Nel mondo digitale odierno, la sicurezza informatica è più che mai una priorità fondamentale. A fronte dell’aumento degli attacchi cyber e della crescente interconnessione delle infrastrutture critiche, l’Unione Europea ha adottato la nuova Direttiva NIS2, che segna un passo decisivo verso il rafforzamento della sicurezza dei sistemi informativi in tutti gli Stati membri.

La NIS2 (Direttiva UE 2022/2555) è il nuovo quadro normativo europeo che si propone di migliorare la sicurezza delle reti e dei sistemi informativi in settori critici come energia, trasporti, sanità, finanza, e servizi digitali. Si tratta di un aggiornamento della precedente Direttiva NIS (adottata nel 2016), pensato per rispondere alle nuove sfide della cybersicurezza in un contesto in continuo cambiamento. La direttiva NIS1 (Direttiva UE 2016/1148) è stata la prima normativa globale dell’UE volta a rafforzare la cibersicurezza delle reti e dei sistemi informativi per salvaguardare i servizi vitali per l’economia dell’UE.

La crescente digitalizzazione delle infrastrutture e dei servizi critici ha creato nuove vulnerabilità che possono essere sfruttate da attori malintenzionati. La sicurezza informatica diventa sempre più centrale per le aziende e gli enti pubblici, specialmente nei settori strategici. Con l’entrata in vigore della Direttiva NIS2, recepita in Italia con il D. Lgs. 138/2024, vengono introdotti nuovi obblighi per rafforzare la protezione delle reti e dei sistemi informativi.

2. Quali sono gli obiettivi della NIS2?

La direttiva mira a:

• Fortificare la sicurezza informatica delle Società e degli Enti pubblici che offrono servizi all’interno dell’Unione Europea in specifici settori (chiamati “settori critici o strategici” come quelli dei trasporti pubblici, energia, sanità, finanza, ecc.).
• Creare un sistema di gestione dei rischi informatici uniforme a livello europeo.
• Migliorare la risposta agli incidenti di sicurezza attraverso un monitoraggio attivo e una maggiore collaborazione tra enti pubblici e privati. La NIS2 introduce l’obbligo di segnalare tempestivamente incidenti informatici significativi alle autorità competenti.
• Implementare misure di sicurezza più rigorose, per cui le organizzazioni saranno obbligate ad attivare misure di sicurezza adeguate, tra cui la gestione del rischio, la protezione dei dati, la resilienza dei sistemi e la formazione continua del personale.

3. Cosa devono fare le aziende?

L’Agenzia Nazionale per la Cybersicurezza (ACN) individua obblighi specifici e una serie di misure obbligatorie per le aziende per adeguarsi alla normativa. Tra le misure generali si segnalano:

• attuazione di misure per la gestione dei rischi e la protezione dei sistemi da vulnerabilità e minacce cibernetiche emergenti;
• obbligo di notifica degli incidenti con impatti significativi entro 24 ore dalla scoperta, per garantire una risposta rapida e coordinata;
• adozione di misure di sicurezza avanzate, come ad esempio l’autenticazione multi-fattore, la crittografia e la cifratura, per aumentare la protezione dei dati e prevenire accessi non autorizzati;
• formazione continua al personale coinvolto, allo scopo di creare, in ottica preventiva, una cultura aziendale della sicurezza.

Dovranno essere seguiti dei passi per conformarsi alla Direttiva NIS2 (allegato 2). Le misure urgenti di adeguamento da seguire saranno:

• Verificare se l’azienda rientra tra i soggetti ai quali si applica la normativa in questione secondo il D. Lgs. 138/2024 (artt. 3 e 6). In caso di esito positiva, sarebbe opportuno approvare una delibera e andrebbe costituito un Team NIS2, con l’individuazione di un referente interno al Team e del soggetto delegato a punto di contatto, per le comunicazioni con le autorità competenti.
• Iscriversi al portale dell’Agenzia Nazionale per la Cybersicurezza (ACN) e nominare una persona fisica come punto di contatto, che ha il compito di attuare le misure di cybersicurezza e di interloquire con l’ACN.
• Condurre un audit di autovalutazione iniziale per analizzare lo stato attuale della sicurezza informatica, che potrebbe essere svolto, tramite somministrazione di check list di verifica (allegato 1) degli adempimenti e obblighi previsti dagli artt. 23, 24 e 25 del D.Lgs. n. 138/2024.
• Pianificare e implementare le misure di adeguamento e di miglioramento per aumentare la protezione dei dati e prevenire accessi non autorizzati come previsto dalla normativa.
• Formare tutto il personale aziendale coinvolto, soprattutto i soggetti apicali quali organi di amministrazione e organi di direzione, per garantire la corretta applicazione delle nuove procedure.

