dicorinto.it/formazione/banche…

Sebbene si sia registrata, nei primi mesi del 2022, una battuta d’arresto nel mercato degli ormai noti NFT– probabilmente fisiologica a seguito del boom dello scorso anno – lo scambio dei non-fungible tokens continua ad essere tema di grande interesse, considerata la loro capacità di dar luogo ad attraenti flussi di reddito.

In tale contesto, appare rilevante la pubblicazione di un nuovo standard anti rug-pull, ERC-721R, ufficialmente rilasciato lo scorso 11 aprile e volto, tra le altre cose, a contrastare i progetti fraudolenti nel settore degli NFT.

I non-fungible tokensPreliminarmente, occorre far chiarezza su cosa siano gli NFT e cosa rappresentino da un punto di vista giuridico.

Un non-fungible token è un codice crittografico unico e non interscambiabile, rappresentativo dell’autenticità e della provenienza di un bene. Il trasferimento di NFT da un soggetto ad un altro è irreversibile e non duplicabile, grazie alla tecnologia di base utilizzata per il compimento delle transazioni: la blockchain.

Giuridicamente, pertanto, un NFT è un bene infungibile, che non può essere scambiato con altri beni appartenenti allo stesso tipo. È una stringa alfanumerica unica e peculiare, rappresentativa di un determinato asset, in quanto implementa un certificato digitale di autenticità ad esso riferibile.

Tale sistema di certificati di autenticità, associati ad un bene nativo digitale ovvero fisico, riesce a creare unicità o scarsità anche nel virtuale, rendendo così i non-fungible tokens collezionabili.

Nonostante gli NFT siano dilagati prevalentemente nel mondo della digital art, sono in realtà molteplici i settori che ne beneficiano: dal real estate al mondo della finanza, dal gaming alla moda, ed altri.

Nel 2017, come noto, Ethereum ha introdotto uno standard aperto, l’ERC721, che è stato il primo protocollo per la creazione di NFT e sino ad oggi il più utilizzato.

Prima dell’invenzione di tale standard, la maggior parte dei token erano solo fungibili, e per lo più rappresentativi di valute. Un token ERC721, invece, rappresenta un bene unico ed infungibile.

Il nuovo standard ERC-721R per la creazione di NFTSi è detto che il trasferimento di NFT da un soggetto ad un altro è, oltre che non duplicabile, irreversibile. Ciò in quanto l’esecuzione della transazione su blockchain rende impossibile “tornare indietro” una volta effettuata l’operazione, per il funzionamento stesso della tecnologia che ne è alla base.

Tale circostanza, se da un lato è ciò che rende unico e non fungibile il token in questione, nonchè sicuri, trasparenti e tracciabili tutti i trasferimenti di esso sulla catena di blocchi, dall’altro può avere anche delle conseguenze negative, come ad esempio la possibilità di rug-pull.

Nel mondo crypto, il termine rug-pull (letteralmente, “tiro del tappeto”) indica un tipo di truffa che si verifica generalmente quando gli sviluppatori di un progetto, dopo aver creato il token crittografico, ne “pompano” il valore al fine di attrarre il maggior numero di investitori possibili, per poi prelevare tutti i fondi ed abbandonare il progetto fraudolento.

Quando un NFT viene creato con il nuovo standard ERC-721R, ufficialmente rilasciato lo scorso 11 aprile, i fondi sono detenuti in un conto di deposito a garanzia, vincolato da uno smart contract.

Tali fondi non possono essere prelevati, dai creatori, se non dopo il decorso di un periodo di attesa che consente agli acquirenti di restituire il proprio NFT e di ricevere un rimborso dal contratto intelligente sottoscritto.

In tal modo, pur essendo l’acquisto dell’NFT irreversibile, se durante tale periodo di tempo i creatori decidono di fare rug-pull, gli acquirenti potranno richiedere il rimborso dei loro fondi prima della fine del periodo di attesa, perdendo solo le gas fees sostenute per i costi di transazione.

L’utilizzo di tale nuovo protocollo per la generazione di NFT, pertanto, sarebbe sicuramente più vantaggioso per gli acquirenti, che nella peggiore delle ipotesi – rispettando, però, la scadenza temporale prevista – perderebbero soltanto le commissioni per elaborare e convalidare le transazioni sulla blockchain.

D’altro canto, anche i venditori creatori dei token ne trarrebbero giovamento, creando fiducia nel mercato ed attraendo dalla loro parte un maggior numero di investitori.

Inoltre, l’applicazione dello standard ERC-721R potrebbe risolvere anche un altro dei principali controversi aspetti giuridici legati allo scambio di NFT, vale a dire la non applicabilità del diritto di recesso previsto dall’art. 52 del Codice del Consumo.

Infatti, se in linea di principio l’irreversibilità della transazione non rende possibile l’esercizio di tale diritto, il descritto meccanismo del vincolo delle somme alla base del nuovo protocollo, non permettendo ai venditori di prelevare le somme sino alla scadenza di un dato termine, potrebbe consentire all’acquirente di effettuare un “reso” dell’NFT senza perdita dei fondi, in caso di ripensamento dell’acquisto.

Gabriella Amato

L'articolo ERC-721R, il nuovo standard anti rug-pull contro le vendite di NFT fraudolente proviene da E-Lex.

