Il giorno 28 gennaio 2022, dalle ore 15.00 alle 17.00, in occasione della giornata inaugurale del Master di II livello in Responsabile della protezione dei dati personali: Data Protection Officer e Privacy Expert, si svolgerà il Webinar “La protezione dei dati personali durante le emergenze: quale equilibrio possibile?

Sarà possibile partecipare all’incontro collegandosi alla Piattaforma Microsoft Teams tramite il seguente link: teams.microsoft.com/l/meetup-j…“

L'articolo 28 Gennaio 2022 – La protezione dei dati personali durante le emergenze: quale equilibrio possibile? proviene da E-Lex.

Gli Stati Uniti potrebbero intervenire in via legislativa per arginare il fenomeno del dark pattern.

In estrema sintesi, possono essere definite come pratiche di dark pattern tutte le interfacce con cui i programmatori confondono consapevolmente gli utenti, complicando le modalità per esprime le proprie preferenze effettive o manipolando gli utenti affinché intraprendano determinate azioni. Pertanto, sono pratiche che incidono sulla libertà di manifestazione del consenso, sfruttando baias cognitivi, al fine, in genere, di favorire i consumatori online ad acquistare beni e servizi che non desiderano o a rivelare informazioni personali che preferirebbero non divulgare.

Secondo una ricerca del 2019 della Princeton University, su 11.000 siti passati in rassegna, circa il 10% conterrebbe dark pattern. È interessante notare che, in una ricerca dell’anno successivo, si evidenzia invece che ben il 95% app gratuite disponibili sul PlayStore Google conterrebbe elementi che incidono negativamente sulle modalità di manifestazione del consenso da parte degli utenti. Si tratta di dati forse approssimativi, che però spiegano sia l’estensione del ricorso a tali pratiche, sia, al contempo, la velocità con cui si stanno diffondendo.

Del resto, è opinione diffusa che internet stia vivendo una nuova stagione e che si sia passati da servizi informatici che controllavano gli utenti a servizi informatici che incidono, in maniera manipolativa, sui loro comportamenti. Quindi non siamo più semplicemente al cospetto di un uso dei dati – per lo più in forma aggregata, quali big data – per le finalità più disparate (influenza commerciale, politica, ecc.), ma siamo oramai entrati nell’era in cui i nostri comportamenti sono indirizzati dalle piattaforme. Basti pensare, a titolo di banale esemplificazione, alle immagini che spesso gli utenti condividono sui social network (Instagram, Facebook, TikTok) e alla ripetitività delle situazioni e dei contesti ritratti: foto di caffè, pizze con gli amici, foto in ascensore e così via discorrendo. Immagini (foto o video) che riprendono momenti di assoluta quotidianità, che, di per sé, non hanno nulla di eccezionale, ma che denotano l’esigenza, per dir così, degli utenti di sentirsi vivi e di dimostrarlo all’esterno, coinvolgendo amici e semplici conoscenti nelle proprie attività, spesso banali e ripetitive.

Il dark pattern è alla base di una proposta di legge statunitense, il Deceptive Experiences To Online Users Reduction (DETOUR) Act. Si tratta di una proposta non ancora approvata in via definitiva, per quanto è dato sapere, ma che, ciononostante, offre degli spunti di riflessione interessanti.

Innanzitutto, l’ambito di applicazione soggettiva è circoscritto alle sole piattaforme online più popolari, quelle cioè con oltre cento milioni di utenti attivi mensilmente. Un simile approccio, è noto, è stato seguito anche a livello europeo nella direttiva europea in materia di copyright, recentemente recepita a livello interno, le cui regole di responsabilità sono si basano sul numero di utenti delle piattaforme informatiche, con una esenzione nel caso delle piattaforme più piccole: un modo, questa è la lettura prevalente in dottrina, di non limitare lo sviluppo dei nuovi operatori e, quindi, di non radicalizzare le posizioni monopolistiche o oligopolistiche già presenti sul mercato.

In secondo luogo, il presupposto per l’applicazione – questa volta sotto il profilo oggettivo – è il ricorso ad interfacce che compromettano intenzionalmente l’autonomia, il processo decisionale o la scelta dell’utente. La normativa, laddove dovesse essere confermato il testo in discussione, troverebbe quindi campo solo dinanzi ad un dolo da parte del gestore della piattaforma.

Una scelta che, naturalmente, sarebbe difficilmente imitabile in sede comunitaria, attesa la già ricordata estensione delle pratiche commerciali sleali anche ai casi in cui l’incidenza sui processi volontaristici del consumatore sia determinata da una condotta colposa. Allo stesso modo, adottando una simile conclusione si genererebbe una sorta di probatio diabolica in capo all’utente, chiamato a dover dimostrare la volontarietà della condotta del gestore della piattaforma.

