedure in atto e le peculiarità delle singole aziende, o aver controllato che sul piano tecnico non esistano discrasie con quanto prescritto dal regolamento. Altra importante novità riguarda i concetti di privacy by design e privacy by default. Un concetto che incide sulla cronologia degli adempimenti perché il by design viene per esempio demandato anche ai fornitori che mettono sul mercato prodotti che hanno un impatto tecnologico. Viene qui introdotta una precisa co-responsabilità: in base al regolamento, i fornitori devono assicurarsi che le loro soluzioni rispettino la privacy by design e anche loro dovranno effettuare opportune analisi di conformità.

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

La privacy by default può essere considerata come una responsabilità dell’azienda che acquista determinate soluzioni e le deve impostare. Anche se non sempre le reciproche responsabilità sono chiare nei progetti di sviluppo congiunto dove l’azienda “compliant” collabora con soggetti esterni. Il problema dei due tipi di privacy va affrontato cronologicamente per primo e deve riguardare retroattivamente anche le soluzioni software già presenti. Occorre effettuare una mappatura, tracciare i criteri che rientrano o non rientrano nelle definizioni di privacy by design o by default, tenendo conto della diversa misura in cui le informazioni personali possono impattare un applicativo. Sul piano legale, un altro tema da affrontare riguarda, a seconda della tipologia di trattamento, i privacy level agreement o data processing agreement. Si tratta di integrazioni contrattuali pensate dal punto di vista della privacy e non riguardano le implementazioni e le clausole di conformità previste dalla legge 196. I privacy level agreement (PLAs) disciplinano aspetti che hanno effetti legali evidenti ma impattano soprattutto sul piano tecnico: i backup, gli accessi degli amministratori di sistema e la loro “loggatura”, la mappatura dei subfornitori, la destinazione finale dei dati alla chiusura di un contratto o con l’eventuale passaggio dal fornitore A al fornitore B. Soprattutto, la parte delle subforniture che nel testo è molto lunga. Molte logiche del passato vengono ribaltate dal nuovo regolamento, che invita chi stipula un contratto di outsourcing a “smarcare” fin dall’inizio il tema della privacy per perimetrare in modo preciso i ruoli svolti dai responsabili dell’azienda e dai suoi fornitori.

LOGICA DI GESTIONE DEL RISCHIO

Anche l’esperto in sicurezza di CLUSIT fa partire le proprie considerazioni tecniche dal tema della responsabilità. «ll regolamento ci chiede di adottare una logica di gestione del rischio, la stessa richiesta dagli standard di cybersecurity» – precisa Claudio Telmon. In particolare, nell’articolo 32 la norma si allinea a quelle che dovrebbero essere le buone pratiche della sicurezza dei sistemi informativi, e in termini organizzativi si dovrebbe collocare nell’ambito della gestione dei sistemi di sicurezza aziendale. Un passo avanti rispetto a normative che imponevano le loro contromisure a prescindere dalla tipologia di dati e del loro contesto di trattamento. Un passaggio interessante del citato articolo è quello che impone di tutelare i dati dell’interessato da rischi di varia natura, per esempio di integrità, disponibilità e sicurezza del dato: in altre parole, i rischi non devono necessariamente riguardare attacchi e violazioni, il GDPR parla anche di quelli derivanti da errori nell’implementazione e nelle procedure.

Al centro del processo gestionale voluto dal regolamento, c’è – secondo Telmon – il requisito del registro di trattamento. In base alle definizioni e alle prescrizioni sul contenuto di questo documento, questo registro può fare da collegamento tra il business, i processi operativi dell’azienda e il sistema informativo. Attenzione però, per il registro di trattamento è prevista una forma scritta: può trattarsi di un file elettronico ma non di un semplice database. Come “precursore” del registro, lato sistemi informativi è consigliabile disporre di un buon inventario degli applicativi e dei flussi tra questi, uno strumento sempre auspicabile dal punto di vista gestionale, ma non facile da realizzare. Insieme al registro – spiega Telmon – la normativa prevede la stesura di un data privacy impact assessment (DPIA), che ha tuttavia una logica diversa. La gestione del rischio riguarda tipicamente le implicazioni che possono derivare per l’azienda dai vari tipi di minacce e incidenti. L’impact assessment valuta invece le potenziali conseguenze del trattamento dei dati sull’interessato.

