Source: https://www.slideshare.net/magicotore/hr-paradigma
Timestamp: 2018-03-23 09:26:22+00:00

Document:
Francesca Bosco, Cybercrimes - Bic... by Andrea Rossetti 4290 views
5. sergio fumagalli il gdpr e le ... by EuroPrivacy 497 views
, Certified Data Protection Officer - ICT Security - GRC Quality Assurance - AUDIT - Cloud Regulatory Advisor
1. Privacy : un nuovo paradigma per gli HR Privacy : un nuovo paradigma per gli HR Excursus accademico e competenze Ricercatore e docente universitario Biotecnologia e QA biomedicale Total Quality Manamentt - Auditor Data protection officer Privacy & Safety Blogger Company ICT Security advisory Durante il seminario a) Evoluzione della privacy a) Vibra call / cell silenziato Accreditamenti e affiliazioni Expertise & skills  Scientific Ghost-writer  Lead Auditor – ICT Governance  Lead Analyst – IT Security, Risk Mngmt, OHSAS Integrator & Advisor on 231, Dlg191/07, Dlg81/08  Data protection officer, CDA  Privacy & Safety Blogger Incontro di informazione e aggiornamento Certificazioni        b) Requisiti di compliance b) Ridondanza intenzionale EMAS – EMAS2 ISO 14001:2005 ISO 20000:2010 ISO 27001:2009 AM ISACA TÜV DPO (ISO 17024:2005) Ref. FEDERPRIVACY c) Rischi sanzionatori c) Quali interruzioni possibili d) Discussione : esperto risponde d) Annotazioni per la discussione Privacy : un nuovo paradigma per gli HR Codice della Privacy Privacy : un nuovo paradigma per gli HR Decreto L.vo 196/03 Novità che citiamo solamente ... Novità Avvocatura – provv. Disciplinari Stampa ed editoria c) Registro Pubblico delle Opposizioni d) Incontro di informazione e aggiornamento Accordi deontologici – Ordini profess. e) a) Evoluzione della privacy b) Requisiti di compliance Dati ultra sensibili – indagini giurisprudenz. f) Sweet Thirteen: bambini più tutelati più h) c) Rischi sanzionatori Studi statistici – epidemiologia e censimenti g) Investigazioni – Pari rango d) Discussione : esperto risponde …[ come il primo modello di codificazione organica e completa della della materia considerata. .. non solo vale a dare attraverso un nucleo di nucleo 185 articoli un rigoroso inquadramento alla disciplina della riservatezza, molteplicità di profili innovativi, direttamente connessi al connessi quadro comunitario e internazionale Decreto L.vo 196/03 Codice della Privacy Dal 1995 … SalvoReina Nuovo Codice della Privacy SalvoReina Casi studio: in caso di peculiari eccezioni trattiamo in dettaglio nella discussione studio: discussione Codice della Privacy Ad oggi ! SalvoReina a) b) SalvoReina       il nuovo diritto, così come concepito dalla Carta di Nizza(2000), prima, Carta di Lisbona (2007) e, ora, dal e, Codice sui dati personali, sembra il prodotto proprio del "diritto generale della personalità“ legato personalità“ Diritti fondamentali. Privacy : non corrisponde necessariamente ad un obbligo di confidenzialità o riservatezza. Nel contesto della direttiva comunitaria, “privacy” indica la disciplina per il trattamento dei dati. Confidenzialità e riservatezza: un diritto non una virtù Una nuova generazione di norme con giurisprudenza E sviluppo : Protocollo Informatico e Agenda Digitale Draft attuativi : 10 Gennaio 2013 1
2. Decreto L.vo 196/03 Nuovo Codice della Privacy SalvoReina Nuovo Codice della Privacy SalvoReina Codice della Privacy Decreto L.vo 196/03 NON fuoco alla persona ! Nuovo Codice della Privacy Nuovo Codice della Privacy SalvoReina Decreto L.vo 196/03 SalvoReina Nuovo Codice della Privacy Una difficile migrazione evolutiva Decreto L.vo 196/03 Decreto L.vo 196/03 SalvoReina Fuoco sulla persona… in che senso Individuo sociale e non più individuo in quanto singolo,… [ il centro di attrazione di una serie di posizioni (variamente definite come diritti civili, diritti sociali, diritti di partecipazioni, ecc.) le quali presuppongono logicamente il rapporto essenziale individuo-società individuoe si sviluppano verso il soggetto nella sua specifica qualità di partecipe di determinate comunità, per le funzioni che in esse egli deve esplicare. Paradosso o paradigma : individuo o società ? Nuovo Codice della Privacy IL DPO FA DA TRAMITE PER HRM NEL “COACHING” DI INTEGRAZIONE LEX 675/96 318/99 Trattamento Comunicazione Evoluzione qualitativa, tecnologica e culturale risolto dal NUOVO REGOLAMENTO EUROPEO. Un problema di competenze multidisciplinari Nuovo Codice della Privacy Decreto L.vo 