Sicurezza Informatica e GDPR

Per incorrere in una sanzione ci vuole poco:

• Omettere ogni misura prevista dal GDPR (informative, nomine, autorizzazioni ecc.)

• Fornire informative incomplete o prive degli elementi previsti dall’art. 13 (Normativa GDPR)

• Effettuare trattamenti illeciti di dati personali

• Adottare un uso eccessivo di dati

• Non eseguire le valutazioni di impatto in presenza di trattamenti altamente pervasivi

• Non rispondere alle comunicazioni del Garante

• Non adottare le misure di sicurezza necessarie nel trattamento dei dati

• Trattare i dati senza il consenso dell’interessato (ove ciò sia necessario)

• Adottare la base giuridica sbagliata nell’esecuzione di un trattamento

• Mancata risposta entro i termini previsti alle richieste degli interessati (1 mese o 3 in casi complessi secondo le valutazioni dell’interessato)

• Ecc.

Il GDPR non parla esplicitamente l’esecuzione dell’analisi dei rischi da parte del Titolare del trattamento ma di "misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio". Il titolare, dunque, deve avere un’idea precisa del rischio che corrono i dati, sempre in funzione dei diritti e le libertà delle persone fisiche.

L’analisi dei rischi NON si deve limitare alla parte strettamente informatica ma deve includere anche:

- le misure di sicurezza fisiche come la tipologia di porte e serrature, la modalità di accesso ai locali e il controllo dei visitatori;

- il corretto smaltimento di rifiuti cartacei ed elettronici, il presidio o meno delle aree in cui sono custoditi i dati,

- la presenza di sistemi di allarme o videosorveglianza.

- le procedure di backup e ripristino ed eventuali controlli pianificati,;

- la definizione dei profili di autenticazione e la presenza di registri degli accessi.

Tutto questo dimostra, una volta di più, che il GDPR non è una norma prescrittiva ma lascia al titolare del trattamento la libertà di adottare le misure più idonee per tutelare diritti e libertà degli interessati in funzione delle caratteristiche dell’impresa

Che cos'è un Data Breach?

E' un incidente fortuito o doloso che comporta la perdita, la distruzione, la divulgazione non autorizzata, la modifica o l’accesso ai dati personali.

Capita molto più spesso di quanto immagini! Pensa allo smarrimento di un dispositivo, un furto o anche solo ad una calamità naturale che distrugge il tuoi dispositivo!

• Cosa fare in questi casi?

• Come comportarsi?

• A chi rivolgersi?

L’attività ispettiva continua anche in periodo pandemico, non è vero che la pandemia ha interrotto il lavoro del Garante GDPR!

Cosa è cambiato per le ispezioni con il Covid?

C’è un preavviso di 24 o 48 ore. Questo consente di mettere a posto le cose minime (mettere i cartelli della videosorveglianza, ad esempio, ma certo non permette di regolarizzare la questione dell’istanza alla DTL).

Chi può effettuare i controlli e le ispezioni?

Il nucleo ispettivo del Garante GDPR attraverso la convenzione stipulata con la Guardia di Finanza.

Perché avvengono le ispezioni?

Il Garante GDPR definisce un calendario ispettivo, ma possono essere disposte in presenza di segnalazioni o reclami da parte di clienti, lavoratori, pazienti, fornitori ecc o della GDF stessa durante altri controlli.

Che cosa è oggetto di ispezione?

Fra gli adempimenti che gli ispettori controllano vi sono ad esempio:

- Struttura dell’organizzazione e Registro dei trattamenti GDPR

- Modalità di acquisizione del consenso

- Designazioni dei responsabili di trattamento

- Azioni di marketing da profilazione

- Periodo di conservazione dei dati

Che responsabilità ha l'imprenditore?

Il GDPR parla di Accountability che consiste in DIMOSTRAZIONE e RENDICONTAZIONE, cioè il titolare dimostra di aver adottato le misure necessarie per tutelare i diritti e le libertà degli interessati e ne da conto: spiega per iscritto perché ha preso delle decisioni che lo hanno indotto a FARE delle cose o a NON FARE delle cose.

Che conseguenze può avere un'ispezione?

I controlli bloccano l’attività lavorativa per tre o quattro giorni. Fra le conseguenze per le imprese vi sono anche possibili sanzioni e perdite azionarie.

Sai che esiste una differenza normativa tra i dati raccolti presso l'interessato o presso terzi?

In entrambi i casi, occorre specificare il perché i dati vengono raccolti.

Come? Con un'informativa.

Ma cosa deve contenere e che caratteristiche deve avere per essere valida e conforme alla legge e al GDPR?

Che cos'è e che cosa dice il Regolamento Europeo sul registro delle attività di un trattamento?

Oggi le telecamere sono in grado di riconoscere non solo i volti ma anche movimenti e comportamenti temperature e altro ancora.

Da un lato questa tecnologia comporta dei vantaggi in termini di tutela del patrimonio e sicurezza delle persone, dall’altro può rappresentare un pericolo.

Un controllo indiscriminato da parte di poteri legittimi oppure occulti può creare un clima da “grande fratello” che può condizionare le scelte e i comportamenti delle persone se non addirittura favorire persecuzioni e discriminazioni o limitazioni di diritti e libertà per le persone.

Cosa ne pensa il Garante e cosa è previsto dal GDPR?

Oggi parliamo di un pilastro fondamentale su cui poggiare tutti gli elementi della GDPR fin qui affrontate nel nostro percorso.

Cosa occorre fare?

Da quando il governo ha iniziato a diramare gli avvisi per innalzare i livelli di sicurezza informatica (28/02/2022), sono nati molti quesiti in merito al concetto dell'ACCOUNTABILITY della GDPR, il comportamento responsabile. SICUREZZA INFORMATICA e GDPR, due facce della stessa medaglia.