A proposito di questo trattamento e del tema della privacy by default, Telmon mette in forte evidenza l’indicazione verso la cosiddetta data minimization. La normativa prevede che la quantità dei dati raccolti e trattati sia sempre ridotta al minimo indispensabile, già a livello di procedure. Nella stessa direzione della minimizzazione va anche uno dei temi più significativi del GDPR, la pseudonimizzazione, che consiste nel rendere non immediatamente identificabili (in quando diverso dall’anonimizzazione) i dati di profilazione, mantenendo però la possibilità di associare l’identità originaria (trattandosi di un processo reversibile). Tale prassi viene applicata ovunque sia possibile e può comportare serie difficoltà di implementazione su sistemi e processi preesistenti. Tra pseudonimia e minimizzazione è possibile ridurre lo spazio di esposizione al rischio, aspetto fondamentale per una norma che – è sempre utile ricordarlo – formalizza la prassi del rilevamento e della tempestiva denuncia delle violazioni (data breach) riscontrate. Infine, ci sono alcuni aspetti che pur non rappresentando una novità rispetto alla legge 196, vengono posti in maggiore evidenza.

Dossier #GDPR Il percorso verso la compliance è lungo, in molti casi oneroso (non solo in termini di costi) e molte aziende sono in ritardo ed esposte al rischio-sanzioni
Click To Tweet

TRATTAMENTO E CONSERVAZIONE

Un punto più specifico di altri è quello dell’estrazione dei dati personali per la riconsegna all’interessato e della portabilità dei dati in un formato standard che renda possibile il trasferimento delle informazioni da un provider all’altro. Con il regime sanzionatorio attivato dal GDPR diventa opportuno mettere in atto un processo che sia in grado, almeno in via preliminare, di rispondere alle richieste degli utenti in tempi chiari. Più nuova e tecnicamente sfidante, è la questione della data retention, principio in base al quale il registro dei trattamenti deve contenere precise indicazioni sulla durata del periodo di conservazione dei dati e il loro termine di cancellazione. Un ultimo punto che ha implicazioni tecniche e giuridiche, riguarda il data protection officer, una figura né nuova né obbligatoria, ma che in tanti contesti può avere un ruolo importante nel suggerire e indirizzare le scelte procedurali. Il DPO non deve essere in conflitto di interesse con le attività su cui è chiamato a esercitare un ruolo di controllo (per esempio, non può essere il responsabile IT). Secondo Alessandro Cecchetti di Colin & Partners, quella del DPO sarà una funzione evoluta e interdisciplinare, non facile da individuare: dovrà avere competenze specifiche sul regolamento e sulle specificità delle aziende, e dovrà essere dotato di “soft skill” utili al suo ruolo più di intermediatore che di guardiano.

Per la preparazione di questo dossier, Data Manager ha conversato anche con Valentina Frediani founder e CEO dello studio di consulenza legale informatica. Abbiamo chiesto innanzitutto quali sono gli aspetti del GDPR che rappresentano, anche dal punto di vista della compliance, i momenti di unicità, diversità, distacco rispetto alla precedente normativa. «Il tratto distintivo del regolamento europeo rispetto all’attuale normativa privacy di cui al decreto legislativo 196 del 2003, è dato sostanzialmente dal cosiddetto principio di accountability su cui si fonda lo stesso regolamento. In sostanza, mentre nella 196 sono individuati in modo specifico i vari punti e oneri sulla base dei quali si deve uniformare il titolare del trattamento, il GDPR richiede al medesimo di adottare “misure tecniche e organizzative” tenendo conto dei rischi derivanti dal trattamento dei dati e di tutti quegli elementi che possono riguardare le sue finalità e l’ambito di applicazione, al fine di essere in grado di dimostrare che il trattamento è conforme al regolamento». In sostanza – spiega Valentina Frediani – il Legislatore europeo sembra aver preso atto delle enormi differenze che caratterizzano i destinatari del testo normativo: dimensioni, status economico e differenti legislazioni nazionali che ne caratterizzano lo sviluppo. La norma sposta sul titolare del trattamento l’onere della realizzazione di un’analisi che lo porti a confrontare il proprio modus operandi sulla gestione dei dati rispetto a tutti i principi contenuti nel dettato legislativo stesso. «Questo è un punto di rottura molto importante rispetto all’attuale normativa nazionale».