4. Conclusioni

La NIS2 è una risposta europea alle sfide moderne della cybersicurezza. Per garantire un ambiente digitale più sicuro e resiliente, tutte le organizzazioni, dai grandi operatori alle piccole e medie imprese, devono essere pronte ad affrontare la nuova era della protezione informatica.

È fondamentale che le aziende predispongano tempestivamente le prime azioni per garantire la conformità alla nuova normativa. L’implementazione della NIS2 richiede un approccio strutturato e progressivo. Il coinvolgimento di tutte le parti aziendali sarà cruciale per garantire una transizione efficace verso un modello di sicurezza informatica più robusto.

L'articolo La NIS2: Un passo importante verso una sicurezza informatica rafforzata in Europa proviene da Compliance Consulenza Selezione del Personale a Milano.

L'articolo Certificazione ISO 9001:2015 proviene da Compliance Consulenza Selezione del Personale a Milano.

Resistete dalla tentazione di esibire il green pass !

L’indicazione arriva direttamente dal Garante della Privacy che lancia l’allarme sulla pericolosità di condividere sui social network la foto del certificato verde.

Sempre più persone stanno infatti pubblicando sui social network la foto del loro Green pass, mossi dalla gioia di condividere l’avvenuta vaccinazione. Ciò che viene suggerito, dunque, è quello di limitarsi a condividere la notizia con il mondo senza mostrare il codice elettronico.

Il garante della privacy, Guido Scorza, ha messo in guardia sui possibili rischi che si corrono diffondendo sui profili social l’immagine del proprio Green Pass, la certificazione europea che attesta l’avvenuta vaccinazione, la guarigione o la negatività a un test per il Covid-19.

Scorza ha spiegato che il QR-code del Green Pass è assolutamente personale: “È una miniera di dati personali invisibili a occhio nudo ma leggibili da chiunque avesse voglia di farsi i fatti nostri”.

Attraverso il codice è, infatti, possibile sapere chi siamo, se e quando ci siamo vaccinati, quante dosi abbiamo fatto e con quale tipo di vaccino, se abbiamo contratto il Covid e quando, se abbiamo fatto un tampone e l’esito dello stesso. Tutte informazioni che non devono essere note a tutti, ma soltanto alle forze dell’ordine e a coloro autorizzati a visionarle in caso di controllo.

Quali sono i rischi?

Qualsiasi uso diverso da quest’ultimo è dunque pericoloso per sé stessi e per gli altri.

Infatti diffondere i nostri dati personali potrebbe danneggiare anche altre persone, facilitando così la circolazione di QR-code GreenPass falsi che finirebbero per aggirare l’obiettivo della circolazione sicura.

Vi segnaliamo, a tal proposito, sul sito del Garante Privacy, la pagina interamente dedicata al tema “Coronavirus e protezione dei dati”, in cui troverai tutti gli approndimenti e le direttive in materia.

L'articolo QR-Code GreenPass: “Una Miniera di Dati Personali” proviene da Compliance Consulenza Selezione del Personale a Milano.

Un vademecum utile per tutti i soggetti impegnati nell’applicazione del Regolamento Ue 2016/679.

Il 2 ottobre è stato pubblicato sul sito web del Garante per la protezione dei dati personali la versione italiana del Manuale per DPO (Responsabili della protezione dati) dei soggetti pubblici nell’applicazione del Regolamento Ue 2016/679.

Il vademecum delinea e illustra, con esempi pratici. il ruolo e gli specifici compiti del DPO operante in un soggetto pubblico. Affronta e approfondisce inoltre temi generali, come l’evoluzione normativa in tema di protezione dei dati e privacy in ambito Ue e non solo, l’applicazione del principio di accountability, i diritti degli interessati; il trasferimento dei dati all’estero, i meccanismi di compliance previsti dal Regolamento.

Il Manuale è facilmente fruibile scaricandolo direttamente dal sito del Garante per la protezione dei dati.

Cosa stai aspettando?!

Buona lettura!

L'articolo La versione italiana del manuale per DPO proviene da Compliance Consulenza Selezione del Personale a Milano.

COSA È UNA VIOLAZIONE DEI DATI PERSONALI (DATA BREACH)?* 

Una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. 

Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali. 

