Lo scorso 20 dicembre l’Autorità Nazionale Anticorruzione (ANAC) ha pubblicato una nuova raccolta di FAQ in materia di whistleblowing. Il documento contiene chiarimenti utili sulla disciplina relativa alla segnalazione degli illeciti all’interno degli enti tanto sotto il profilo organizzativo quanto in riferimento alle concrete modalità di gestione delle segnalazioni. Tra i diversi punti di attenzione, rivestono un carattere di particolare importanza quelli attinenti gli aspetti relativi al trattamento dei dati personali.

Anzitutto deve sottolinearsi il contesto in cui le FAQ sono state pubblicate. Il 31 dicembre è scaduto il termine di adeguamento alla Direttiva europea 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione. Il Parlamento italiano lo scorso aprile aveva approvato la Legge delega 53/2021, attribuendo al Governo il compito di recepire le indicazioni del legislatore europeo, la quale tuttavia non ha avuto seguito.

Nelle more del recepimento della normativa eurocomunitaria l’Autorità Anticorruzione ha pubblicato, con delibera del 9 giugno 2021, le nuove linee guida sul whistleblowing che, allo stato, costituiscono il punto di riferimento principale e più avanzato per qualunque organizzazione che debba dotarsi di un adeguato sistema di segnalazione degli illeciti. Tale ultimo provvedimento, unitamente alle FAQ di recente pubblicazione, realizzano per la prima volta un coordinamento tra le norme in materia di whistleblowing e il nuovo quadro normativo in tema di trattamento dei dati personali.

Caposaldo della normativa in materia di segnalazione degli illeciti è la tutela della riservatezza del segnalante, del contenuto delle segnalazioni e degli eventuali allegati, nonché dei soggetti segnalati. Per questo motivo l’Autorità raccomanda l’adozione di appositi e adeguati software per la gestione delle segnalazioni, di modo da tutelare al meglio la riservatezza del segnalante e consentire l’interazione sicura tra questi e il responsabile per la prevenzione della corruzione (ed il suo team). Per fare ciò è indispensabile, ad avviso dell’ANAC e dal Garante privacy, che il software disponga di adeguate misure di sicurezza, che consenta la pseudonimizzazione dei dati identificativi del segnalante e la trasmissione dei dati mediante protocolli di trasmissione sicuri (ad es. HTTPS).

Inoltre, sempre al fine di tutelare la riservatezza dell’identità del whistleblower, è necessario che qualora l’accesso alla piattaforma informatica avvenga mediante dispositivi firewall o proxy, l’ente garantisca la non tracciabilità del segnalante nel momento in cui viene stabilita la connessione. Questo può avvenire attraverso l’utilizzo di strumenti di anonimizzazione dei dati di navigazione, come ad esempio la tecnologia TOR.

Un’altra misura individuata dall’ANAC per salvaguardare la riservatezza dell’identità del whistleblower è legata al tracciamento degli accessi alla piattaforma di segnalazione.

In questo caso è necessario trovare un punto di equilibrio tra due diverse esigenze: da un lato la tutela della riservatezza e, dall’altro, la corretta gestione degli strumenti informatici e la difesa dell’ente da potenziali minacce informatiche. Per garantire ciò, l’Autorità raccomanda di procedere alla raccolta dei log della piattaforma con l’adozione di adeguate misure di sicurezza idonee a prevenire eventuali accessi non autorizzati.

L’ultima tematica affrontata dall’ANAC in tema di trattamento dei dati personali nel contesto del whistleblowing è quella relativa al tempo di conservazione delle segnalazioni.

Tale periodo, valutato insieme al Garante privacy, non deve eccedere l’arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati, in ossequio al principio di limitazione della conservazione di cui all’art. 5, par. 1 lett. e) del GDPR.

La previsione è alquanto generica e, di conseguenza, l’individuazione puntuale del periodo di retention è rimessa all’accountability del titolare. L’Autorità anticorruzione suggerisce, sulla base anche della propria esperienza, di prevedere un termine minimo di conservazione delle segnalazioni, pari almeno a 10 anni. Naturalmente, ove a seguito della segnalazione scaturisca un eventuale giudizio, il termine sarà prolungato fino alla conclusione del giudizio stesso.