CAMBIAMENTO E CONTINUITÀ

In questo senso, che cosa si può “conservare”, pensando al lavoro di adeguamento già svolto in passato, e quali nuove misure o procedure devono essere adottate, e in quale ordine cronologico, in chiave di adeguamento alla normativa oggi vigente? «Sicuramente – continua Valentina Frediani – ci sono elementi di continuità rispetto alla 196. Per esempio, le informative costituiscono la base portante quale strumento di trasparenza e riconoscibilità per i diretti interessati in merito alla gestione dei propri dati e all’esercizio dei diritti. Nello specifico, anche se viene meno l’adempimento relativo alla nomina, nel testo si fa riferimento al tema delle autorizzazioni per quanto concerne gli operatori che trattano dati. Quindi, anche da questo punto di vista, i documenti di nomina potranno essere letti alla luce del regolamento europeo». Tuttavia, più che “conservare”, bisogna prendere in considerazione l’evoluzione degli adempimenti adottati nel corso degli anni in ottemperanza alla legge 196. «Molte aziende, nel tempo, hanno creato procedure al fine di mettere al centro i diritti dell’interessato e la gestione dei profili di autorizzazione: tematiche, queste ultime, che possono offrire la dimostrazione di un’attenzione organizzativa al tema privacy all’interno dell’azienda stessa. Si tratta di verificare l’allineamento rispetto a quegli obblighi della 196 che vengono riportati nel regolamento, e da lì effettuare l’evoluzione necessaria, introducendo tutti i nuovi grandi temi del GDPR».

Uno dei punti emersi durante la tavola rotonda organizzata da Data Manager sul GDPR riguarda la sostanziale assenza di precise linee guida, di best practice mirate alla compliance in materia di GDPR. La spada di Damocle di decisioni sanzionatorie come conseguenza delle violazioni rappresenta un ulteriore elemento di incertezza. «È ancora così ed è giusto che sia ancora così» – avverte Valentina Frediani. Trattandosi di un testo normativo che si basa appunto sul principio di accountability è impensabile che si possano porre delle regole precise rispetto a entità giuridiche che operano su tutto il territorio europeo, basandosi su aspetti giuridici, economici, culturali, tecnologici completamente diversi. I principi citati nel regolamento sono molto chiari, quindi andare a rileggere all’interno della propria realtà i processi che caratterizzano la gestione dei dati, la documentazione che viene rilasciata, le misure tecniche, adottate in un’ottica di analisi, è un “esercizio yoga” che purtroppo le aziende italiane sono abituate a rimandare». L’esperta invita a ricollegarsi alla legge 231 in materia di sicurezza sui luoghi di lavoro e a tutte quelle normative che essenzialmente imponevano alla struttura di prendere atto e misurare il proprio status rispetto al dettato normativo. Il caso di questo nuovo regolamento europeo non è così isolato rispetto ad altre disposizioni. «Il problema, semmai, sta nel fatto che metodologicamente gran parte delle aziende non ha la capacità di analizzare e mettere in discussione le modalità operative e le misure di sicurezza adottate fino a oggi».