PNRRI primi avvisi per la digitalizzazione di scuole e comuni

Nel corso del mese di aprile sono stati pubblicati i primi avvisi in ambito PNRR per la digitalizzazione di comuni e scuole.
I primi avvisi sono relativi a identità digitale, App IO, pagoPA, cloud e servizi digitali.
Tutte le informazioni per partecipare ai bandi pubblici sono disponibili sulla piattaforma PA Digitale 2026.

Vai al sito PA Digitale 2026

Identità digitaleContinua la crescita dell’identità digitale: superati i 30 milioni di identità Spid

Traguardo importante per SPID. A inizio maggio sono stati superati i 30 milioni di identità digitali SPID in Italia, di cui 10 milioni attivate solo nell’ultimo anno. Una crescita importante considerando che prima dell’inizio della pandemia, il numero di identità digitali era inferiore ai 6 milioni

Leggi la notizia

Cloud della PAEntro il 18 luglio le PA devono effettuare la classificazione di dati e servizi

Entro il 18 luglio 2022 le amministrazioni dovranno effettuare la classificazione dei propri dati e dei propri servizi secondo criteri definiti dall’Agenzia per la cybersicurezza nazionale (ACN) che sarà poi chiamata a verificare quanto dichiarato dai singoli enti. Per facilitare questo processo, il Governo ha pubblicato un avviso che prevede lo stanziamento di 500 milioni di euro destinati alle amministrazioni comunali.

Leggi la notizia

AccessibilitàPubblicate le linee guida e il regolamento sanzionatorio per i soggetti privati

L’Agenzia per l’Italia Digitale ha pubblicato le Linee Guida sull’accessibilità degli strumenti informatici per i soggetti privati con un fatturato medio, negli ultimi tre anni di attività, superiore a cinquecento milioni di euro. Contestualmente l’Agenzia ha anche pubblicato il Regolamento che disciplina le modalità di accertamento e di esercizio del potere sanzionatorio.

Leggi la notizia

Videoconferenze e giunte da remotoPer lo svolgimento delle riunioni in videoconferenza gli Enti locali devono adottare uno specifico regolamento

Il Ministero dell’Interno ha pubblicato una circolare interpretativa sulla possibilità di svolgimento dei Consigli Comunali in videoconferenza. In particolare il Ministero ha chiarito che per lo svolgimento delle riunioni in videoconferenza è necessaria l’adozione di un apposito regolamento.

Leggi la notizia

L'articolo What’s new in Italy on Digital Administration<BR> n.3 – Maggio 2022 proviene da E-Lex.

Lo scorso 30 marzo è stato pubblicato sulla Gazzetta Ufficiale il Regolamento di Banca d’Italia concernente il trattamento di dati personali effettuato nell’ambito della gestione degli esposti riguardanti la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra intermediari e clienti e i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento.

Come noto, Banca d’Italia (in qualità di Autorità di vigilanza bancaria e finanziaria) riceve numerose segnalazioni riguardanti la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra intermediari vigilati e clientela, nonché i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento.

Al fine di gestire detti esposti e vista l’ingente quantità di esposti che quotidianamente vengono trasmessi alle diverse filiali della Banca d’Italia, questa utilizza un sistema di IA al fine di ottimizzare il patrimonio informativo contenuto negli esposti, per poterne ricavare elementi utili su fenomeni d’interesse per l’attività di vigilanza che la stessa conduce sugli intermediari bancari e finanziari e, in particolare, al fine di: (i) individuare le fattispecie che presentano similarità; (ii) trarre informazioni utili per la trattazione dell’esposto e per l’attività di vigilanza.

In particolare, l’attività di analisi effettuata dall’IA viene effettuata attraverso l’uso di un motore di ricerca in grado di accedere ai documenti presentati all’Autorità e di ricercare tutte le informazioni presenti negli esposti riconducibili a un determinato servizio o prodotto finanziario. Successivamente, il sistema aggrega gli esposti in cluster (assegnando tag esemplificativi del contenuto) che, tuttavia, non sono determinati sulla base dei dati personali degli esponenti, né dei soggetti terzi.

In tal senso, è escluso che l’algoritmo possa effettuare una qualsiasi forma di profilazione o predizione di comportamenti delle persone fisiche che a vario titolo possono essere coinvolte nella vicenda. Tanto è confermato dalla circostanza che dai risultati dell’analisi non derivano conseguenze sanzionatorie o decisioni automatiche su sugli interessati, né impattano sulle decisioni rimesse alla Banca d’Italia in relazione agli esposti.

Nel Regolamento, l’Autorità approfondisce, inoltre, le misure di sicurezza implementate ai sensi dell’art. 32 del GDPR e, nello specifico, quelle applicate all’utilizzo dei sistemi di IA. In tal senso, è stato previsto il periodico monitoraggio e aggiornamento delle logiche che gli algoritmi di machine learning utilizzano su un determinato insieme di dati (cosiddetto “training dataset”), che, pertanto, sotto sottoposti ad un processo continuo di riaddestramento.

In tale contesto, l’algoritmo viene, pertanto, periodicamente riaddestrato non appena si ritiene che il set di informazioni (o l’interpretazione ad essi associata) possa impattare sui risultati delle analisi.

Inoltre, l’applicazione di machine learning è costruita in modo tale da fornire una “spiegazione” del funzionamento interno dell’algoritmo.

Ariella Fonsi

L'articolo UTILIZZO DI ALGORITMI DI CLUSTERING PER FINALITÁ DI INTERESSE PUBBLICO RILEVANTE NEL RECENTE REGOLAMENTO DI BANCA D’ITALIA proviene da E-Lex.