Il punto interessante – seppur ancor vago nella sua formulazione – è quello che riguarda il divieto della suddivisione o segmentazione dei consumatori ai fini di profilazione (o altri esperimenti comportamentali) senza una preventiva informativa al consumatore, informativa che deve essere chiaramente visibile e non “sepolta” in un contratto di servizi.

La soluzione è interessante e tiene conto delle peculiarità anche del mezzo informatico: alcune ricerche accademiche hanno dimostrato chiaramente che la maggior parte degli utenti non legge le condizioni generali dettate unilateralmente dai fornitori dei servizi (un esempio classico sono le licenze per l’utilizzo dei software). La proposta di legge statunitense impone quindi di dare un’evidenza, anche da un punto di vista grafico, a tali comunicazioni: si pensi, ad esempio, all’uso di pop-up, che potrebbero attirare più semplicemente l’attenzione dell’utente.

Si crea, per questa via, una categoria di informazioni che non solo devono essere fornite al consumatore, ma devono essere portate a conoscenza di quest’ultimo separatamente dalle altre.

Ma v’è di più. I grandi operatori delle piattaforme on-line, così come precedentemente qualificati, hanno altresì l’obbligo di inviare un’ulteriore comunicazione agli utenti, con scadenza almeno trimestrale, rammentando l’uso delle informazioni personali per fini di profilazione comportamentale o psicologica degli stessi. Anche in questo caso, l’opzione legislativa sembra finalizzata, più che a imporre una regola formale, a determinare un’effettività della stessa.

Il legislatore americano, quindi, sembra essere consapevole che le informazioni necessarie a determinare consapevolezza negli utenti non raggiungono l’obiettivo prefissato essendo calati in un regolamento contrattuale lungo e di ardua comprensione e che, dunque, siano necessari degli strumenti differenti.

Infine, si prevede una competenza in capo alla Federal Trade Commission, che avrà il compito d fissare i requisiti della nuova normativa. Peraltro, in maniera apprezzabile, si vorrebbe affidare a tale autorità anche la funzione di aggiornare tali requisiti in funzione delle evoluzioni tecnologiche del settore.

Giovanni Maria Riccio

L'articolo Dark Pattern: nuove strategie legislative dagli Stati Uniti proviene da E-Lex.

Sono aperte le iscrizioni alla nuova edizione del Master per Responsabili per la transizione al digitale (RTD) che si terrà nei mesi di febbraio, marzo e aprile interamente online.

La nuova edizione del percorso formativo che nasce per approfondire i principali ambiti di attività dei Responsabili per la transizione al digitale presenta un programma aggiornato alle novità introdotte dai Decreti Semplicazioni e dall’aggiornamento del Piano triennale per l’informatica nella PA 2021-2023 ed è strutturato per approfondire i principali obiettivi fissati dal PNRR per la trasformazione digitale della PA.

Oltre al modulo base, come già avvenuto nell’edizione 2021, è stato inserito anche un modulo avanzato – acquistabile insieme al percorso base o singolarmente – con quattro verticalizzazioni tematiche dal taglio fortemente pratico dedicate ad alcuni dei temi di maggiore interesse per il RTD: piano triennale, software e cloud, accessibilità e sicurezza. Le lezioni saranno tenute da consulenti esperti nei processi di trasformazione digitale nella Pubblica Amministrazione, tra cui l’Avv. Ernesto Belisario e l’Avv. Francesca Ricciulli.

Il master è organizzato nell’ambito del progetto La PA Digitale del Gruppo Maggioli, curato dai professionisti dello Studio E-Lex Ernesto Belisario, Francesca Ricciulli e Stelio Pagnotta.

Modulo base
6 lezioni online della durata di 4 ore ciascuna con spazi per il confronto con docenti, discussioni partecipate ed esempi operativi.
Consulta il programma del modulo base

Modulo avanzato
4 lezioni online della durata di 6 ore ciascuna con taglio fortemente pratico e spazi per il confronto con docenti, discussioni partecipate ed esempi operativi. Ciascuna lezione sarà caratterizzata da una specifica attività laboratoriale volta a realizzare specifici piani e manuali operativi utili a guidare le attività del Responsabile per la transizione al digitale.
Consulta il programma del modulo avanzato

Scarica la brochure con il programma di dettaglio del Master e il modulo per l’iscrizione.

L'articolo Amministrazione digitale: aperte le iscrizioni alla nuova edizione del Master per RTD proviene da E-Lex.