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

IMPATTO SUL BUSINESS

Forse, la preoccupazione più condivisa è l’impatto che una piena aderenza alla normativa comporta in termini – per così dire – di libertà di business model. È davvero ipotizzabile che il rispetto della privacy digitale può costituire una sorta di interferenza con il business, limitandone le possibilità e soprattutto le opportunità? Sembra quasi di cogliere una sorta di contraddizione in un Legislatore che da un lato delinea le condizioni favorevoli a una ampia apertura alla libera concorrenza (per esempio, normative di ampio respiro come PSD2) e dall’altro immagina un sistema di norme che sembrano impattare proprio su opportunità per le quali le tecnologie sono fattore abilitante. Ma il discorso di Valentina Frediani si fa quasi accalorato. «La normativa privacy non impatta assolutamente sulla libertà di adottare il proprio business model. Questa è una paura che si crea in quelle realtà in cui selvaggiamente i dati sono stati gestiti senza razionalizzazione, senza mettere in discussione il proprio modo di operare, probabilmente come 100 anni fa accadeva rispetto ai diritti dei lavoratori». Il mondo cambia – avverte Valentina Frediani – e le aziende devono, oggi più che mai, capire che tutti i principi raccolti nel nuovo regolamento europeo in materia di protezione dei dati potrebbero essere letti totalmente nell’interesse della tutela delle informazioni aziendali, oltre che nel rispetto dei diritti degli interessati. «Finché non cambia l’ottica, e quindi l’approccio delle aziende a questo adeguamento normativo, rimarrà il sapore di un Legislatore europeo che impone, dispone e non agevola le aziende nel gestire il proprio patrimonio dati. Ma questo è un grande errore che deve essere immediatamente corretto. Alle aziende deve arrivare il messaggio giusto: utilizzare il GDPR per ottimizzare la gestione delle informazioni aziendali che costituiscono il pane quotidiano di ciascuno di noi». Oggi, in un’epoca in cui la circolazione delle informazioni a livello informatico può comportare rischi altissimi, non solo per la perdita, ma anche per la rivelazione a soggetti non autorizzati, il regolamento si pone insomma come strumento di ampia tutela non solo per gli interessati, ma anche per i titolari del trattamento: si vedano, per esempio, i temi della contrattualistica e del data breach introdotti dal nuovo quadro normativo.

IL FATTORE PIÙ CRITICO

Il dominio del GDPR riguarda quindi una sfera, l’informazione digitale, le cui applicazioni oggi contribuiscono a generare, gestire e soprattutto estrarre valore dal dato. A questo punto però, c’è da chiedersi in che misura la stessa tecnologia, il software, può agevolare la conformità a queste stesse regole. Domanda che giriamo volentieri a Valentina Frediani, CEO dello studio Colin & Partners, chiedendole se, al contrario, la compliance normativa non sia pertinenza esclusiva delle procedure e di una policy comportamentale. «Nel GDPR – scorrendo il testo – osserva la Frediani, gli aspetti tecnologici hanno un impatto probabilmente del 30-40% rispetto a tutto l’adeguamento normativo. Ma la sicurezza e il rispetto della gestione dei dati, giustamente, non passano solo dalla tecnologia. A conferma della valorizzazione del fattore umano, il regolamento introduce l’obbligo di adottare misure organizzative adeguate». Per esempio è possibile razionalizzare profili di autorizzazione per accedere ai dati, adottare soluzioni anti-intrusione particolarmente valide, perimetrare in modo adeguato la sicurezza dei dati, «ma il fattore umano resta quello più critico qualora non vi sia sufficiente educazione sulla gestione del dato. Senza formazione, la violazione verrebbe comunque effettuata a prescindere dalle misure tecnologiche adottate». La tecnologia della sicurezza informatica è un elemento imprescindibile, ma come sempre conta moltissimo chi utilizza certi tool, e come viene formato in tal senso. Come valutare l’offerta di strumenti e servizi che vendor, system integrator e consulenti specializzati mettono a disposizione delle aziende? «In questo momento, il mercato offre di tutto e di più, forse anche troppo» – risponde Valentina Frediani.  «Personalmente, ritengo che sia fondamentale essere molto lucidi nel momento in cui si affronta un progetto di adeguamento particolarmente complesso, individuando una metodologia in grado di coinvolgere sin dall’origine del progetto i vari ruoli aziendali, valutando solo dopo una gap analysis, strumenti e servizi ad hoc. Pensare di adeguarsi al GDPR senza avere una visione d’insieme attraverso una analisi che confronti la propria realtà aziendale con quanto prescritto dal regolamento, lo ritengo assolutamente rischioso. A meno che l’azienda sia a un “punto zero” sul tema privacy: in questo caso da rischioso può diventare conveniente».

Dossier #GDPR Compliance in chiaroscuro e business model a rischio? Il valore dei dati e logica di risk management nel binomio inscindibile tra misure tecniche e misure organizzative
Click To Tweet

CHE COSA C’È IN GIOCO?