Di recente, la Corte di Giustizia dell’Unione europea (“CGUE”) si è pronunciata, in seguito a rinvio pregiudiziale, sull’interpretazione dell’art. 80, paragrafo 2, del Regolamento UE 679/2016 (“GDPR” o “Regolamento”) in materia di ricorsi, concludendo che anche un’associazione di tutela degli interessi dei consumatori può agire in giudizio, in assenza di un mandato e/o indipendentemente dalla violazione di specifici diritti degli interessati, contro il presunto autore di un atto pregiudizievole per la protezione dei dati.

I mezzi di ricorso a tutela dei diritti dell’interessato al Capo VIII del Regolamento

Preliminarmente all’analisi compiuta dalla CGUE sul tema dei ricorsi e dei reclami, giova ricordare che il Capo VIII del GDPR, intitolato “Mezzi di ricorso, responsabilità e sanzioni”, prevede che l’interessato ha il diritto di presentare un reclamo dinanzi ad un’autorità di controllo di uno Stato membro, secondo quanto previsto dall’art. 77 del GDPR, oppure un ricorso dinanzi ai tribunali ordinari nazionali, ai sensi degli artt. 78 e 79 del GDPR, sia avverso una decisione dell’autorità di controllo sia nei confronti del titolare del trattamento o del responsabile del trattamento.

In particolare, per quanto rileva in questa sede, merita soffermarsi sugli artt. 80, 81 e 84 del Regolamento. L’art. 80, paragrafo 1, del GDPR prevede che l’interessato ha il diritto di dare mandato di proporre ricorso per suo conto ad un organismo, un’organizzazione o un’associazione senza scopo di lucro, debitamente costituiti secondo il diritto di uno Stato membro e che perseguano obiettivi di pubblico interesse, oltre che essere attivi nel settore della protezione dei diritti e delle libertà degli interessati.

Dalla lettura del paragrafo 1, è evidente il ruolo attivo attribuito nei confronti degli organismi e delle organizzazioni nel promuovere una tutela, eventualmente anche risarcitoria, degli interessati, a condizione del possesso di due requisiti: i) la costituzione dell’organismo secondo il diritto di uno Stato membro; ii) essere attivi nel settore della protezione dei diritti e delle libertà degli interessati, perseguendo tali obiettivi da statuto. Il primo è un requisito meramente formale1. Il secondo requisito, invece, presuppone un’indagine da svolgere con riguardo all’attività concreta, sia per il tramite dello scrutinio dello statuto dell’ente, sia per il tramite della verifica effettiva delle attività nel settore della protezione dei diritti e delle libertà degli interessati.

L’art. 80, paragrafo 2, del GDPR, dall’altro lato, prevede che un organismo, un’organizzazione o un’associazione aventi le medesime caratteristiche descritte al paragrafo 1, possono agire, indipendentemente dal mandato conferito dall’interessato, sia di fronte all’autorità di controllo, sia di fronte ai tribunali ordinari nazionali, se si ritiene che i diritti di un interessato siano stati violati in seguito al trattamento.

Con riguardo a questa disposizione, la dottrina prevalente ha ritenuto che per attribuirsi un mandato istituzionale ex lege dovrebbe darsi esito positivo alle stringenti verifiche non soltanto statuarie, ma anche sostanziali, relativamente a quelle caratteristiche che l’art. 80, paragrafo 1, richiama.

L’art. 84, infine, prevede che gli Stati membri stabiliscono le norme relative alle altre sanzioni per la violazione del Capo VIII del Regolamento, in particolare con riguardo a quelle violazioni che non sono soggette alle sanzioni amministrative di cui all’art. 83 dello stesso Regolamento.

La vicenda del caso in analisi

La vicenda sottoposta alla CGUE ha avuto origine dalla creazione di un’applicazione denominata “App-Zentrum” da parte della società Meta Platforms Ireland (“Società”), finalizzata ad offrire giochi gratuiti agli utenti di social network. La suddetta App consentiva l’acquisizione di dati personali e, non solo, di procedere alla pubblicazione degli stessi a seconda delle vincite e dei punteggi totalizzati da parte degli utenti.

Sul punto, l’Unione federale (“Unione”) – associazione dei consumatori tedesca – ravvisava che le informazioni fornite agli utenti non fossero in conformità con quanto disciplinato dalla normativa sulla protezione dei dati e su quella a tutela del consumatore. In particolare, l’Unione sosteneva che il consenso non fosse validamente acquisito, oltre che le informazioni fossero da ritenersi sleali nei confronti dei consumatori.

Pertanto, l’Unione federale proponeva azione inibitoria di fronte al Tribunale del Land di Berlino contro la Società, pur in assenza di una violazione concreta del diritto alla tutela dei dati di un interessato e di un mandato a lui conferito. Sul punto, il giudice del rinvio in Cassazione, di fronte al quale è stato proposto ricorso contro la sentenza di accoglimento dell’azione, dubitava circa la ricevibilità dell’azione dell’Unione, nei termini di legittimazione attiva ad agire, alla luce dell’applicazione degli artt. 80, paragrafi 1 e 2, nonché dell’art. 84, paragrafo 1 del GDPR, e, pertanto, agiva di fronte alla CGUE su rinvio pregiudiziale.