A seguito delle sue indagini, la CNIL ha stabilito che i banner dei domini facebook.com, google.fr e youtube.com non permettono all’utente di rifiutare i cookie con la stessa facilità con cui li può accettare.

La continua evoluzione dell’information technology impone una riflessione sul diritto alla privacy degli internauti. Sia che tale diritto si riferisca alla protezione dei dati personali, che alla libertà di scelta, le azioni svolte online dagli utenti assumono un peso e una concretezza peculiari nell’universo di internet. Se per un utente può sembrare innocuo consentire l’uso dei cookie dal proprio terminale1, il suo consenso è di sicuro interesse per chi i suoi dati personali li tratta per finalità commerciali e di profilazione2. A tal proposito, sarebbe da chiedersi fino a dove possano spingersi i service provider per ottenere il consenso all’installazione di questi identificativi. Per avere un’idea di dove si attesti la soglia di legalità, può essere utile fare riferimento alle recenti sanzioni comminate dall’autorità francese per la protezione dei dati personali (la CNIL3), che ha condannato i due giganti Google e Facebook al pagamento di sanzioni per un totale di 210 milioni di euro4. Fino ad ora, in UE, queste sono le multe più pesanti mai inflitte per questo genere di violazione.

A seguito delle sue indagini, la CNIL ha stabilito che le modalità di rifiuto dei cookie sui domini facebook.com, google.fr e youtube.com sono in contrasto con la direttiva ePrivacy 2002/48/CE e con il Regolamento 679/2016/UE (GDPR), non permettendo all’utente di rifiutare i cookie con la stessa facilità con cui questi possono essere accettati. In buona sostanza, accanto al bottone “accetta i cookie” non ve n’è un altro per rifiutarli. Al contrario, per proseguire la navigazione e rifiutare l’installazione dei cookie sono necessari più passaggi rispetto al singolo click sufficiente per accettare e proseguire.5

Obbligo di trasparenza

Le disposizioni della direttiva ePrivacy e del GDPR sorreggono la decisione della CNIL. Da una parte, l’art. 5 (3) della direttiva prevede che l’utente sia informato in modo chiaro e completo circa le finalità, l’installazione e la possibilità di rifiutare i cookie sul proprio terminale. Dall’altra, l’art. 9 (1) lascia intendere che l’utente debba sempre prestare il proprio consenso quando i cookie installati sul terminale costituiscano un valore aggiunto, come, ad esempio, l’offerta di pubblicità mirata. Allo stesso modo, ai sensi del GDPR, il consenso dell’interessato deve essere libero, specifico, univoco ed informato, oltre che, per i trattamenti automatizzati e la profilazione, esplicito6. Per il titolare del trattamento, ciò si traduce nell’onere di informare l’utente in modo trasparente7 e di porlo nella condizione di rifiutare o accettare i cookie con la medesima facilità8. Tale obbligo di trasparenza può essere soddisfatto tramite la presentazione di cookie banner chiari e non ingannevoli. Come fa intendere la CNIL, e come d’altronde già sancito dal Working Document 02/2013 sull’ottenimento del consenso al trattamento dei cookie9, nel caso in esame il semplice posizionamento dei tasti di accettazione e di rifiuto sullo stesso livello del banner sarebbe stato sufficiente a fornire all’utente una scelta consapevole, incondizionata ed esplicita. Al contrario, Google e Facebook hanno dato adito a dubbi circa il loro utilizzo di dark patterns, ossia di interfacce studiate con la finalità di scoraggiare il rifiuto dei cookie. Un tale genere di interfacce rende più complesso per l’utente agire per il rifiuto rispetto che cliccare per accettare l’installazione degli identificativi sul proprio terminale10. Nella prassi si è anche parlato di questa pratica con lo specifico nome di cookie fatigue (fatica nel rifiuto dei cookie)11. Tutto questo scoraggia l’utente che vuole navigare sul sito a compiere il susseguirsi di azioni necessarie al rifiuto, preferendo concedere i propri dati personali a fronte di una navigazione più spedita12. La questione è di centrale importanza anche alla luce dei recenti sviluppi nel campo. Già nel 2019, con la decisione Planet 4913 , la Corte di Giustizia dell’Unione Europea aveva sotto più aspetti posto dei limiti alla libertà di forma dei mezzi di accettazione e rifiuto e sottolineato l’importanza del consenso. La Corte precisava che

“[i]l consenso dell’utente non può più essere presunto e deve risultare dal comportamento attivo di quest’ultimo”.

