Il registro delle attività di trattamento

Il nuovo regolamento sulla protezione dei dati personali prevede che ogni titolare di trattamento che abbia oltre 250 dipendenti, debba tenere un registro delle attività di trattamento.
Ritengo che tale strumento possa costituire un valido aiuto anche per quelle realtà che ne sarebbero esonerate.
Il registro delle attività di trattamento costituisce il riferimento primario per tutte le attività di valutazione, auditing, supervisione, valutazione del rischio del titolare del trattamento e non da ultimo le attività ispettive e di controllo delle autorità incaricate.
Le moderne organizzazioni trattano molti dati personali, in diversi luoghi e con molti stumenti; inoltre intrattengono dei flussi informativi con altri titolari di trattamento.
Un registro che indichi chiaramente dove sono i dati, quali sono le finalità, come vengono trattati, da chi, quali sono i flussi, per quanto tempo verranno conservati e le misure di sicurezza applicate è uno strumento fondamentale, specialmente in caso di eventuali problemi.

Che sia realizzato con strumenti self-made (es. foglio di calcolo) oppure aquistando un applicativo ad-hoc, rimane lo strumento principale nelle mani del titolare del trattamento per capire i processi di trattamento dei dati personali, in essere presso le proprie strutture.

Accountability nel GDPR

Il nuovo regolamento europeo 679/2016 modifica radicalmente l’approccio finora adottato, introducendo il concetto di accountability (tradotto come responsabilizzazione, ma che significa “dover rendere conto del proprio operato”).

Con la regolamentazione attuale e precedenti, l’approccio alla sicurezza era di tipo “reattivo“; si determinavano misure di sicurezza, spesso minime, e si reagiva quando esse non erano sufficienti.

L’esperienza ha dimostrato l’inadeguatezza di questo schema; adesso viene richiesto a titolari e responsabili un approccio proattivo, con comportamenti che prevengano (e/o riducano) in modo effettivo il possibile evento dannoso.

Infatti, con un parere del Gruppo di Lavoro Articolo 29, si è specificato che “il titolare del trattamento dei dati debba essere in grado di dimostrare di avere adottato un processo complessivo di misure giuridiche, organizzative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi e che debba dimostrare in modo positivo e proattivo che i trattamenti di dati effettuati sono adeguati e conformi al regolamento europeo in materia di privacy.”

Quindi non più misure minime di sicurezza, ma l’introduzione e l’applicazione di un sistema di misure (giuridiche, organizzative, di sicurezza, …) definite dal titolare come adeguate e rispondenti alle norme del nuovo codice di protezione.

Senza dimenticare la responsabilizzazione e la formazione dei responsabili e degli incaricati al trattamento dei dati personali.

La nuova figura del DPO nel GDPR

Mancano pochi mesi alla entrata in vigore della nuova regolamentazione europea in materia di protezione dei dati personali.
Una delle novità introdotte dal codice è la figura del Data Protection Officer (D.P.O.) oppure Responsabile Protezione Dati (R.P.D.); tale ruolo sarà obbligatorio nelle maggioranza delle organizzazioni pubbliche.
Molti non hanno ben chiaro quali siano le caratteristiche di tale figura;  sicuramente dovrà avere competenze multidisciplinari, relative a conoscenza giuridiche, dei processi informativi, amministrativi e gestionali della propria organizzazione, ma anche concetti di sicurezza informatica e dei rischi derivanti.
Alcuni credono che il superamento di un processo di certificazione abiliti allo svolgimento del ruolo.
Purtroppo per loro, il Garante per la Protezione dei Dati personali italiano ha ribadito come, allo stato attuale, non esista alcun schema di certificazione che abiliti al ruolo di D.P.O.
Come indicato dal nuovo codice:
“il responsabile della protezione dei dati è designato in funzione delle qualità professionali,in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39” (Compiti del responsabile della protezione dei dati).
Il D.P.O. è un soggetto con un ruolo misto di consulenza e controllo: deve verificare l’applicazione del G.D.P.R., supportare, informare e consigliare la sua organizzazione, fungere da punto di contatto per le Autorità di controllo e gli interessati; in taluni contesti complessi, il ruolo di D.P.O. potrà essere ricoperto da un pool di persone che assommano tutte le competenze necessarie al ruolo.
La nomina del DPO non solleva le organizzazioni dalle proprie responsabilità; infatti, si tratta di una figura di controllo priva di responsabilità esecutive, che esprime solo pareri, ma le decisioni finali e le conseguenti responsabilità sono assunte dal Titolare del Trattamento dei Dati Personali. Come precisato dal Gruppo dei Garanti europei, il Responsabile della protezione dei dati non risponde personalmente in caso di inosservanza del GDPR: “Data protection compliance is a corporate responsibility of the data controller, not of DPO”.

Supporti di memoria e dati personali

Non tutti sanno che, quando si dismettono strumenti o supporti informatici che contengono (o abbiano contenuto) dati personali, occorre dapprima effettuare le opportune procedure per rendere irreversibilmente non recuperabili i dati precedentemente contenuti.

Sappiate che la normale formattazione non è una opportuna procedura.

Talvolta acquisto qualche notebook usato su eBay e dovreste vedere quello che trovo dentro (ovviamente i dati vengono immediatamente cancellati).

Pensate alla situazione che si verrebbe a creare quando viene dismesso un server che contiene dati personali senza attuare le opportune misure; un incidente del genere (che io definisco Information Security Incident) nel nuovo GDPR si definisce “Data Breach”.

E cosa si deve fare, dal 25 maggio prossimo, in caso di data breach?

 

Web CryptoMining

Nella follia della corsa alle crypto-monete, si evidenzia una nuova trovata dei soliti ignoti: i web crypto-miners.