Conclusione: l’interpretazione della CGUE dell’art. 80 del GDPR

Considerato quanto premesso, il rinvio pregiudiziale verteva principalmente sulla questione se un’associazione di tal genere – ossia quella che agisce a tutela dei diritti dei consumatori – possa agire contro una società in assenza di un mandato che le sia stato conferito ed indipendentemente dalla violazione di specifici diritti degli interessati.

La Commissione della CGUE ha ritenuto che, invero, la questione dipendesse dalla sola interpretazione dell’art. 80, paragrafo 2 del GDPR, alla luce del fatto che il paragrafo 1 dell’art. 80 presuppone la concessione di un mandato e che tale circostanza non riguardasse il caso di specie e che l’art. 84 del GDPR riguardasse l’applicazione delle sanzioni, aspetto che, in ogni caso, non era stato oggetto di discussione.

La Corte ha osservato che, anche in forza del margine di discrezionalità riconosciuto agli Stati membri nell’attuazione della disciplina europea secondo anche quanto previsto dall’art. 288 del TFUE in combinato disposto con i considerando 9, 10 e 13 del GDPR, la disciplina del Regolamento non ostava con la disciplina nazionale, rientrando nel predetto margine di discrezionalità. Per la precisione, la disciplina nazionale, difatti, prevede la legittimazione ad agire da parte delle associazioni dei consumatori a tutela della protezione dei dati.

Nella sua analisi, la Corte ha ritenuto che l’Unione, in qualità di associazione dei consumatori, fosse in possesso di quei requisiti di cui all’art. 80 del GDPR. In primo luogo, l’Unione rientra in quella nozione di organismo, organizzazione e associazione, senza scopo di lucro, costituita secondo il diritto interno e avente obiettivi statutari di pubblico interesse ed attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali. Difatti, l’Unione persegue un obiettivo di interesse pubblico, consistente nell’assicurare i diritti e le libertà degli interessati nella loro qualità di consumatori, correlandosi tale finalità con la protezione dei dati personali di questi ultimi.

In secondo luogo, l’Unione agisce nella misura in cui ritenga che i diritti di cui un interessato gode siano stati violati in seguito al trattamento dei dati personali. La Corte precisava, nello specifico, che non è necessario che la violazione sia concreta, ma esclusivamente che vi sia un trattamento di dati contrario a disposizioni del Regolamento e che, pertanto, la violazione possa essere potenziale.

A valle di tale riflessione, la Corte ha ritenuto che il fatto di legittimare delle associazioni a tutela dei consumatori, come nel caso di specie l’Unione federale, ad instaurare, mediante un meccanismo rappresentativo, azioni intese a far cessare trattamenti di dati contrari alle disposizioni del Regolamento, indipendentemente dalla violazione dei diritti di una persona individualmente e concretamente pregiudicata dalla violazione, contribuisse – in modo incontestabile – a “rafforzare i diritti degli interessati e ad assicurare loro un elevato livello di protezione”. Anzi, la Corte ha aggiunto che il ricorso da parte di un’associazione potesse ritenersi ancora più efficace rispetto all’azione di un singolo individuo.

Pertanto, posto quanto sopra riportato, la Corte ha concluso che l’art. 80 GDPR deve essere interpretato nel senso che non osta ad una normativa nazionale che consente ad un’associazione di tutela degli interessi dei consumatori di agire in giudizio, in assenza di un mandato che le sia stato conferito per quel determinato scopo ed indipendentemente dalla violazione di specifici diritti degli interessati, qualora il trattamento dei dati in questione sia idoneo a pregiudicare i diritti riconosciuti dal GDPR agli interessati.

Si ritiene chela decisione della CGUE abbia indubbiamente contribuito ad innovare l’interpretazione dell’art. 80 del GDPR chiarendone l’ambito di applicazione e configurando la concreta possibilità di estensione della legittimazione ad agire a tutela dei dati personali.

Fabiola Iraci Gambazza

1 A titolo esemplificativo, in Italia, tale requisito può essere soddisfatto con l’iscrizione nel registro unico nazionale del terzo settore, ai sensi dell’art. 22 del D. lgs. n. 117/2017.

L'articolo La Corte di Giustizia sui mezzi di ricorso previsti dal GDPR: anche le associazioni dei consumatori possono agire per la protezione dei dati personali proviene da E-Lex.

Utilizzo di algoritmi valutativi nelle scuole: rating reputazionale sotto la lente del Garante privacy

Con un comunicato del 3 maggio 2022, il Garante per la protezione dei dati personali ha inviato una richiesta di informazioni all’Associazione Crop News Onlus, operante nel settore del rating “reputazionale”, che avrebbe promosso un progetto per sperimentare, nei confronti degli studenti, il rating “reputazionale” elaborato sulla base di algoritmi dalla Piattaforma Mevaluate.

Sul tema dell’utilizzo di piattaforme per l’elaborazione di profili reputazione, peraltro, il Garante Privacy si era espresso con il provvedimento n. 488 del 2016, ritenendo che i trattamenti di dati personali effettuati dal titolare della piattaforma oggetto di verifica da parte dell’Autorità non fossero conformi con gli artt. 2, 3, 11, 13, 23, 24 e 26 dell’ex Codice Privacy.

Il Garante, considerata la delicatezza del progetto che si rivolge a soggetti particolarmente vulnerabili (studenti e minori), ha chiesto all’Associazione di far pervenire entro 30 giorni ogni informazione utile alla valutazione del trattamento di dati effettuato.