Il nocciolo della questione è il diritto di ciascun individuo nella sua relazione con la salvaguardia dei dati digitali. Diritto che si articola in cinque ambiti fondamentali:

1. Consenso informato – Il diritto a essere informato sul perché sia necessario disporre di determinate informazioni e su come esse verranno utilizzate. Il consenso deve essere dato in modo esplicito e può essere ritirato in qualsiasi momento.
2. Accesso – Il diritto di accedere gratuitamente a tutti i dati conservati e ricevere informazioni sul loro trattamento.
3. Correzione – Il diritto a correggere dati imprecisi.
4. Diritto all’oblio – Il diritto dell’individuo a richiedere la cancellazione dei dati che lo riguardano.
5. Portabilità – Il diritto a recuperare e riutilizzare i dati personali per finalità proprie nell’intero spettro dei servizi selezionati.

Il primo obiettivo verso la compliance sarà dunque quello di valutare, ed eventualmente modificare, il modo in cui la propria organizzazione raccoglie, archivia e rielabora i dati personali in funzione dei diritti evidenziati. Una parte essenziale di questo compito sarà quella di localizzare ciascuna istanza di queste informazioni attraverso l’intera organizzazione.

GOVERNANCE E RESPONSABILITÀ

L’azienda deve essere in grado di dimostrare di aver rispettato il testo della normativa attraverso adeguate misure di governance, incluse una documentazione dettagliata, la registrazione e una costante valutazione dei rischi. Un’ulteriore aspettativa da parte del legislatore riguarda in questa sede la cosiddetta protezione by design e by default: la sicurezza e la protezione dei dati devono essere – nella più ampia misura possibile – parte integrante del sistema gestionale, non una aggiunta successiva o posticcia. A fronte della velocità di trasformazione ed evoluzione delle tecnologie, il regolamento GDPR è volutamente “evasivo” sulle contromisure tecnologiche necessarie, limitandosi a utilizzare termini come “adeguato” o “stato dell’arte” per definire i livelli di protezione al di là dell’esplicito riferimento a tecniche di cifratura e pseudonimizzazione. In altre parole: ciò che è adeguato oggi può non esserlo domani!

DENUNCIA DELLE VIOLAZIONI

Il testo GDPR introduce un nuovo tipo di obbligo: l’azienda o l’organizzazione deve notificare presso le autorità responsabili qualsiasi tipo di violazione riguardante dati digitali di natura personale in grado di tradursi in un rischio per “i diritti e le libertà dell’individuo”. In caso di rischio particolarmente elevato, la notifica dovrà essere estesa anche all’individuo interessato. La denuncia deve essere presentata senza indugio, entro 72 ore dall’avvenuta conoscenza del fatto, in particolare fornendo entro le prime 24 ore dalla scoperta dell’evento, le informazioni minime per consentire una prima valutazione dell’entità della violazione. Anche in assenza di esplicite avvertenze riguardanti specifiche contromisure, il primo passo verso la compliance deve essere quindi un apparato di tutela che assicuri la massima protezione del sistema informativo sottostante e totale capacità di reportistica.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

L'articolo GDPR, conto alla rovescia. Adeguarsi è possibile? proviene da Data Manager Online.

Il Fisco italiano usa il pugno di ferro contro Google. La Guarda di Finanza di Milano ha notificato alla Procura del capoluogo lombardo e alle agenzie delle entrate un verbale in cui si accusa Big G di aver evaso tra il 2009 e il 2013 ben 227 milioni di euro di imposte su un imponibile di 300 milioni di euro. La notifica è arrivata dopo le indagini fiscali da parte delle Fiamme Gialle su un società irlandese legata a Mountain View. Nel specifico, Google è accusata di aver contabilizzato presso la sua sede di Dublino gli introiti pubblicitari ottenuti in Italia. L’evasione riguarderebbe una “base imponibile netta per 100 milioni di euro” e un’altra su “ritenute d’acconto relative a royalties non operate e non versate per 200 milioni di euro”. La notifica arriva dopo l’apertura di un’inchiesta penale per “dichiarazione fraudolenta” da parte del procuratore aggiunto milanese, Francesco Greco. L’Agenzia delle Entrate si prepara quindi a emanare un avviso di accertamento fiscale nei confronti di Big G, che come è successo nel Regno Unito molto probabilmente alla fine raggiungerà un accordo con il Fisco. “Google rispetta le normative fiscali in tutti i Paesi in cui opera. Continuiamo a lavorare con le autorità competenti”, ha dichiarato all’Ansa un portavoce del colosso del web.