Si tratta di un codice javascript che viene fatto caricare (all’insaputa dell’utente) da una pagina web di alcuni siti “particolari” solitamente molto frequentati.

Appena la pagina viene scaricata, il codice viene eseguito dal browser e parte uno (o più) task che ricercano hash di cryptomonete a beneficio del gestore del sito.
Il PC viene quindi “forzosamente arruolato” e gran parte della sua potenza di calcolo viene dirottata per altrui scopi e benefici.

A mio avviso, un codice che arbitrariamente e senza comunicazione viene caricato su di una pagina web per scopi nascosti, è assimilabile a malware.

Ovviamente è possibile evitare di far eseguire il predetto codice, e sono disponibili diversi sistemi e strumenti; contattatemi per le misure tecniche.

Consulenza Privacy GDPR

Il regolamento Europeo 2016/679 concernente la tutela delle persone fisiche, con particolare riguardo al trattamento dei dati personali e la libera circolazione di tali dati, è entrato in vigore il 24 maggio 2016 e diventerà direttamente applicabile in tutti gli Stati membri a partire dal 25 maggio 2018.

Il regolamento porta significative innovazioni non solo per i cittadini, ma anche per le aziende, gli enti pubblici, le associazioni, i liberi professionisti; imprese ed enti avranno più responsabilità, ma potranno anche beneficiare di diverse semplificazioni; in caso di inosservanza delle regole sono previste sanzioni, anche elevate.

Cosa posso fare per adeguare la mia azienda?
Coloro che, a suo tempo, si sono conformati al D.Lgs. 196/03, ancora in vigore sino al 24 maggio, hanno già implementato parte delle regole richieste dal nuovo regolamento; è quindi necessario un adeguamento alle nuove norme.

Possiamo fare da soli oppure abbiamo bisogno di un consulente?
Occorre valutare la struttura della organizzazione, principalmente in riferimento alla quantità e tipologia di dati trattati e alla complessità dei sistemi I.T.C. ; grandi quantità di dati, oppure alcune tipologie di dati (es. quelli sensibili o sanitari) hanno un rischio maggiore di causare effetti lesivi della dignità delle persone.
Complessi sistemi di trattamento, magari diffusi in varie sedi, sottostanno ad un elevato rischio di data-breach; il nuovo regolamento affida al Titolare del trattamento la responsabilità di definire policy, strumenti e misure atte a minimizzare il rischio di security incident.
Le grandi aziende che dispongono di una apposita “unità organizzativa privacy”, hanno le risorse per definire i percorsi per raggiungere la compliance; ritengo comunque che alcuni processi (e penso, come esempio, alle attività di valutazione Risk Management – ISO31000, alla implementazione del sistema di gestione della sicurezza delle informazioni – ISO27001 oppure alla creazione del sistema di Incident Response) dovranno essere coadiuvati da supporto specialistico. Tutte le altre aziende dovranno avvalersi di consulenti specializzati, specialmente nelle più importanti fasi di analisi, valutazione, implementazione e controllo.

Uffa, un’altra legge; ma noi dobbiamo lavorare!
Spesso è quello che mi sento dire durante il primo incontro nelle aziende; vediamo di capire bene la situazione attuale, che molti non hanno ben presente.
Dal 1 gennaio 2004, in Italia, è in vigore il D.Lgs. 196/03 , tuttora in vigore; nel febbraio 2012, all’interno di uno sciagurato Decreto Semplifica Italia, si sono introdotte modifiche alla applicazione del D.Lgs. 196/03, una delle quali eliminava l’obbligo della tenuta del D.P.S. per le aziende che trattano dati sensibili limitatamente ai propri dipendenti; molti hanno evinto che il codice sulla protezione dei dati non avesse più effetto. Non è così, il codice ha tuttora effetto e soprattutto debbono sempre essere applicate le misure di sicurezza dell’allegato B del codice. Purtroppo abbiamo visto i risultati di tutto ciò negli anni passati.

Cogliamo l’occasione per rafforzare le aziende italiane.
Il 2017 è stato il peggior anno per la sicurezza informatica delle nostre aziende; l’Italia si trova nella TOP TEN dei paesi più colpiti al mondo; nel giugno 2017, diverse importanti aziende italiane sono state coinvolte in un massiccio attacco da malware NotPetya, e alcune hanno dovuto chiudere per diversi giorni e mandare a casa i dipendenti. Era possibile evitarlo? Certamente, in questo caso occorreva aggiornare il S.O. degli elaboratori, come è reso obbligatorio dalle misure di sicurezza del codice sulla protezione dei dati personali, allegato B.

Chi è un consulente specializzato GDPR?
Non sono sufficienti perfetta conoscenza delle norme e bollini; il consulente alla protezione dei dati personali è un professionista che ha competenze, esperienza, formazione specifiche e multidisciplinari, e che da anni svolge attività di consulenza e formazione relative alla protezione dei dati personali e degli strumenti di trattamento. Rivolgetevi ad un consulente che, tra i pochi in Italia, ha svolto un seminario di formazione presso la sede del Garante per la Protezione dei Dati Personali, in piazza di Monte Citorio.

Riservatezza e consulenza globale.
In molte organizzazioni, la riservatezza è un requisito fondamentale del rapporto con un consulente; motivo per il quale mi occupo personalmente di tutti gli aspetti, dal primo incontro alla valutazione finale. Qualora divenga necessario un supporto legale, abbiamo rapporti di collaborazione i migliori studi legali che si occupano di diritto informatico, anche internazionale.
Richiedete un primo incontro, informale e non vincolante, per valutare la vostra situazione attuale e definire un eventuale percorso di adeguamento.