Leggi il comunicatoLeggi il provvedimento

Il Garante Privacy chiede maggiori garanzie sulla piattaforma per i referendum online

Il Garante per la protezione dei dati personali ha fornito un parere non favorevole al Ministero per l’innovazione tecnologica sullo schema di Dpcm che fissa le regole della piattaforma per la raccolta delle firme per referendum e progetti di legge.

L’Autorità ritiene che siano troppi i profili critici emersi dall’esame di un provvedimento che incide su istituti di democrazia diretta costituzionalmente garantiti, quali appunto i referendum.

Il testo sottoposto all’Autorità, infatti, risulta attualmente privo di adeguate tutele per il pieno rispetto dei diritti e delle libertà fondamentali dei cittadini e, per tale ragione, ha indicato al Ministero una dettagliata serie di condizioni e osservazioni alle quali attenersi, al fine di scongiurare il rischio che si verifichino trattamenti di dati personali non conformi alla normativa vigente.

Leggi il provvedimento

Il Garante Privacy sanziona un ente di ricerca pubblico per l’inadeguatezza delle misure di sicurezza a protezione delle password

Con il provvedimento n. 46 del 2022, il Garante per la protezione dei dati personali ha applicato nei confronti di un ente di ricerca pubblico, titolare del trattamento, una sanzione di € 6.000,00, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f e 32 del Regolamento (UE) 2016/679.

Dal provvedimento si evince che se il titolare del trattamento è tenuto ad individuare le migliori misure a protezione delle password, in ossequio al principio di responsabilizzazione, il fatto di non adottare neanche le misure contenute nell’Allegato B del Codice o nella Circolare n. 2/2017 dell’AgID, precedenti al Regolamento UE (2016/679), non può che comportare il rischio, per il titolare del trattamento, di vedersi irrogata una sanzione da parte del Garante Privacy.

Leggi il provvedimento

Telemarketing: nuovo registro pubblico delle opposizioni

Il 13 aprile 2022 è entrato in vigore il d.p.r. 26/2022, vale a dire il regolamento di riforma del registro pubblico delle opposizioni (RPO), che sarà operativo dal 27 luglio 2022.

Il nuovo RPO amplia il suo originale ambito di iscrizione e modifica, di conseguenza, le modalità con cui società e operatori potranno svolgere attività di telemarketing.

Tra le principali novità si segnalano:

• l’inclusione nella definizione di “contraente” anche delle persone giuridiche, degli enti e delle associazioni;
• estensione dell’ambito di applicazione anche ai numeri telefonici fissi, siano essi presenti in elenchi pubblici o meno, ai numeri telefonici mobili e agli indirizzi postali;
• estensione del diritto di opposizione alle forme di marketing svolte mediante telefonate automatizzate, ossia effettuate in via automatizzata senza l’intervento di un operatore.

Leggi il decreto

Il Garante Privacy sanziona un Responsabile del trattamento per l’inadeguatezza delle misure di sicurezza adottate

L’Autorità ha ingiunto una sanzione pecuniaria di € 10.000,00 esclusivamente nei confronti di un Responsabile del trattamento, una società fornitrice di software, per la violazione dei principi di cui agli artt. 5, par. 1, lett. f) e 32 del Regolamento (UE) 2016/679 (di seguito “GDPR” o “Regolamento”), a seguito di una violazione dei dati personale concernente i dati contenuti in una piattaforma utilizzata per la gestione delle contravvenzioni al Codice della strada.

Secondo l’Autorità, non si ravvisavano i presupposti per adottare un provvedimento nei confronti del titolare del trattamento, un ente pubblico, poiché il responsabile del trattamento era risultato inadempiente all’obbligo di prevedere misure di sicurezza adeguate sulla base del contratto stipulato con il titolare del trattamento. Si deve ricordare, infatti, che l’art. 28 del GDPR consente al titolare del trattamento di affidare un trattamento a terzi soggetti che presentino le competenze per adottare adeguate misure di sicurezza.

Si tratta di una pronuncia dalla portata decisamente innovativa se si considera che, in linea generale, le sanzioni del Garante sono rivolte principalmente a Titolari del trattamento o, al più, in maniera congiunta a Titolari e Responsabili del trattamento.

Leggi il provvedimento

L'articolo What’s new in Italy on Data Protection<BR> n.4 – Maggio 2022 proviene da E-Lex.

Giovanni Maria Riccio

Giovanni Maria Riccio sarà relatore su intelligenza artificiale, arte e diritto d’autore nell’ambito del Catania Book Festival – Fiera Internazionale del Libro e della Cultura, sabato 7 maggio, alle ore 11.

L’evento vedrà la partecipazione di numerose personalità del mondo della Cultura quali, fra le tante, Francesca Michielin, Paolo Calabresi, Lisa Ginzburg, Jonathan Bazzi, Maura Gancitano, Andrea Colamedici, Peter Gomez e rappresentanti di importanti realtà istituzionali e associative come l’Università degli Studi di Catania, Amnesty International, Arcigay.
Ulteriori informazioni qui: siciliaeventi.org/evento/catan…

L'articolo Il Prof. Giovanni Maria Riccio al Catania Book Festival proviene da E-Lex.

Ho avuto l’opportunità di visitare il Centro Operazioni in Rete della nostra #Difesa e di intervistare il generale Antonio Scalese, persona di grandi qualità che ringrazio per la disponibilità.