Le informazioni fornite dall’ANAC costituiscono un importante elemento per orientare l’operato dei titolari del trattamento nella gestione dei dati personali e delle informazioni acquisite nell’ambito del whistleblowing, in attesa del recepimento della Direttiva Direttiva europea 2019/1937, ove necessariamente il legislatore dovrà operare un coordinamento a livello normativo, con le disposizioni in materia di privacy.

Di seguito un decalogo che riassume i principali adempimenti in materia di protezione dei dati personali connessi all’istituto del whistleblowing.

• Il fornitore della piattaforma per il whistleblowing, dal momento che effettuerà dei trattamenti di dati personali per conto del titolare, deve sempre essere nominato responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 679/2016 (GDPR).
• L’atto di nomina del responsabile deve contenere una puntuale indicazione delle misure di sicurezza necessarie a garantire la sicurezza, la riservatezza e l’integrità dei dati e delle informazioni relative alle segnalazioni;
• Il responsabile per la prevenzione della corruzione e il suo team devono sempre essere nominati quali soggetti autorizzati al trattamento e debitamente istruiti in merito al trattamento dei dati personali (ai sensi dell’art. 4, par. 10, 29, 32, §. 4 del Regolamento (UE) 679/2016 e art. 2-quaterdecies del d.lgs. 196 del 2003);
• Gli interessati (nello specifico il segnalante) devono ricevere idonea informativa ai sensi dell’art. 13 GDPR;
• Il whisthleblowing deve essere inserito quale trattamento specifico all’interno del registro redatto ai sensi dell’art. 30, par.1, GDPR;
• Le segnalazioni e gli allegati alla segnalazione devono essere sottratti al diritto di accesso e all’accesso civico generalizzato;
• La piattaforma deve registrare e conservare in modo sicuro i log di accesso, mentre deve assolutamente essere evitato il tracciamento dei log del segnalante, anche nel caso in cui l’accesso sia mediato da un firewall o da un proxy server. In tali casi si può fare ricorso alla tecnologia TOR che garantisce l’anonimizzazione delle informazioni relative al traffico dati e all’indirizzo IP;
• Le informazioni devono essere scambiate attraverso protocolli sicuri (HTTPS);
• Il titolare deve adottare ogni idonea misura di sicurezza ai sensi dell’art. 32 GDPR;
• Le segnalazioni devono essere conservate per un arco di tempo non superiore al conseguimento delle finalità per cui sono state trattate.

Andrea Pisano

L'articolo Whistleblowing: pubblicate le nuove FAQ dell’ANAC in attesa del recepimento della Direttiva 2019/1937. Quali novità in materia di trattamento dei dati personali? proviene da E-Lex.

Intervista Arturo Di Corinto podcast Skytg24 del 12 Gennaio 2022 di Alberto Giuffrè

Israele e Iran si sfidano da anni anche a colpi di attacchi informatici. A farne le spese, negli ultimi casi, sono stati soprattutto i cittadini. Ne parliamo nella nuova puntata di 1234 insieme ad Arturo Di Corinto, giornalista esperto di cybersecurity

Nelle scorse settimane le stazioni di rifornimento in Iran hanno smesso di funzionare a causa di un attacco informatico. Qualche giorno dopo una app di dating in Israele è stata violata. Sono soltanto gli ultimi episodi di una cyberguerra, quella tra Israele e Iran, che va avanti da anni. Ne parliamo nella nuova puntata di 1234, il podcast sulla sicurezza informatica di Sky TG24. L’ospite di questo episodio è Arturo Di Corinto, giornalista esperto di cybersecurity.

dicorinto.it/tipologia/intervi…

App di dating violate e benzinai chiusi: la cyberguerra tra Israele e Iran. IL PODCAST

Leggi su Sky TG24 l'articolo App di dating violate e benzinai chiusi: la cyberguerra tra Israele e Iran. IL PODCAST

^{Alberto Giuffrè (Sky TG24)}

Non tutti sanno che Friendica dispone di funzioni di moderazione molto limitate, che non consentono azioni mirate, automatizzate e collaborative.