Il diritto di discernimento attivo e consapevole dell’interessato è rafforzato dalle recentissime linee guida sui cookie dell’EDPB (per approfondimenti, potete leggere qui) da poco recepite dal nostro Garante14; lo sarà ancor di più con il regolamento ePrivacy di prossima adozione.

L’astraente: un ulteriore deterrente

Oltre alle pesanti sanzioni già irrogate, la CNIL ha fatto uso dello strumento dell’astraente e ha imposto a ciascuna società un’ulteriore sanzione di 100.000 euro per ogni giorno di ritardo dopo la scadenza del termine di 3 mesi fissato per adempiere.

La competenza della CNIL

All’interno di una tale vicenda occorre senz’altro menzionare la questione relativa alla competenza della CNIL. Sia Google che Facebook hanno contestato alla CNIL di non avere competenza sulla questione in quanto, secondo l’art. 60 GDPR, a decidere avrebbe dovuto essere l’autorità di controllo capofila secondo il meccanismo di cooperazione nei trattamenti transnazionali di dati. Se così fosse stato, i casi sarebbero spettati all’autorità irlandese, dove hanno sede gli stabilimenti principali UE di Google e Facebook. Preso atto di ciò, la CNIL ha tuttavia ritenuto di non dover applicare il GDPR. Le ragioni risiedono, da una parte, nel ruolo di lex specialis della direttiva ePrivacy per il trattamento dei dati risultanti da servizi della società dell’informazione. In sostanza, l’articolo 1 (2) della direttiva ePrivacy, stabilisce espressamente che le sue disposizioni precisano e integrano la direttiva 95/46/CE (oggi, GDPR); disposizione avallata dallo stesso GDPR, il cui considerando n. 173 specifica come il Regolamento non si applichi al trattamento dei dati personali di cui alla direttiva ePrivacy. Dall’altra parte, la CNIL chiarisce che il trattamento sanzionato si esaurisce nel completamento dell’installazione dei cookie sul terminale dell’utente. Esso non coinvolge il trattamento oltreconfine da parte degli stabilimenti in Irlanda, che consiste nel vero a proprio utilizzo commerciale dei dati degli utenti e che è a tutti gli effetti un “trattamento successivo”15. Non ha quindi luogo alcun trattamento transfrontaliero che giustificherebbe l’intervento dell’autorità capofila irlandese.16 In virtù di ciò, la CNIL si è ritenuta territorialmente competente poiché il trattamento dei cookie si è svolto interamente in Francia.

In conclusione appare evidente come la cookie policy e i relativi banner debbano essere strumenti neutrali e trasparenti, che vadano di pari passo con le intenzioni e libere scelte degli interessati. Le autorità nazionali per la protezione dei dati costituiscono un eccellente strumento di difesa dei diritti degli interessati, anche quando, come in questo caso, sussista un evidente squilibrio di risorse fra questi e i titolari del trattamento.

1 amazeemetrics.com/en/blog/76-i…

2 wsj.com/articles/big-tech-priv…

3 Commission Nationale de l’Informatique et des Libertés.

4 Google (Alphabet Inc.) è stata multata per 150 milioni di euro; Facebook Inc., per 60 milioni di euro.

5 cnil.fr/fr/cookies-la-cnil-san…

6 Cfr. Art. 22 (2) lett. b), Regolamento 679/2016/UE.

7 Cfr. Art. 12 GDPR.

8 Cfr. per analogia, Art. 7 (3) GDPR.

9 1676/13/EN WP 208, Working Document 02/2013 providing guidance on obtaining consent for cookies (p. 3 – 6).

10 Dark pattern: cosa sono e il loro rapporto con il GDPR, in Cybersecurity 360, cybersecurity360.it/legal/priv…

11 Ibid.

12 Se questo non bastasse a concretizzare l’ipotesi di dark pattern, nel caso di Facebook la CNIL ha scoperto che non soltanto il pulsante per rifiutare i cookie fosse collocato in un sottolivello del banner, ma che fosse oltretutto intitolato “Accetta i cookie” – cfr. cnil.fr/en/cookies-facebook-ir…

13 Causa C 673/17, CGUE.

14 garanteprivacy.it/home/docweb/…

15 Deliberation of the restricted committee No. SAN-2021-024 of 31 December 2021, par. 29.

16 Malgrado ciò, in virtù del collegamento economico fra gli stabilimenti USA, Irlandesi e francesi delle due società, la CNIL li ha ritenuti congiuntamente responsabili. Cfr. cnil.fr/en/cookies-google-fine… e cnil.fr/fr/cookies-sanction-de…

L'articolo Francia: sanzioni complessive per 210 milioni di euro nei confronti di Facebook e Google proviene da E-Lex.