Ho potuto vedere la #control#room, parlare con gli addetti, farmi spiegare il loro lavoro e visitare un #Cert all’avanguardia a giudicare dagli strumenti che utilizza.
Bello è stato vedere #Marina, #Aviazione, #Esercito e #Carabinieri lavorare insieme alla protezione delle infrastrutture cibernetiche militari in un periodo così complesso.

Lo racconteremo nei prossimi mesi in televisione a #Codice in una puntata tutta dedicata alla #cybersecurity e alla #guerra#elettronica con molti ospiti del mondo dell’industria, dell’Università e delle Istituzioni.

Parleremo anche di #disinformazione#Osint#autodifesa#digitale#UAV e #APT

Grazie Salvatore Verde

Stay Tuned! #RaiUno

dicorinto.it/articoli/banche-e…

Venerdì 6 maggio presso l’Aula Magna del Dipartimento di Scienze Politiche e della comunicazione dell’Università di Salerno, nell’ambito del progetto #smedataII (organizzato da Università degli studi Roma TRE e E-Lex Studio Legale con il patrocinio di The Italian Data Protection Authority), si terrà un’iniziativa di formazione sul GDPR per le piccole e medie imprese.

Tra i relatori figurano gli avvocati Giovanni Maria Riccio, Ariella Fonsi e Francesco Laviola dello studio E-Lex.

Smedata II è un progetto internazionale che mira a garantire l’effettiva applicazione del Regolamento Generale sulla Protezione dei Dati Personali attraverso la sensibilizzazione, la moltiplicazione della formazione e lo sviluppo sostenibile delle capacità per le PMI e le professioni legali.
Il programma dell’evento di mercoledì è fitto di interventi su temi cruciali per le PMI.

Per seguire l’evento in presenza presso la sede di Salerno è possibile iscriversi qui: lnkd.in/dHw2bHZj

Programma completo: Locandina_Salerno_SMEDATA relatori

Per ulteriori informazioni sul progetto: giurisprudenza.uniroma3.it/ric…

L'articolo Giovanni Maria Riccio, Ariella Fonsi e Francesco Laviola relatori a Smedata II proviene da E-Lex.

Ho avuto l’opportunità di visitare il Centro Operazioni in Rete della nostra #Difesa e di intervistare il generale Antonio Scalese, persona di grandi qualità che ringrazio per la disponibilità.

Ho potuto vedere la #control#room, parlare con gli addetti, farmi spiegare il loro lavoro e visitare un #Cert all’avanguardia a giudicare dagli strumenti che utilizza.
Bello è stato vedere #Marina, #Aviazione, #Esercito e #Carabinieri lavorare insieme alla protezione delle infrastrutture cibernetiche militari in un periodo così complesso.

Lo racconteremo nei prossimi mesi in televisione a #Codice in una puntata tutta dedicata alla #cybersecurity e alla #guerra#elettronica con molti ospiti del mondo dell’industria, dell’Università e delle Istituzioni.

Parleremo anche di #disinformazione#Osint#autodifesa#digitale#UAV e #APT

Grazie Salvatore Verde

Stay Tuned! #RaiUno

Mercoledì 4 maggio, nell’ambito del progetto #smedata II (organizzato da Università degli studi Roma TRE e E-Lex Studio Legale con il patrocinio di The Italian Data Protection Authority), si terrà un’iniziativa di formazione sul GDPR per le piccole e medie imprese.

Tra i relatori figurano gli avvocati Ernesto Belisario, Stefano Aterno e Marilara Coppola dello studio E-Lex.

Smedata II è un progetto internazionale che mira a garantire l’effettiva applicazione del Regolamento Generale sulla Protezione dei Dati Personali attraverso la sensibilizzazione, la moltiplicazione della formazione e lo sviluppo sostenibile delle capacità per le PMI e le professioni legali.
Il programma dell’evento di mercoledì è fitto di interventi su temi cruciali per le PMI.

Per seguire l’evento in presenza presso la sede di Roma Tre è possibile iscriversi qui: https://lnkd.in/dHw2bHZj

Questo, invece, è il link per collegarsi in streaming: lnkd.in/d2B_hi3j

Programma completo: Locandina_Roma_SMEDATA

Per ulteriori informazioni sul progetto: giurisprudenza.uniroma3.it/ric…

L'articolo Ernesto Belisario, Stefano Aterno e Marilara Coppola relatori a Smedata II proviene da E-Lex.

Finalità e contesto: Il PNRR

Il Piano nazionale di ripresa e resilienza (noto anche come “PNRR”) è lo strumento che dovrà dare attuazione, in Italia, al programma Next Generation EU. Lo sforzo di rilancio dell’Italia delineato dal Piano si sviluppa intorno a tre assi strategici condivisi a livello europeo: digitalizzazione e innovazione, transizione ecologica, inclusione sociale.

Il Piano si articola in sedici “Componenti” raggruppate in sei “Missioni”: “Digitalizzazione, innovazione, competitività e cultura”, “Rivoluzione verde e transizione ecologica”, “Infrastrutture per una mobilità sostenibile”, “Istruzione e ricerca”, “Inclusione e coesione”, “Salute”.

Grande attenzione, in generale, viene riservata alla digitalizzazione della pubblica amministrazione.

Gli avvisi destinati ai comuni

Il 4 aprile, sulla piattaforma “PA digitale 2026”, sono stati pubblicati i primi tre avvisi previsti dal PNRR destinati ai comuni per rafforzare la diffusione:

– dell’identità digitale SPID/CIE;

– del sistema di pagamento pagoPA;

– dell’app IO.