Alcuni possibili esempi: 

– l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;

– il furto o la perdita di dispositivi informatici contenenti dati personali;

– la deliberata alterazione di dati personali;

– l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ecc.; 

– la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;

– la divulgazione non autorizzata dei dati personali.

COSA FARE IN CASO DI VIOLAZIONE DEI DATI PERSONALI?

Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi. 

Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo. 

Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto. 

Il titolare del trattamento, a prescindere dalla notifica al Garante, documenta tutte le violazioni dei dati personali, ad esempio predisponendo un apposito registro. Tale documentazione consente all’Autorità di effettuare eventuali verifiche sul rispetto della normativa.

CHE TIPO DI VIOLAZIONI  DI DATI PERSONALI VANNO NOTIFICATE?

Vanno notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali  o immateriali. 

Ciò può includere, ad esempio, la perdita del controllo sui propri dati personali, la limitazione di alcuni diritti, la discriminazione, il furto d’identità o il rischio di frode, la perdita di riservatezza dei dati personali protetti dal segreto professionale, una perdita finanziaria, un danno alla reputazione  e qualsiasi altro significativo svantaggio economico o sociale.

CHE INFORMAZIONI DEVE CONTENERE LA NOTIFICA AL GARANTE?**
 

La notifica deve contenere le informazioni previste all’art. 33, par. 3 del Regolamento (UE) 2016/679 e indicate nell’allegato al Provvedimento del Garante del 30 luglio 2019 sulla notifica delle violazioni dei dati personali (doc. web n. 9126951).

Qualora si utilizzi per la notifica il modello allegato al provvedimento, è necessario scaricarlo sul proprio dispositivo e successivamente procedere alla sua compilazione.

COME INVIARE LA NOTIFICA AL GARANTE?

La notifica deve essere inviata al Garante tramite posta elettronica all’indirizzo protocollo@pec.gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento d’identità del firmatario.

L’oggetto del messaggio deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare del trattamento.

LE AZIONI DEL GARANTE

Il Garante può prescrivere misure correttive (v. art. 58, paragrafo 2, del Regolamento UE 2016/679) nel caso sia rilevata una violazione delle disposizioni del Regolamento stesso, anche per quanto riguarda l’adeguatezza delle misure di sicurezza tecniche e organizzative applicate ai dati oggetto di violazione. Sono previste sanzioni pecuniarie che possono arrivare fino a 10 milioni di Euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale. 

* La scheda ha mero valore divulgativo ed è in continuo aggiornamento in base all’evoluzione delle indicazioni applicative del Regolamento (UE) 2016/679.

** Il Garante renderà prossimamente disponibile una procedura online.

L'articolo Violazioni di Dati Personali in Base al Reg. UE 2016/679 proviene da Compliance Consulenza Selezione del Personale a Milano.

GDPR Privacy: “Fine Periodo Transitorio”

• 19 Maggio 2019
• Posted by: E T
• Categoria: Privacy (GDPR)

Nessun commento

GDPR Privacy: “Fine Periodo Transitorio”

L’art. 22 comma 13 del D. Lgs. n.  101/2018 (il Decreto di recepimento del GDPR – Reg. UE 679/2016) ha sostanzialmente previsto una sorta di rinvio nell’applicazione delle sanzioni per i primi 8 mesi dalla data di entrata in vigore del decreto nella prima fase di applicazione; in verità semplicemente scade il termine che obbliga il Garante privacy, ai fini dell’applicazione delle sanzioni amministrative, a “tenere conto” del periodo di prima applicazione.

 

Il 19 maggio 2019, è scaduto quindi il periodo di prima applicazione del Regolamento UE 679/2016 (GDPR) in cui il Garante aveva previsto un periodo di sostanziale sospensione delle sanzioni previste dalla normativa.

Ora quindi le sanzioni sono a tutti gli effetti applicabili.

Le sanzioni possono essere di tre tipi: semplicemente correttive (dispositive) amministrative o penali.

consulenza privacy milano data protection officer milano dpo milano GDPR gdpr milano novaconsult

Share

Richiedi una consulenza

Hai bisogno di informazioni?

Contattaci

L'articolo GDPR Privacy: “Fine Periodo Transitorio” proviene da Compliance Consulenza Selezione del Personale a Milano.

Con l’uscita del decreto legislativo 101/2018 che armonizza i contenuti del D.Lgs. 196/03 al più recente Regolamento europeo 679/2016 in materia di tutela dei dati personali, può essere utile una riflessione circa il rapporto tra la figura dell’Organismo di Vigilanza e quella del Responsabile della Protezione dei Dati.