Il 14 dicembre 2021, l’European Data Protection Board (ex Working Party 29) ha adottato le sue nuove Guidelines 01/2021 on examples regarding personal data breach notification.

Le recenti Linee guida integrano quelle già adottate dal WP29 nel 2017 (“Guidelines on personal data breach notification under Regulation 2016/679”), con le quali il Board aveva già fornito delle indicazioni di ordine generale sulla classificazione e gestione delle violazioni dei dati (in inglese, “data breach”).

La disciplina sui data breach ai sensi del GDPR

Preliminarmente, l’EDPB richiama la disciplina generale dettata dal Regolamento UE 679/2016 (cosiddetto “GDPR”) in materia di violazione dei dati personali.

Nello specifico, l’art. 4, par. 1, n. 12 del GDPR definisce un data breach come la “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.

Già nella sua Opinion 03/2014 e nelle summenzionate linee guida del 2017, il WP29 aveva avuto modo di chiarire che le violazioni possono distinguersi in:

• violazione della riservatezza, quando occorre una divulgazione non autorizzata o accidentale ovvero l’accesso a dati personali;
• violazione dell’integrità, quando occorre un’alterazione non autorizzata o accidentale dei dati personali;
• violazione della disponibilità, quando c’è una perdita accidentale o una non autorizzata perdita all’accesso ovvero distruzione di dati personali.

In tali casi, alla luce delle prescrizioni contenute nel GDPR, il titolare del trattamento dovrebbe prontamente attivarsi per valutare gli effetti prodotti dalla violazione e le relative azioni da intraprendere al fine di mitigare detti effetti. A valle di tali operazioni, poi, occorre notificare l’accaduto all’autorità competente (in Italia, l’Autorità garante per la protezione dei dati personali) – salvo che il breach non rappresenti un rischio per i diritti e le libertà degli interessati -, nonché comunicare lo stesso agli interessati (anche in questo caso, solo qualora ci sia un rischio elevato per i diritti e le libertà dei soggetti coinvolti).

In ogni caso, il titolare è tenuto a documentare la violazione, indipendentemente dal rischio per i diritti e le libertà degli interessati (per esempio, tenendo un apposito registro delle violazioni e degli incidenti di sicurezza).

Le casistiche esaminate dall’EDPB

Tanto premesso, l’EDPB, nelle Linee guida in commento, si è soffermato su talune circostanze, che, frequentemente, causano violazioni di dati, fornendo sia casistiche esemplificative sia le misure preventive da adottare e le eventuali azioni per mitigare i danni in caso di breach, nonché, infine, le opportune misure tecniche e organizzative da implementare nell’ambito della struttura del titolare.

Ransomware

Una causa frequente di violazione dei dati è un attacco ransomware: in questo caso, l’“aggressore” cripta i dati attraverso un codice maligno e, successivamente, chiede al titolare un riscatto come prezzo del codice di decrittazione.

Questo tipo di attacco può di solito essere classificato come una violazione della disponibilità dei dati o, se del caso, di riservatezza.

A tale proposito, l’EDPB adduce diverse casistiche, distinguendo a seconda che il titolare abbia o meno un backup dei dati criptati ovvero che vi sia stato o meno l’esfiltrazione degli stessi.

Il fatto che un attacco ransomware possa aver avuto luogo è solitamente un segno di una o più vulnerabilità dei sistemi e, indipendentemente dalle conseguenze dell’attacco, il titolare dovrebbe adottare tutte le misure di sicurezza – sia tecniche sia organizzative – atte ad affrontare evenienze di questo tipo.

Tra le misure tecniche sicuramente rientra il costante aggiornamento del firmware, del sistema operativo e del software applicativo sui server, le macchine client e, in generale, tutti i componenti di rete attivi e qualsiasi altra macchina su LAN, nonché l’adozione di una procedura di backup e un software anti-malware aggiornati, sicuri e testati.

Dal punto di vista organizzativo, cruciale risulta la formazione dei dipendenti (soprattutto quelli che trattano dati cosiddetti “sensibili”) sui metodi di riconoscimento e prevenzione degli attacchi informatici, nonché la pianificazione di test di vulnerabilità e penetrazione su base regolare e la creazione – soprattutto nell’ambito di realtà aziendali complesse – di un computer security incident response team o computer emergency response team.

Infine, il titolare dovrebbe adottare dei piani di incident response, disaster recovery e business continuity, assicurandosi che questi siano accuratamente testati.