Successivamente, poi, tra il 19 e 26 aprile, sono stati pubblicati due ulteriori avvisi, destinati ai medesimi enti, con l’intento di:

– rafforzare le attività di migrazione al cloud e

– il miglioramento della user experience del cittadino nei servizi pubblici.

L’investimento, finalizzato dunque alla diffusione di strumenti già consolidati, è, nel complesso, di 1290 milioni di euro.

In particolare, 100 milioni per favorire la diffusione dell’identità digitale, 200 milioni per rafforzare il sistema di pagamento pagoPA, 90 milioni per l’attivazione di nuovi servizi sull’app IO, 500 milioni per l’implementazione di un piano di migrazione al cloud delle basi dati e 400 milioni per realizzare esperienze digitali semplici e accessibili per i cittadini.

Si tratta delle misure previste dalla Missione 1 Componente 1 del PNRR (Digitalizzazione, innovazione e sicurezza nella PA), investimento 1.4.3 (pagoPA e app IO) 1.4.4 (identità digitale), 1.2 (Abilitazione e facilitazione migrazione al Cloud) e 1.4.1. (Esperienza del cittadino nei servizi pubblici).

Il 40% delle risorse è destinato ai Comuni del Sud (Abruzzo, Basilicata, Campania, Calabria, Molise, Puglia, Sardegna, Sicilia), nel rispetto della priorità trasversale del PNRR relativa al superamento dei divari territoriali.

L’Avviso Misura 1.4.4 “Estensione dell’utilizzo delle piattaforme nazionali di identità digitale – SPID CIE”1ha per oggetto la piena adozione delle piattaforme di identità digitale attraverso il raggiungimento dei seguenti obiettivi:

• Adesione alla piattaforma di identità digitale SPID;
• Adesione alla piattaforma di identità digitale CIE;
• Erogazione di un piano formativo su disposizioni normative, linee guida e best practies in caso di integrazione a SPID e CIE con protocollo SAML2.

È inoltre raccomandata l’integrazione al nodo italiano eIDAS.

L’importo riconoscibile alle pubbliche amministrazioni per l’implementazione del pacchetto per l’Identità Digitale è di 14.000,00 euro.

L’Avviso Misura 1.4.3 “Adozione piattaforma pagoPA”2 ha ad oggetto la migrazione e attivazione dei servizi di incasso sulla Piattaforma pagoPA, seguendo una logica di “pacchetti” che identificano il numero minimo di servizi da integrare a fronte di una singola adesione all’Avviso con il fine di agevolare l’integrazione cd. “full” per ciascun Soggetto Attuatore.

In particolare, è previsto un pacchetto minimo di servizi di incasso da migrare sulla piattaforma, in base alla dimensione del comune – minimo 3 servizi per i comuni sotto i 20mila abitanti; minimo 5 servizi per i comuni oltre 20mila abitanti – fino alla migrazione di tutti i servizi. Il listino voucher è diviso in cinque fasce: per ogni singolo servizio 607 euro ai comuni fino a 5mila abitanti, 857 euro fino a 20mila abitanti, 1.821 fino a 100mila, 2.747 euro fino a 250mila e 7.967 oltre 250mila.

L’Avviso Misura 1.4.3 “Adozione app IO”3 ha come obiettivo la migrazione e l’attivazione dei servizi digitali dell’ente sull’APP IO nel rispetto dei “pacchetti minimi” con limite massimo di 50 servizi finanziabili. In questo caso i voucher, sempre per singolo servizio attivato, vanno da 243 euro per i comuni fino a 5.000 abitanti a 3.187 euro per le amministrazioni con più di 250mila abitanti.

L’Avviso Investimento 1.2 “Abilitazione al cloud per le PA Locali”4ha ad oggetto l’implementazione di un piano di migrazione al cloud delle basi dati e delle applicazioni e servizi dell’amministrazione. In particolare, il comune potrà effettuare tali attività, avvalendosi di due modelli di migrazione:

• Trasferimento in sicurezza dell’infrastruttura IT;
• Aggiornamento in sicurezza di applicazioni in cloud.

La prima modalità consente la migrazione al Cloud dell’infrastruttura in uso, replicando il servizio esistente, senza la necessità di reingegnerizzare le applicazioni (c.d. strategia “Lift&Shit” o “Rehost”), con minore aggravio per l’amministrazione.

La scelta del modello di migrazione determina, inoltre, l’entità dell’importo finanziabile.

Ferma l’aderenza al criterio dei pacchetti minimi per ciascuna delle 7 fasce individuate (vanno da un minimo di 7 servizi ad un massimo di 9 – anche con modalità differenti – per comuni fino a 2.500 abitanti, fino un minimo di 17 ad un massimo di 21 per comuni con più di 250.000), anche l’importo dei voucher è definito in funzione della classe di popolazione residente nel comune istante. In particolare, l’importo dei voucher, in questo caso, per ogni singolo servizio migrato con modello sub a) va da 1.528 euro (per comuni con meno di 2.500 abitanti) a 46.634 euro (per comuni con più di 250.000 abitanti) e con il modello sub b) da 4.603 euro (per comuni con meno di 2.500 abitanti) a 75.816 euro (per comuni con più di 250.000 abitanti).

L’importo totale sarà definitivamente calcolato sulla base della sommatoria dei servizi che saranno migrati. Inoltre, insieme al totale disponibile per i servizi, all’Ente sarà aggiunto al calcolo 1 anno di canone di servizio cloud per un importo massimo erogabile determinato, altresì, secondo le fasce demografiche definite.

