Richieste, informazioni e preventivi

Con la ripresa lavorativa (e la pubblicazione in Gazzetta Ufficiale del Decreto Legislativo 101), molte organizzazioni mi stanno contattando per informazioni, richieste e preventivi in merito al GDPR.

Dato l’elevato carico di lavoro, non potrò rispondere a tutte le chiamate telefoniche; chiedo pertanto di inviare le richieste tramite una e-mail a webreq@stefanorossi.it, indicando i riferimenti per essere ricontattati appena mi sarà possibile.

F.A.Q. Registro dei Trattamenti

Il Garante per la Protezione dei Dati Personali ha pubblicato, in una apposita pagina, le faq sul Registro dei Trattamenti; ne avevo parlato pochi giorni orsono.

Relativamente alle aziende private, i soggetti obbligati sono così individuabili:

  • imprese o organizzazioni con almeno 250 dipendenti;
  • qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
  • qualunque titolare o responsabile (incluse  imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
  • qualunque titolare o responsabile (incluse  imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’articolo 9, paragrafo 1 RGPD, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10 RGPD.

Sono quindi individuati alcune tipologie di titolari del trattamento che debbono provvedere alla tenuta del Registro dei Trattamenti:

  • esercizi commerciali, esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione, ecc.) e/o  che  trattino dati sanitari dei clienti (es. parrucchieri, estetisti, ottici, odontotecnici, tatuatori ecc.);
  • liberi professionisti con almeno un dipendente e/o che trattino dati sanitari e/o dati relativi a condanne penali o reati (es. commercialisti, notai, avvocati, osteopati, fisioterapisti, farmacisti, medici in generale);
  • associazioni, fondazioni e comitati ove trattino “categorie particolari di dati” e/o dati relativi a condanne penali o reati (i.e. organizzazioni di tendenza; associazioni a tutela di soggetti c.d. “vulnerabili” quali ad esempio malati, persone con disabilità, ex detenuti ecc.; associazioni che perseguono finalità di prevenzione e contrasto delle discriminazioni di genere, razziali, basate sull’orientamento sessuale, politico o religioso ecc.; associazioni sportive con riferimento ai dati sanitari trattati; partiti e movimenti politici; sindacati; associazioni e movimenti a carattere religioso);
  • il condominio ove tratti “categorie particolari di dati” (es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche ai sensi della L. n. 13/1989; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali).

Differenza tra privacy by design e privacy by default

Privacy by Design e Privacy by Default sono due concetti non particolarmente nuovi, portati alla ribalta dal nuovo Regolamento UE 679/2018.

Concettualmente sono “vicini” ma distinti; spesso assisto ad interventi di professionisti, anche autorevoli, che confondono i due concetti.

Non voglio entrare nel merito di una disquisizione tecnica, che probabilmente confonderebbe ulteriormente le idee, ma intendo fornire una semplice indicazione che consente di districarsi in molte occasioni.

Il concetto di Privacy by Design è affiancabile a quello di progettazione.

Il concetto di Privacy by Default è collegabile a quello di configurazione.

Soggetti designati? Chi sono?

Domanda: nel recente D.Lvo 101/18 sono stati introdotti i “soggetti designati”; si tratta di responsabili interni del trattamento?

Tutti sono alla ricerca disperata di una figura similare a quella degli ex responsabili interni (attribuzione solo italiana) in modo talmente cervellotico che ogni nuova figura introdotta si spera possa adattarsi a tale ruolo.

Leggiamo la parte del testo del D. Lvo 101/18 che vi fà menzione:

Capo IV (Disposizioni relative al titolare del trattamento e al responsabile del trattamento)
Art. 2-quaterdecies (Attribuzione di funzioni e compiti a soggetti designati).
1.  Il titolare o il responsabile del trattamento possono prevedere, sotto  la  propria responsabilita' e nell'ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di   dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorita'.

Mi spiace quindi dover comunicare che i soggetti designati sono coloro che svolgono specifici compiti e funzioni connessi al trattamento di dati personali, quindi si tratta delle figure precedentemente indicate dal D.LGS. 196/03 come incaricati al trattamento.

Windows 10 Update – ottobre 2018 (version 1809)

Informo che l’aggiornamento di ottobre di Windows 10 (alla versione 1809) ha prodotto, in alcuni specifici casi, perdita di files (in prevalenza presenti nelle cartelle \users).

Attualmente Microsoft ha segnalato l’evento ed interrotto la distribuzione automatica dell’aggiornamento, mentre stà indagando sull’accaduto.

Ovviamente è tassativo avere una copia di backup del sistema prima di applicare qualsiasi aggiornamento al S.O. (ma anche ai software applicativi).

Consiglio a coloro che hanno riscontrato perdita di dati importanti di non adottare procedure fai da te ma di spegnere il PC e rivolgersi ad esperti per tentare il recupero dei dati.

Aggiornamento: Microsoft ha riscontrato il problema, segnalando su di una apposita pagina del suo blog le cause che hanno creato la perdita di dati.

Chip clandestino, spionaggio planetario

Sembra originare dalla Cina il più incredibile caso di cyber-spionaggio della storia.

Secondo un articolo di  Bloomberg, qualcuno ha inserito un chip microscopico nelle motherboard di SuperMicro, una azienda americana che produce sistemi server High Tech.

Si ritiene che questi micro-chips, installati nelle mainboard durante la produzione in Cina, contengano del codice “backdoor” che comprometta il dispositivo, sovrapponendosi al sistema operativo.

Le indagini, condotte sin dal 2015 ed ancora in corso, sarebbero scaturite da una verifica di sicurezza su sistemi server di Amazon; non sono stati divulgati dettagli dalle Autorità.

I big del settore apparentemente coinvolti smentiscono categoricamente; nel frattempo i titoli delle aziende cinesi produttrici di componenti I.T. vanno a picco nelle borse mondiali.

Come sempre, quando si guarda prevalentemente ai costi, la sicurezza viene sempre in ultimo piano; occorre garantire la sicurezza della intera filiera produttiva dei prodotti I.T.

Forse SuperMicro (se supererà il ChipGate) tornerà a produrre in USA?

La sicurezza informatica riguarda tutti gli aspetti di un sistema; adesso l’opinione pubblica ha scoperto che anche l’hardware può essere compromesso in fabbrica.

Lo ripeto da tempo: tutte le componenti debbono essere oggetto di analisi di sicurezza; qualcuno sa esattamente cosa faccia il BIOS (adesso uefi, in pratica un sistema operativo a se stante) dei moderni PC?