Esfiltrazione dei dati

Gli attacchi di esfiltrazione, come quelli ransomware, sfruttano le vulnerabilità dei sistemi del titolare, ma, di solito, mirano a copiare, esfiltrare e usare i dati personali per fini illeciti.

Pertanto, di norma, tali attacchi sono classificati come violazioni della riservatezza e, eventualmente, anche dell’integrità dei dati.

A tale proposito, le misure tecniche consigliate dell’EDPB sono, ad esempio, utilizzare sistemi di crittografia e gestione delle chiavi (specialmente quando si trattano password, dati sensibili o finanziari) e preferire l’uso di metodi di autenticazione che evitano la necessità di elaborare le password sul lato server, nonché di metodi di autenticazione forti (come l’autenticazione a due fattori e i server di autenticazione).

Lato organizzativo, il titolare dovrebbe adottare delle policy di gestione dei privilegi degli utenti e di controllo degli accessi in atto, nonché programmare ed effettuare verifiche sistematiche della sicurezza IT e valutazioni e test della vulnerabilità.

Errore e accadimenti umani

Il Board si sofferma, inoltre, su tutti quegli accadimenti – volontari e non – causati da comportamenti umani che, nella pratica, portano spesso a violazioni di dati personali: si pensi, a titolo esemplificativo, all’esfiltrazione di dati da parte di un dipendente o all’invio accidentale – tramite email – di dati a soggetti non autorizzati o ancora alla perdita di device e documenti contenenti dati.

Si consideri che la necessità di affrontare i fattori umani nella prevenzione dei data breach è stata inoltre evidenziata dall’International Conference of Data Protection and Privacy Commissioners del 2019, che ha adottato una risoluzione contenente, tra l’altro, un elenco non esaustivo delle opportune safeguards da adottare.

Quando si parla di errore umano, è evidente che la misura organizzativa più importante da adottare è costituita dalla programmazione di piani di formazione e sensibilizzazione periodica del personale che opera nella struttura del titolare. In tale contesto, focale risulta l’apporto del Data Protection Officer eventualmente nominato dal titolare, che, ai sensi dell’art. 39, par. 2, lett. b), è il soggetto deputato alla “sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo”.

Il personale dovrebbe essere istruito, in particolare, sulle procedure adottate al fine di implementare sistemi solidi ed efficaci di protezione dei dati e della sicurezza dei sistemi. Per esempio, tali procedure dovrebbero prendere contenere:

• adeguate policy di controllo di accesso ai sistemi;
• regole per la disabilitazione dell’account aziendale non appena la persona lascia l’azienda;
• meccanismi di controllo del flusso di dati insolito tra il file server e le stazioni di lavoro dei dipendenti.

Dal punto di vista tecnico, invece, il titolare dovrebbe considerare e implementare, by design, delle logiche per un corretto uso dei device, quali:

• disabilitare la funzione di stampa dello schermo nel sistema operativo;
• applicare una politica di clean desk;
• bloccare automaticamente tutti i computer dopo una certo tempo di inattività;
• usare meccanismi (per esempio token) per accedere/aprire account bloccati;
• attivare la crittografia del dispositivo (come Bitlocker, Veracrypt o DM-Crypt);
• usare una VPN sicura (per esempio, che richiede una chiave di autenticazione a secondo fattore separata per stabilire una connessione sicura) per collegare i dispositivi mobili ai server di back-end.
• applicazione del ritardo nell’invio del messaggio (per esempio, il messaggio può essere cancellato/modificato entro un certo periodo di tempo dopo aver cliccato il pulsante di invio);
• disabilitazione del completamento automatico quando si digitano gli indirizzi e-mail.

  Ariella Fonsi

L'articolo Data breach e tutela dei dati aziendali: le nuove Linee guida dell’EDPB proviene da E-Lex.

Lo scorso 20 dicembre l’Autorità Nazionale Anticorruzione (ANAC) ha pubblicato una nuova raccolta di FAQ in materia di whistleblowing. Il documento contiene chiarimenti utili sulla disciplina relativa alla segnalazione degli illeciti all’interno degli enti tanto sotto il profilo organizzativo quanto in riferimento alle concrete modalità di gestione delle segnalazioni. Tra i diversi punti di attenzione, rivestono un carattere di particolare importanza quelli attinenti gli aspetti relativi al trattamento dei dati personali.

Anzitutto deve sottolinearsi il contesto in cui le FAQ sono state pubblicate. Il 31 dicembre è scaduto il termine di adeguamento alla Direttiva europea 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione. Il Parlamento italiano lo scorso aprile aveva approvato la Legge delega 53/2021, attribuendo al Governo il compito di recepire le indicazioni del legislatore europeo, la quale tuttavia non ha avuto seguito.