196/03 Binding Corporate Rules, SLA e PLA, 231, Dir. 95/46/CE, resp. contratti, Privative clauses 196/03 Detenzione EDUCAZIONE E ATTITUDINE PER AUTOCONTROLLO E AUTOREGOLAMENTAZIONE SalvoReina Nuovo Codice della Privacy SalvoReina Adeguamento e non ritardo tecnologico E chi controlla ? • • • • ICT Hw/sw Hi-Tech HiIT Security IT Network Internet WEB 2.0 TQM • • ISO 9000 CMM IT COBIT CDA Business Opt LeaderShip Oltre 600 provvedimenti Oltre 400 controlli Oltre 360 ricorsi esaminati Circa 4000 reclami, segnalazioni considerati 43 violazioni di rilevanza giudiziaria 3 milioni di Euro riscosse al primo trimestre 2010 Dati ufficiali del garante nella Relazione del 2009 Anomalia italia : inflazione di avvocati, giurisprudenza forense 2
3. Decreto L.vo 196/03 SalvoReina Nuovo Codice della Privacy SalvoReina Nuovo Codice della Privacy Codice quale diritto fondamentale della persona, parallelo col più generale diritto alla riservatezza. Il legislatore italiano si adegua al quadro della Carta dei diritti fondamentali del cittadino europeo ha segnato una dualità di diritti nel Capo II della Libertà • sia l'art. 7 Rispetto della vita privata e della vita familiare (… Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni); • sia l'art. personale : Quale percorso per approcciare la formazione e la sensibilizzazione … Nuovo Codice della Privacy Nuovo Codice della Privacy Decreto L.vo 196/03 SalvoReina Decreto L.vo 196/03 8 Protezione dei dati di carattere Da che parte siamo? Da che parte sono gli altri? SalvoReina Nuovo Codice della Privacy SalvoReina Prima di tutto ordine … e poche nozioni fondamentali Tipologie di Trattamento : Oggetto del Trattamento : qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di senza mezzi elettronici o comunque automatizzati qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente mediante riferimento a qualsiasi altra informazione. La raccolta, l’estrazione, la registrazione, il raffronto, l’organizzazione, l’utilizzo, il Titolo X del Codice italiano, concernente le comunicazioni elettroniche, racchiude una trama normativa di particolare efficacia e completezza, che consente di dare piena attuazione alla direttiva 2002/58/CE. i dati relativi al traffico; informazioni raccolte nei riguardi dell'abbonato o dell'utente; la identificazione della linea; i dati relativi alla ubicazione; le chiamate di emergenza; gli elenchi degli abbonati; le comunicazioni indesiderate; la conservazione dei dati di traffico per altre finalità garantire i diritti inderogabili delle persone nell'uso dei mezzi di mezz i comunicazione elettronica, stabilisce che sono fatte salve le limitazioni derivanti da esigenze ... della riservatezza e protezione protezione dei dati personali interazione fra due codici, l'uno delle comunicazioni e l'altro della protezione dei dati personali la cancellazione. Concetto di qualità e sicurezza legato all'etica ! Costi della non conformità ! ISO 18000 Nuovo Codice della Privacy Decreto L.vo 196/03 SalvoReina Decreto L.vo 196/03 la diffusione, diffusione Critica la cromatura di rischio a seconda delle implicazioni ICT SalvoReina Nuovo Codice della Privacy Comunicazione e diffusione del dato! la comunicazione, la selezione, Livellate le differenze della vecchia normativa : ULTRASENSIBILI il blocco, la modificazione, Dati sensibili, Giudiziari e Quasi-sensibili. Quasi- l’interconnessione, la consultazione, Nuovo Codice della Privacy Decreto L.vo 196/03 SalvoReina la conservazione, l’elaborazione, I dati personali si contrappongono ai dati anonimi: anonimi: il dato che in origine o a seguito di un trattamento non può essere associato ad un interessato identificato o identificabile Antesignana la Corte costituzionale tedesca che, nel 1984, dichiarò l'esistenza di "diritto diritto 1984 alla autodeterminazione informativa", meglio informativa definito come "diritto del singolo a decidere autonomamente quando e con quali limiti possono essere diffuse informazioni riguardanti la propria persona" o altrimenti come "diritto a decidere circa la rinuncia o il trattamento dei propri dati personali". IMPORTANTE NOVITA': DATI INUTILIZZABILI Si volta pagina! Forse… CAPO I REGOLE PER TUTTI I TRATTAMENTI Art. 11 (Modalità del trattamento e requisiti dei dati) 2. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati. Dati trattati in violazione alle regole non possono essere utilizzati utilizzati Ovvietà : importante che ci sia perché comporta l'autoblocco del dato, quindi una eventuale azione non ha bisogno di ulteriori decreti o provvedimenti specifici. Rif Art. 2050 cc Decreto del nuovo codice è una normativa di seconda generazione ( inibitoria e caducante ) Raccoglie le esperienze maturate in 6 anni di privacy con una miriade di provvedimenti emanati Un testo "ridondante" di notevole dimensione, tuttavia chiaro nelle nelle sue linee generali e certamente coerente nelle sue concezioni di adeguamento tecnologico 3
4. Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo Piccola novità: riscritta meglio rispetto alla 675 che era insufficiente. Titolo II DIRITTI DELL'INTERESSATO Art. 8 (Esercizio dei diritti) Coerentemente con Art. 1.1 l'interessato è posto come primo interesse rispetto alle disposizioni di trattamento Rilevante il potenziale onere dei Titolari per le informazioni "NON" ancora registrate. Il "riscontro" è oggetto di un apposito articolo che tiene conto delle esperienze maturate con la legge del '96. I DATI SENSIBILI SANITARI Artt 37 e 38 Nel caso in cui l'azienda tratti particolari classi di dati sanitari è richiesta l'adozione di misure di sicurezza molto rigorose Crittografia dei dati sensibili Conservazione dei dati sensibili in contenitori o locali di sicurezza Modalità sicure di trasporto (anche in senso di transazione informatica) In questo caso il DPS deve contenere ulteriori capitoli descrittivi di misure di sicurezza relative a questi presidi. Decreto Lg.vo 196/03 Lg.vo Nuovo Codice della Privacy Consulenza del DPO è strategica NOTIFICAZIONE AL GARANTE Prima frontiera di credibilità • Categoria e tipo di Dati • Categoria e tipo di Trattamento • Categoria e tipo di Interessato • Categoria e tipo di Modalità • Categoria e tipo di Finalità La profilazione standard non esiste ! Delicata alchimia per la interpretazione di merito ai fini della notificazione Si può ricorrere agli " intermediari" per la prassi (dettagli più avanti) Uova, zucchero, farina e acqua in pasticceria! Norma con implicazioni medico legali comunque applicabili Misure "idonee" (termine criticabile, forse adeguate?) Privato ha interesse all'immagine come valore aggiunto LE MISURE MINIME SONO RETAGGIO CULTURALE OBSOLETO Va valutato con attenzione perché puo' comportare problemi Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo a) ad agevolare l'accesso ai dati personali da parte dell'interessato, anche attraverso l'impiego di appositi programmi per elaboratore finalizzati ad un'accurata selezione dei dati che riguardano singoli interessati identificati o identificabili; b) a semplificare le modalità e a ridurre i tempi per il riscontro al richiedente, anche nell'ambito di uffici o servizi preposti alle relazioni con il pubblico. SalvoReina Decreto Lg.vo 196/03 Lg.vo 1. I diritti di cui all'articolo 7 sono esercitati con richiesta rivolta senza formalità al titolare o al responsabile, anche per il tramite di un incaricato, alla quale è fornito idoneo riscontro senza ritardo. SalvoReina Nuovo Codice della Privacy Nuovo Codice della Privacy Titolo II DIRITTI DELL'INTERESSATO Art. 10 (Riscontro all'interessato) 1. Per garantire l'effettivo esercizio dei diritti di cui all'articolo 7 il titolare del trattamento è tenuto ad adottare Idonee e sostenibili misure volte, in particolare: Diritti dell'interessato Titolo II DIRITTI DELL'INTERESSATO Art. 7 (Diritto di accesso ai dati personali ed altri diritti) 1. L'interessato ha diritto di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro registrati comunicazione in forma intelligibile. SalvoReina SalvoReina e) "dati giudiziari", i dati personali idonei a rivelare dati giudiziari provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale; SalvoReina SalvoReina Diritti dell'interessato • • • Art. 4 (Definizioni) Occhio all'occhio : consultazione interna personale pulizie, schermi receptions ecc. Ad una lettura attenta tutto si risolve individuando chi ha accesso accesso ai dati! Decreto L.vo 196/03 SalvoReina 1. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalit à perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opp ortune modalità che permettano di identificare l'interessato solo in caso di necessità. Nuovo Codice della Privacy Definizione basilare: DATI GIUDIZIARI Art. 4 (Definizioni) 1. Ai fini del presente codice si intende per: a) "trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, consultazione l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la comunicazione distruzione di dati, anche se non registrati in una banca di dati; Art. 3 (Principio nel trattamento dei dati) Decreto Lg.vo 196/03 Lg.vo Decreto L.vo 196/03 Definizione basilare: il trattamento PRINCIPI DI NECESSITA‘ DI IDENTIFICAZIONE e PROPORZIONALITA’ Nuovo Codice della Privacy Nuovo Codice della Privacy SalvoReina Decreto L.vo 196/03 SalvoReina Nuovo Codice della Privacy Riassuntivi e parziali che permettono di rivedere la compilazione compilazione 4