La vicenda che coinvolge Google è un ulteriore esempio del giro di vite da parte dell’Italia nei confronti delle grandi aziende statunitensi dopo l’accordo raggiunto con Apple. La società di Cupertino ha infatti pagato poco prima di Natale una multa di 318 milioni di euro per chiudere il contenzioso con il Fisco del Belpaese. Il nuovo approccio è stato adottato anche da altri Paesi come la Gran Bretagna, che ha ottenuto da Google un risarcimento di 172 milioni di euro su un fatturato di 6 miliardi di dollari. Ora anche l’Unione Europea ha deciso di prendere provvedimenti seri nei confronti della tassazione agevolata di cui usufruiscono grandi società come Google, Facebook, Amazon ed Apple. Il Financial Times ha rivelato che il commissario Ue per il Commercio, Pierre Moscovici, sta preparando un piano di intervento per evitare che i colossi extra europei possano dichiarare una sede fiscale fittizia in Paesi con una tassazione minima come l’Irlanda o il Lussemburgo.

L'articolo Il Fisco chiede a Google 227 mln di euro in tasse evase proviene da Data Manager Online.

Qualche tempo fa ha suscitato grande scalpore il lancio di Popcorn Time, una piattaforma di streaming video che mette a disposizione link a file della rete BitTorrent già disponibili in Rete. La particolarità del programma sta nel fatto che film e serie TV sono immediatamente visibili senza attendere la fine del download. Il servizio è stato molto criticato in quanto, anche se indirettamente, viola il diritto d’autore dei contenuti che mette a disposizione dei suoi utenti. Popcorn Time è stato infatti chiuso poco tempo dopo il lancio ma è ritornato sotto nuove spoglie con grande felicità dei fan dello streaming online.

Ieri però la procura di Genova ha dato mandato alla Guardia di Finanza di eseguire un provvedimento di sequestro nei confronti del programma bloccando l’accesso ai siti che permettevano di scaricarlo. L’iniziativa riguarda al momento i domini “.io” e “.se” e la versione beta italiana disponibile su www.popcorntimeitalia.com. Gli utenti che lo hanno scaricato prima dell’intervento della Gdf potranno comunque continuare ad utilizzarlo in tutta tranquillità. Nonostante ci siano state denunce dei produttori di film nei confronti di alcuni utenti in Norvegia e USA, l’Italia è stata la prima ad emettere un’ordinanza di sequestro nei confronti di Popcorn Time e dimostra ancora una volta la sua politica aggressiva nei confronti della pirateria online dopo la chiusura di numerosi siti per il download illegale di contenuti coperti da copyright. Gli utenti del Belpaese, invece, continuano a pensare che la pirateria online sia un male minore.

L'articolo La Gdf blocca il Netflix pirata Popcorn Time proviene da Data Manager Online.

La Procura di Milano e la Guardia di Finanza contestavano, assieme al Fisco, ben 800 milioni di euro prodotti in Italia da Google in 5 anni, dal 2008 al 2013. In relazione alla cifra, il gigante di Mountain View avrebbe dovuto sborsare una bella somma in tasse, cosa mai avvenuta nel periodo di riferimento. Dietro l’angolo si prospettava una dura battaglia legale e invece, come scrive oggi il Corriere della Sera, nelle ultime ore c’è stato il dietrofront: Google ha accettato di versare nelle casse del Fisco 320 milioni di euro, in relazione all’imponibile prodotto nel nostro paese.