Nelle more del recepimento della normativa eurocomunitaria l’Autorità Anticorruzione ha pubblicato, con delibera del 9 giugno 2021, le nuove linee guida sul whistleblowing che, allo stato, costituiscono il punto di riferimento principale e più avanzato per qualunque organizzazione che debba dotarsi di un adeguato sistema di segnalazione degli illeciti. Tale ultimo provvedimento, unitamente alle FAQ di recente pubblicazione, realizzano per la prima volta un coordinamento tra le norme in materia di whistleblowing e il nuovo quadro normativo in tema di trattamento dei dati personali.

Caposaldo della normativa in materia di segnalazione degli illeciti è la tutela della riservatezza del segnalante, del contenuto delle segnalazioni e degli eventuali allegati, nonché dei soggetti segnalati. Per questo motivo l’Autorità raccomanda l’adozione di appositi e adeguati software per la gestione delle segnalazioni, di modo da tutelare al meglio la riservatezza del segnalante e consentire l’interazione sicura tra questi e il responsabile per la prevenzione della corruzione (ed il suo team). Per fare ciò è indispensabile, ad avviso dell’ANAC e dal Garante privacy, che il software disponga di adeguate misure di sicurezza, che consenta la pseudonimizzazione dei dati identificativi del segnalante e la trasmissione dei dati mediante protocolli di trasmissione sicuri (ad es. HTTPS).

Inoltre, sempre al fine di tutelare la riservatezza dell’identità del whistleblower, è necessario che qualora l’accesso alla piattaforma informatica avvenga mediante dispositivi firewall o proxy, l’ente garantisca la non tracciabilità del segnalante nel momento in cui viene stabilita la connessione. Questo può avvenire attraverso l’utilizzo di strumenti di anonimizzazione dei dati di navigazione, come ad esempio la tecnologia TOR.

Un’altra misura individuata dall’ANAC per salvaguardare la riservatezza dell’identità del whistleblower è legata al tracciamento degli accessi alla piattaforma di segnalazione.

In questo caso è necessario trovare un punto di equilibrio tra due diverse esigenze: da un lato la tutela della riservatezza e, dall’altro, la corretta gestione degli strumenti informatici e la difesa dell’ente da potenziali minacce informatiche. Per garantire ciò, l’Autorità raccomanda di procedere alla raccolta dei log della piattaforma con l’adozione di adeguate misure di sicurezza idonee a prevenire eventuali accessi non autorizzati.

L’ultima tematica affrontata dall’ANAC in tema di trattamento dei dati personali nel contesto del whistleblowing è quella relativa al tempo di conservazione delle segnalazioni.

Tale periodo, valutato insieme al Garante privacy, non deve eccedere l’arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati, in ossequio al principio di limitazione della conservazione di cui all’art. 5, par. 1 lett. e) del GDPR.

La previsione è alquanto generica e, di conseguenza, l’individuazione puntuale del periodo di retention è rimessa all’accountability del titolare. L’Autorità anticorruzione suggerisce, sulla base anche della propria esperienza, di prevedere un termine minimo di conservazione delle segnalazioni, pari almeno a 10 anni. Naturalmente, ove a seguito della segnalazione scaturisca un eventuale giudizio, il termine sarà prolungato fino alla conclusione del giudizio stesso.

Le informazioni fornite dall’ANAC costituiscono un importante elemento per orientare l’operato dei titolari del trattamento nella gestione dei dati personali e delle informazioni acquisite nell’ambito del whistleblowing, in attesa del recepimento della Direttiva Direttiva europea 2019/1937, ove necessariamente il legislatore dovrà operare un coordinamento a livello normativo, con le disposizioni in materia di privacy.

Di seguito un decalogo che riassume i principali adempimenti in materia di protezione dei dati personali connessi all’istituto del whistleblowing.