5. Decreto Lg.vo 196/03 Lg.vo Armonizzare i principi di semplificazione, efficacia e sostenibilità per la identificazione dei ruoli e delle competenze necessarie all'adozione di un sistema virtuoso e credibile di gestione della privacy Art. 4 lett. F : "titolare", la persona fisica, la persona giuridica, la giuridica pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni titolare in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; IL RESPONSABILE (Anche esterno) Possono essere nominati persone fisiche (interno azienda) o giuridiche (per servizi esternalizzati) esternalizzati) TITOLARE, RESPONSABILE E INCARICATO… Specifica poi l'Art. 30 comma 1 che : le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite. impartite 1. 2. Incaricati come persone fisiche La designazione degli incaricati via nomina è implicitamente obbligatoria, atteso che "solo" gli incaricati possono "solo" effettuare operazioni di trattamento 3. Anche il Responsabile può autonomamente nominare può (firmare) un incaricato (molto utile per le esternalizzazioni) esternalizzazioni) Nuovo Codice della Privacy Decreto L.vo 196/03 NOTIFICAZIONE INFORMATIVA CONSENSO E l'Amministratore di Sistema? SalvoReina SalvoReina Decreto Lg.vo 196/03 Lg.vo Art. 4, lett. H) si intende Sono incaricati "Le persone fisiche autorizzate a compie operazioni di trattamento del Titolare o dal Responsabile" Al responsabile devono essere analiticamente specificati per iscritto "compiti affidati dal Titolare" (co.3) e le "istruzioni" "compiti Titolare" (co.3) "istruzioni" indicano le responsabilità sulla base delle quali il Responsabile responsabilità dovrà operare (Art. 29 co.5) dovrà co.5) Un Responsabile NON può nominare un altro Responsabile può (chiarisce dubbi della L675) Decreto Lg.vo 196/03 Lg.vo L' INCARICATO Come si concretizza il rapporto tra Titolare e Responsabile e cosa vuol dire agire come "preposto al trattamento"? Più preciso all'Art. 29 comma 2. Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. Più preciso all'Art. 29 comma 1 come Il responsabile è designato dal titolare facoltativamente Nuovo Codice della Privacy Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo SalvoReina Art. 4, lett. g) si intende "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo SalvoReina SalvoReina IL RESPONSABILE (Anche esterno) Nuovo Codice della Privacy SalvoReina Persona giuridica e non solo fisica, altro Titolare implicano notevoli possibilità nei casi corporativi e consociate oltre ad un possibilità potenziale beneficio di corresponsabilità e logistica delle figure corresponsabilità del Responsabile e degli incaricati. (Art.29 e Art. 30) . • Il Titolare del trattamento • La nomina de Responsabile • La nomina / delega dell’ ADS dell’ • Designazione degli Incaricati Decreto Lg.vo 196/03 Lg.vo Decreto Lg.vo 196/03 Lg.vo IL TITOLARE FIGURE PROFESSIONALI E RUOLI ATTUATIVI E OPERATIVI Nuovo Codice della Privacy Nuovo Codice della Privacy SalvoReina Nuovo Codice della Privacy SalvoReina Decreto L.vo 196/03 SalvoReina Nuovo Codice della Privacy Adempimenti idonei / essenziali 1. Notificazione 2. Informativa per l'interessato ( praticamente necessaria) 3. Richiesta di consenso, correlata all'informativa Una figura critica che assume un ruolo critico e/o fondamentale in relazione all'inquadramento nel sistema di deleghe. Il più delle volte si tratta di un rapporto di esternalizzazione, più esternalizzazione, quindi più critico negli scopi e nelle convenzioni reciproche più Ma la tecnologia può aiutare o condannare, dipende sempre dal può DPS e dalle sue parti attuativa e operativa. La contitolarità permette di condividerne l’impianto e unificare gli contitolarità l’ intenti tra le diverse sedi ( ES. : stazioni ferroviarie) Un tavolino a tre gambe che presenta la immagine della organizzazione all'esterno. 5