Profitti in Italia ma versati all’estero

La contestazione avviata dalle autorità italiane partiva dall’evidenza che i ricavi ottenuti in Italia venivano registrati altrove, in Irlanda e Bermuda. In questo modo i soldi venivano effettivamente prodotti dalla vendita pubblicitaria nel bel paese ma si volatilizzavano all’istante verso mete straniere. Il diktat della Procura era chiaro: se produci reddito in Italia devi registrare le entrate in Italia. Sarà per la chiara logica utilizzata dagli accusatori che Google non ha nemmeno impugnato le accuse per avviare una procedura legale senza nemmeno voler attendere maggio quando arriverà il decreto fiscale che prevede “l’abuso del diritto, ovvero le operazioni che, pur rispettando le norme, realizzano vantaggi fiscali indebiti”. Ora la scelta di Google potrebbe pesare sulla concorrenza che, trovandosi in una simile posizione retributiva, potrebbe essere “costretta” a seguire le orme del colosso statunitense.

Aggiornamento

“La notizia non è vera, non c’è l’accordo di cui si è scritto. Continuiamo a cooperare con le autorità fiscali” – ha spiegato un portavoce di Google. Nel giro di poche ore, è stata diffusa e subito smentita la notizia che l’azienda di Mountain View avrebbe raggiunto l’accordo col fisco italiano per 320 milioni di euro. Sarebbero invece in corso indagini fiscali nei confronti del gruppo all’esito delle quali saranno tratte le valutazioni conclusive.

L'articolo Google pagherà 320 milioni di euro all’Italia proviene da Data Manager Online.

Da qualche ora il sito DDLStorage non è più raggiungibile. Si tratta della conseguenza di un’azione della Guardia di Finanza che, attraverso il Nucleo di Polizia Tributaria di Cagliari e il Nucleo Speciale Frodi Tecnologiche di Roma, ha tagliato l’ingresso degli utenti al sito, impedendo così il perdurare del download illegale di contenuti protetti da copyright. Il sito faceva parte della gamma dei cosiddetti “cyberlocker”, ovvero piattaforme di archiviazione che permettono agli utenti di caricare file, ma soprattutto di scaricarli in modalità classica (gratuita) o premium (a pagamento). Questo permetteva ai gestori e agli utenti che caricavano i file di guadagnare forti somme di denaro, grazie ad un’organizzazione a scopo di lucro che non ha nulla da invidiare alle organizzazioni malavitose radicate sul territorio.

Oscuramento immediato, perdita progressiva

Secondo le forze dell’ordine che hanno partecipato alla chiusura di ddlstorage.com, il sito rappresentava uno dei più grandi del genere a livello nazionale, con una filiera di “distribuzione” strutturata e una suddivisione dei compiti al pari di qualsiasi altro business criminale. Tuttavia, almeno per il momento, è stato solo messo in atto un oscuramento del sito e non il sequestro dei server. Per questo gli utenti più “smanettoni” potrebbero ancora trovare modi di accesso alla piattaforma, ma di certo la gran parte delle persone desisterà dall’utilizzare metodo alternativi, abbassando così di molto il guadagno economico (fino a 40 mila euro l’anno per ogni uploader) e portando il portale ad una progressiva dismissione.

L'articolo Italia: la Guardia di Finanza oscura DDLStorage.com proviene da Data Manager Online.

Settimana scorsa la Guardia di Finanza ha effettuato la più grande operazione di sequestro di siti pirata mai avvenuta in Italia. Oggi molti di questi portali sono tornati operativi. Come era già stato ventilato, il provvedimento è stato revocato a causa di alcuni portali che convidevano gli stessi indirizzi IP ma non erano implicati in nessuna attività illegale.

Blocchi troppo leggeri e pirati li aggirano

Le autorità hanno segnalato il problema agli operatori telefonici che hanno agito in diversi modi a seconda della situazione. Ad alcuni dei portali incriminati il blocco è stato totalmente rimosso mentre ad altri è stato disabilitato l’accesso DNS, rendendo di per sé molto facile aggirare il provvedimento. Bisogna infatti ricordare che la modifica dei DNS da parte degli utenti non illegale. “Questo dimostra che i blocchi sono inutili o dannosi. Piuttosto, bisognerebbe fare come negli Usa, con la tecnica del “follow the money”: colpire non i siti ma le vie di finanziamento dei loro gestori”, ha osservato l’avvocato Fulvio Sarzana.

L'articolo Da maxi sequestro a buco nell’acqua: 46 siti pirata tornano online proviene da Data Manager Online.