L’Avviso Misura 1.4.1 “Esperienza del Cittadino nei servizi pubblici”5ha ad oggetto la realizzazione di interventi di miglioramento dei siti web delle PA e dei servizi digitali per il cittadino, secondo modelli e sistemi progettuali con interfacce coerenti, fruibili e accessibili. Il modello di riferimento, messo a disposizione all’indirizzo designers.italia.it/modello/co… comprende due strumenti fondamentali: l’architettura dell’informazione del sito comunale e i template html del sito comunale.

L’avviso consente diverse modalità di adesione:

• Pacchetto cittadino informato: Il soggetto attuatore dovrà obbligatoriamente implementare il modello citato per il sito web. Per il riconoscimento dell’obiettivo conseguito, l’Ente dovrà, infatti, provvedere a rendere disponibile il proprio sito comunale e attenersi ai criteri di conformità descritti.
• Pacchetto cittadino attivo: Definisce la possibilità di selezionare, a seconda della dimensione del comune, un numero massimo di servizi da implementare, selezionabili dalla lista di servizi digitali per il cittadino. In questo caso, l’Ente dovrà provvedere al ridisegno dei servizi scelti, utilizzando le tipologie di flussi di interfaccia rappresentanti le principali interazioni del cittadino con il comune (Vantaggi economici, iscrizione graduatoria, permessi e autorizzazioni, pagamenti dovuti, servizi a pagamento) o comunque garantire i criteri di conformità descritti dall’avviso.

L’importo finanziabile è determinato secondo le tipiche fasce demografiche, per un totale tra 28.902 euro (per i comuni fino a 5mila abitanti) e 500.243 euro (per i comuni con più di 400mila abitanti), in caso di rifacimento del sito web (sub a) e tra 12.755 euro (per i comuni fino a 5mila abitanti) e 77.684 euro (per i comuni con più di 400mila abitanti) in caso di singoli servizi implementati (sub b).

La presentazione della domanda

La candidatura può essere presentata esclusivamente in modalità telematica su PA digitale 2026, previa registrazione alla piattaforma.

Solo una volta registrati, sarà possibile aderire agli avvisi, sempre tramite la piattaforma, accedendo all’area riservata e previa autenticazione tramite identità digitale. L’accesso tramite identità digitale (SPID, CIE) è obbligatorio sia per il rappresentante legale dell’amministrazione che per eventuali altri utenti della piattaforma relativi all’amministrazione di riferimento. Alla fine della procedura di candidatura il sistema permette di creare la domanda di partecipazione, che deve essere firmata digitalmente dal legale rappresentante della PA e ricaricata in piattaforma. Alla PEC scelta in fase di primo accesso, l’ente riceverà una ricevuta di trasmissione.

Non è necessario presentare progetti e sono, inoltre, finanziabili anche attività già poste in essere, purché siano state avviate a decorrere dal 01 aprile 2021 (dal 01 febbraio 2020 per gli Avvisi PagoPa, Cloud, ed Esperienza del Cittadino) e finanziate con risorse proprie. Una tale previsione è conforme all’obbligo di assenza del c.d. doppio finanziamento ai sensi dell’art. 9 del regolamento (UE) 2021/241.

Salvo per l’avviso 1.2, per il quale è previsto come termine di scadenza il 22 luglio 2022, c’è tempo fino al 2 settembre 2022 per candidare la propria amministrazione.

Dalla pubblicazione dell’avviso in poi sono previste delle finestre temporali di 30 giorni al termine delle quali il Dipartimento provvederà a finanziare le istanze pervenute nel periodo di riferimento.

I primi esiti saranno pubblicati dal 3 maggio 2022 (18 maggio per l’avviso 1.2).

L’erogazione dei fondi

L’erogazione dei fondi avverrà per ordine di prenotazione con la modalità voucher, come previsto per le misure che prevedono l’adozione di soluzioni standard.

Ad ogni ente aderente, dunque, verrà assegnato un voucher economico predefinito, il cui ammontare sarà determinato sulla base di due variabili: la dimensione dell’ente e le scelte fatte in fase di candidatura (per esempio, il numero di servizi da attivare su app IO o da migrare su pagoPA).

L’erogazione delle risorse sarà poi legata al raggiungimento di determinati obiettivi.

Come anticipato, non occorre presentare progetti in fase di candidatura. Sarà sufficiente, infatti, a conclusione dell’iter descritto, presentare al Dipartimento la domanda di erogazione in forma semplificata, a partire dal 15 ottobre 2022.

Il processo di rendicontazione, poi, sarà quindi alleggerito, non sarà necessario rendicontare le singole spese effettuate per ottenere i fondi.

Francesca Ricciulli e Antonello Palasciano

1 Avviso consultabile all’indirizzo: areariservata.padigitale2026.g…

2 Avviso consultabile all’indirizzo: areariservata.padigitale2026.g…

3Avviso consultabile all’indirizzo: areariservata.padigitale2026.g…

4Avviso consultabile all’indirizzo: areariservata.padigitale2026.g…

5Avviso consultabile all’indirizzo: areariservata.padigitale2026.g…

L'articolo 1290 MILIONI DEL PNRR PER LA DIGITALIZZAZIONE DELLA PA – Cinque avvisi destinati alla transizione al digitale dei comuni proviene da E-Lex.