In attesa che tali funzioni vengano sviluppate, è importante cercare di fare il possibile utilizzando strumenti già disponibili nella piattaforma, come le pagine notizie e i forum.

Proprio per questo sono state cerate due account: @Poliverso Forum di supporto per offrire agli utenti un gruppo di supporto tecnico/ergonomico e @Notizie da Poliverso per dare informazioni sulla nostra istanza e su tutte le altre realtà del fediverso.

Ma cosa succede se un utente pubblica contenuti che potrebbero creare problemi alla piattaforma?
In primo luogo, lo si prova a contattare attraverso l'account @Signor Amministratore o @Guido Sperduti di Poliverso per provare a discutere sull'opportunità della pubblicazione in questione, sui danni che potrebbe eventualmente portare a una istanza così piccola come Poliverso e sulle conseguenze per "l'igiene" della timeline locale.

I termini di servizio di Poliverso indicano che "Concedere spazio alle polemiche e sopportarle può guastare l'equilibrio di intervento in un dibattito democratico. Intervenire contro di esse non è censura, bensì protezione dell'ambiente sociale.".

Resta tuttavia scontato che, l'amministrazione di questa istanza è "signora e padrona" e laddove non sia possibile contattare un utente, può decidere in qualsiasi momento di sospenderlo o rimuoverlo dalla piattaforma.

PS: pubblicare diversi post illeggibili (spesso riportati in altri social da profili riconducibili alla stessa persona) senza ricercare alcuna interazione è considerato alla stregua di qualcuno che entra in uno spazio privato ma aperto al pubblico e comincia a urlare e a distribuire volantini: insomma, viene considerata un'azione di disturbo che può guastare il clima e indurre le persone più serie ad abbandonare quel luogo, lasciandolo in balia delle persone più prevaricanti e meno disponibili all'ascolto.

@Poliverso Forum di supporto

Dalle impostazioni generali dell'account è possibile definire tutte le "Impostazioni di sicurezza e privacy"

Tra le impostazioni più importanti è importante ricordare le seguenti:

Pubblica il tuo profilo nell'elenco locale del tuo sito?
Il tuo profilo verrà pubblicato nella directory locale di questo nodo. I dettagli del tuo profilo potrebbero essere visibili pubblicamente a seconda delle impostazioni di sistema.

Vuoi che il tuo profilo sia ricercabile globalmente?[/b
]Attiva questa impostazione se vuoi che gli altri ti trovino facilmente e ti seguano. Il tuo profilo sarà ricercabile da sistemi remoti. Questa impostazione determina anche se Friendica informerà i motori di ricerca che il tuo profilo sia indicizzabile o meno. Il tuo profilo sarà anche pubblicato nelle directory globali di friendica (es. dir.friendica.social).

[b]Nascondere la lista dei tuo contatti/amici dai visitatori del tuo profilo?
La lista dei tuoi contatti è mostrata sulla tua pagina di profilo. Attiva questa opzione per disabilitare la visualizzazione del tuo elenco contatti.

Nascondi i dettagli del tuo profilo ai visitatori anonimi?
I visitatori anonimi vedranno nella tua pagina profilo solo la tua foto del profilo, il tuo nome e il nome utente che stai usando. I tuoi messaggi pubblici e le risposte saranno comunque accessibili in altre maniere.

Rendi messaggi pubblici non elencati
I tuoi messaggi pubblici non appariranno sulle pagine della comunità o nei risultati di ricerca, e non saranno inviati ai server relay. Comunque appariranno sui feed pubblici su server remoti.

Rendi tutte le immagini pubblicate accessibili
Questa opzione rende ogni immagine pubblicata accessibile attraverso il collegamento diretto. Questo è una soluzione alternativa al problema che la maggior parte delle altre reti non gestiscono i permessi sulle immagini. Le immagini non pubbliche non saranno visibili al pubblico nei tuoi album fotografici comunque.

Permetti a utenti sconosciuti di inviarti messaggi privati?
Gli utenti sulla rete Friendica possono inviarti messaggi privati anche se non sono nella tua lista di contatti.