In anticipo sull’entrata in vigore del nuovo regolamento dell’AGCOM, che è stato bocciato dall’Unione Europea, la Guardia di Finanza di Roma ha effettuato il più grande sequestro di siti pirata. Sono 46 i portali di streaming video chiusi per aver diffuso contenuti coperti da copyright a scopo di lucro. Tra questi figurano: Mondotorrent, Dopinatorrent, Truepirates, Filmxtutti e Casacinema.

Il più grande sequesto di sempre

“Gli autori delle predette attività delittuose  – si legge nell’ordinanza – verosimilmente realizzano un sostanzioso lucro da tale condotta stante la presenza, in ogni sito pirata, di numerosi banner pubblicitari, generatori di utili con la nota procedura del pay for click”. L’avvocato Fulvio Sarzana, esperto di giurisprudenza in materia di diritto d’autore, ha sottolineato come ai siti resi irragiungibili non venga contestato “il reato di ricettazione” e che l’operazione non è nata a seguito delle richieste delle associazioni a tutela del copyright. Questa è la prima dimostrazione dei nuovi meccanismi messi in atto dall’AGCOM per proteggere il diritto d’autore.

L'articolo Sequestro record di 46 siti di streaming illegale proviene da Data Manager Online.

A Trento sono stati scoperti 140mila pastelli colorati provenienti dalla Cina potenzialmente pericolosi per la salute dei bambini. La Guardia di Finanza locale nell’ambito dell’operazione “Scuola sicura” ha effettuato il sequestro dei prodotti incriminati, il cui contenuto tossico può provocare anche il cancro.

Scongiurato il pericolo per i bambini

I pastelli incriminati, reclamizzati attraverso volanti di tre grandi aziende distributrici italiane, erano sprovvisti del marchio CE di sicurezza e sono stati recuperati in quasi 800 supermercati del Trentino. Il titolare della società in provincia di reggio Emilia che ha importato i prodotti tossici è stato denunciato per il reato sulla sicurezza dei giocattoli e rischia oltre un anno di carcere.

L'articolo Maxi sequestro di pastelli tossici a Trento proviene da Data Manager Online.

Mentre impazza il dibattito sul nuovo regolamento dell’AGCOM sul tema del copyright, la Guardia di Finanza ha imposto la chiusura di 13 “edicole” online illegali che permettevano di consultare e scaricare gratuitamente quotidiani e riviste senza il permesso degli editori. Gli amministratori di queste “edicole” guadagnavano cospicue somme attraverso banner e pop-up pubblicitari. Lo stesso provvedimento era stato inflitto a Avaxhome, un portale senza scopo di lucro che violava il diritto d’autore su numerosi prodotti di Mondadori.

Free megazines

All’operazione, denominata “Free megazines”, ha partecipato anche la Federazione Italiana Editori di Giornali (Fieg). “Solo un’efficace protezione del contenuto editoriale e l’applicazione di regole chiare in condizioni di effettiva concorrenza – ha spiegato Giulio Anselmi, presidente della Fieg – possono garantire la sopravvivenza di un’informazione libera e di qualità”.

Recentemente la Guardia di Finanza aveva imposto la chiusura ad altri siti di condivisione di contenuti coperti da copyright come DDLHITS.com.

L'articolo La GdF chiude 13 “edicole” online illegali proviene da Data Manager Online.

A Palermo, in una operazione congiunta fra Guardia di Finanza e Ispettorato provinciale del lavoro, Inps e Inail è stato scoperto un call center fantasma che dava lavoro a 37 impiegati. Queste persone, tra i 19 e i 50 anni, non avevano sottoscritto alcun contratto e percepivano dai 2 ai 3 euro all’ora. Ai dipendenti veniva richiesto la vendita di un quantitativo minimo di depuratori d’acqua al bimestre.

Il titolare dell’azienda illegale versava l’ammontare degli stipendi in nero, per un totale mensile di circa 350 euro, su una carta prepagata che i dipendenti dovevano procurarsi. L’uomo con questo sistema ha risparmiato oltre 40mila euro in contribuzione assistenziale e previdenziale ma ora rischia sanzioni da 72.725 a 644.330 euro.

L'articolo Palermo: scovato call center con 37 lavoratori in nero proviene da Data Manager Online.