Come è noto, gli illeciti legati a violazioni dei dati personali non rientrano esplicitamente nel novero dei reati per i quali si possa configurare la responsabilità dell’ente, motivo che potrebbe portare a considerare i due ambiti come compartimenti stagni. Ma se ci poniamo dal punto di osservazione dell’ente, le cose stanno in maniera diversa.

Il GDPR, infatti, richiede una valutazione dei rischi legati alla violazione dei dati personali trattati, per non menzionare l’eventuale valutazione di impatto aggiuntiva, esattamente come il D.Lgs. 231 01 richiede una valutazione dei rischi rispetto al coinvolgimento dell’ente nella commissione dei cosiddetti “reati presupposto”: e quando si arriva a parlare di reati informatici (solo per citarne uno), alcune delle contromisure coprono evidentemente entrambi gli ambiti. Possono quindi cambiare il tipo di lenti indossate, ma gli occhiali dell’analisi di rischio ormai sono un accessorio che ogni ente deve mettere nel proprio libro cespiti, come del resto avviene anche nel mondo della normazione volontaria, in cui – solo per citare alcuni esempi – le norme in materia di sicurezza informatica (ISO 27001), salute e sicurezza dei lavoratori (ISO 45001) e qualità dei servizi erogati (ISO 9001) richiedono la conduzione di una analisi che renda il management consapevole dei rischi cui è esposto in modo da metterlo nelle condizioni migliori per prendere decisioni sulle contromisure da adottare.

O, in altri termini, che renda insostenibile la posizione per cui “non ero a conoscenza di questo rischio”.

Se andiamo poi ad analizzare la figura del Responsabile della Protezione dei Dati (RPD, art. 37 del GDPR), tra i compiti che gli sono affidati rientrano “almeno” (art. 39) la consulenza sugli obblighi derivanti dal GDPR, la sorveglianza circa l’osservanza del Regolamento, la fornitura – se richiesta – di un parere in merito alla valutazione di impatto, in forte analogia operativa con quelli che sono i compiti ormai consolidati dell’Organismo di Vigilanza.

Rimane a questo punto una interessante domanda: i ruoli di OdV e RPD sono sovrapponibili? La risposta potrebbe essere sì – a meno di espliciti divieti normativi – ma è sottoposta ad almeno due condizioni. La prima è la competenza tecnica specifica per ambito: un conto è conoscere la responsabilità amministrativa e le sue implicazioni, un altro è la normativa in materia di tutela dei dati personali, dove oltre al Governo abbiamo la figura del Garante che dispone dell’autorità per normare direttamente la materia. Il membro dell’OdV che fosse anche RPD dovrebbe garantire un adeguato aggiornamento su entrambi gli ambiti. La seconda è la capacità di relazione: se l’OdV ha un ruolo di sicura interfaccia con le controparti interessate dal modello di organizzazione e gestione, il RPD (ancora una volta secondo l’art. 39) ha istituzionalmente quello di fungere da punto di contatto con l’autorità di controllo, con la quale è tenuto a cooperare. Se si pensa al tema delle segnalazioni circa le violazioni del modello o le lacune del sistema di controllo per la protezione dei dati (es. reclami) è più che auspicabile che le due funzioni, se fisicamente separate, cooperino strettamente per definire le specifiche regole di ingaggio.

In ultima analisi, le strutture degli ultimi dettati normativi mettono la Direzione dell’ente nella posizione facilitata di dover dialogare allo stesso modo con soggetti diversi, favorendo l’opportunità di investire in strumenti di gestione che consentano – se opportunamente tarati – la realizzazione di interessanti economie di scala, nonché di facilità di comprensione e attuazione da parte degli utenti. Non dimentichiamoci, infatti, che regole e controlli sia in ambito di responsabilità amministrativa che di tutela dei dati personali impattano direttamente sul lavoro quotidiano tanto del Megadirettore Naturale di fantozziana memoria quanto (rispettando la cinematografica similitudine) dell’ultimo degli inferiori: e tanto più controlli e regole sono chiare, motivate e comprensibili, tanto più è alta la probabilità che vengano correttamente applicate.

E se consideriamo il rischio derivante dall’applicazione delle sanzioni nei due ambiti, non è un fattore da sottovalutare.

L'articolo Il rapporto tra Organismo di Vigilanza e il nuovo GDPR proviene da Compliance Consulenza Selezione del Personale a Milano.