• Il fornitore della piattaforma per il whistleblowing, dal momento che effettuerà dei trattamenti di dati personali per conto del titolare, deve sempre essere nominato responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 679/2016 (GDPR).
• L’atto di nomina del responsabile deve contenere una puntuale indicazione delle misure di sicurezza necessarie a garantire la sicurezza, la riservatezza e l’integrità dei dati e delle informazioni relative alle segnalazioni;
• Il responsabile per la prevenzione della corruzione e il suo team devono sempre essere nominati quali soggetti autorizzati al trattamento e debitamente istruiti in merito al trattamento dei dati personali (ai sensi dell’art. 4, par. 10, 29, 32, §. 4 del Regolamento (UE) 679/2016 e art. 2-quaterdecies del d.lgs. 196 del 2003);
• Gli interessati (nello specifico il segnalante) devono ricevere idonea informativa ai sensi dell’art. 13 GDPR;
• Il whisthleblowing deve essere inserito quale trattamento specifico all’interno del registro redatto ai sensi dell’art. 30, par.1, GDPR;
• Le segnalazioni e gli allegati alla segnalazione devono essere sottratti al diritto di accesso e all’accesso civico generalizzato;
• La piattaforma deve registrare e conservare in modo sicuro i log di accesso, mentre deve assolutamente essere evitato il tracciamento dei log del segnalante, anche nel caso in cui l’accesso sia mediato da un firewall o da un proxy server. In tali casi si può fare ricorso alla tecnologia TOR che garantisce l’anonimizzazione delle informazioni relative al traffico dati e all’indirizzo IP;
• Le informazioni devono essere scambiate attraverso protocolli sicuri (HTTPS);
• Il titolare deve adottare ogni idonea misura di sicurezza ai sensi dell’art. 32 GDPR;
• Le segnalazioni devono essere conservate per un arco di tempo non superiore al conseguimento delle finalità per cui sono state trattate.

Andrea Pisano

L'articolo Whistleblowing: pubblicate le nuove FAQ dell’ANAC in attesa del recepimento della Direttiva 2019/1937. Quali novità in materia di trattamento dei dati personali? proviene da E-Lex.

Intervista Arturo Di Corinto podcast Skytg24 del 12 Gennaio 2022 di Alberto Giuffrè

Israele e Iran si sfidano da anni anche a colpi di attacchi informatici. A farne le spese, negli ultimi casi, sono stati soprattutto i cittadini. Ne parliamo nella nuova puntata di 1234 insieme ad Arturo Di Corinto, giornalista esperto di cybersecurity

Nelle scorse settimane le stazioni di rifornimento in Iran hanno smesso di funzionare a causa di un attacco informatico. Qualche giorno dopo una app di dating in Israele è stata violata. Sono soltanto gli ultimi episodi di una cyberguerra, quella tra Israele e Iran, che va avanti da anni. Ne parliamo nella nuova puntata di 1234, il podcast sulla sicurezza informatica di Sky TG24. L’ospite di questo episodio è Arturo Di Corinto, giornalista esperto di cybersecurity.

dicorinto.it/tipologia/intervi…

App di dating violate e benzinai chiusi: la cyberguerra tra Israele e Iran. IL PODCAST

Leggi su Sky TG24 l'articolo App di dating violate e benzinai chiusi: la cyberguerra tra Israele e Iran. IL PODCAST

^{Alberto Giuffrè (Sky TG24)}

Non tutti sanno che Friendica dispone di funzioni di moderazione molto limitate, che non consentono azioni mirate, automatizzate e collaborative.

In attesa che tali funzioni vengano sviluppate, è importante cercare di fare il possibile utilizzando strumenti già disponibili nella piattaforma, come le pagine notizie e i forum.

Proprio per questo sono state cerate due account: @Poliverso Forum di supporto per offrire agli utenti un gruppo di supporto tecnico/ergonomico e @Notizie da Poliverso per dare informazioni sulla nostra istanza e su tutte le altre realtà del fediverso.

Ma cosa succede se un utente pubblica contenuti che potrebbero creare problemi alla piattaforma?
In primo luogo, lo si prova a contattare attraverso l'account @Signor Amministratore o @Guido Sperduti di Poliverso per provare a discutere sull'opportunità della pubblicazione in questione, sui danni che potrebbe eventualmente portare a una istanza così piccola come Poliverso e sulle conseguenze per "l'igiene" della timeline locale.

I termini di servizio di Poliverso indicano che "Concedere spazio alle polemiche e sopportarle può guastare l'equilibrio di intervento in un dibattito democratico. Intervenire contro di esse non è censura, bensì protezione dell'ambiente sociale.".

Resta tuttavia scontato che, l'amministrazione di questa istanza è "signora e padrona" e laddove non sia possibile contattare un utente, può decidere in qualsiasi momento di sospenderlo o rimuoverlo dalla piattaforma.

PS: pubblicare diversi post illeggibili (spesso riportati in altri social da profili riconducibili alla stessa persona) senza ricercare alcuna interazione è considerato alla stregua di qualcuno che entra in uno spazio privato ma aperto al pubblico e comincia a urlare e a distribuire volantini: insomma, viene considerata un'azione di disturbo che può guastare il clima e indurre le persone più serie ad abbandonare quel luogo, lasciandolo in balia delle persone più prevaricanti e meno disponibili all'ascolto.