6. La Notificazione al Garante La INFORMATIVA Confermate le vecchie disposizioni Confermate le vecchie disposizioni Art. 38 (Modalità di notificazione) 1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. 2. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. Nuovo Codice della Privacy Decreto L.vo 196/03 Consenso dove associato alla informativa deve mantenere coerenza e può essere "comunicato" contestualmente. può "comunicato" Nuovo Codice della Privacy SalvoReina Decreto Lg.vo 196/03 Lg.vo Art. 23 (Consenso) Una corretta informativa è il presupposto iniziale della legittimità legittimità del trattamento. Di fatto chiunque intraprenda un sistema di tutela dei dati personali la ritiene implicitamente necessaria SalvoReina Nuovo Codice della Privacy Sostanzialmente identico alla L 675/96 con un Maggiore dettaglio per discriminare i casi In cui il consenso non è necessario 1. L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a) le finalità e le modalità del trattamento cui sono destinati i dati; • b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere; d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; Una prassi articolata e potenzialmente problematica per il Titolare del trattamento con aspetti, formali tecnologici e burocratici cui sono legate altre scadenze e adempimenti Decreto Lg.vo 196/03 Lg.vo CONSENSO Art. 13 (Informativa) 2. La notificazione è validamente effettuata solo se è trasmessa per via telematica utilizzando il modello predisposto dal Garante e osservando le prescrizioni da questi impartite, anche per quanto riguarda le modalità di sottoscrizione con firma digitale e di conferma del ricevimento della notificazione. 3. Il Garante favorisce la disponibilità del modello per via telematica e la notificazione anche attraverso convenzioni stipulate con soggetti autorizzati in base alla normativa vigente, anche presso associazioni di categoria e ordini professionali. Nuovo Codice della Privacy SalvoReina Decreto Lg.vo 196/03 Lg.vo Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy SalvoReina Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy Misure Minime di Sicurezza CONSENSO COSA E' CAMBIATO? LE MISURE MINIME DI SICUREZZA OGGI IDONEE E SOSTENIBILI Come formalizzare correttamente a seconda degli interlocutori Art. 23 (Consenso) 3. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese iscritto all'interessato le informazioni di cui all'articolo 13. 4. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili. Trattamento dei dati personali "sensibili" con elaboratori in rete • • • L'elaborazione di un quadro di principi e di regole rivolto a segnare segnare il raccordo fra le dinamiche tecnologiche e la tutela dei diritti diritti fondamentali della persona costituisce il fattore basilare per ogni ciclo di sviluppo economico-sociale. economico- • • Attenzione alla potenziale perplessità: "documento per iscritto" e perplessità "documento iscritto" documento "in forma scritta" "in scritta" Misure Idonee/adeguate di Sicurezza Decreto Lg.vo 196/03 Lg.vo 196/03 Art. 31 (Obblighi di sicurezza) 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle tecnico specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso perdita non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. finalità raccolta Dichiarazioni di principio sulla natura dei dati e sulla tipologia in tipologia ragione della sostenibilità e del progresso tecnologico sostenibilità Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy Misure Minime di Sicurezza SalvoReina Decreto Lg.vo 196/03 Lg.vo DPS quindi solo associato al trattamento dei dati sensibili! SalvoReina Nuovo Codice della Privacy Quanto previsto alla lettera B Accesso autorizzato singolarmente o per gruppo di lavoro Documento programmatico della sicurezza deve contenere un Disciplinare Interno Amministratori di Sistema competenti, anche esterni ma comunque corresponsabili ! Provv. GU 45 Feb 2009 Provv. Misure Idonee di Sicurezza UNO SGUARDO MIRATO ALL'ALLEGATO B AUTENTICAZIONE: CAPO II MISURE MINIME DI SICUREZZA Art. 33 (Misure minime) 1. Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31, o più previsti da speciali disposizioni, i titolari del trattamento so no comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali. • • Trattamenti con strumenti elettronici (Art. 34) Trattamenti senza ausilio di strumenti elettronici (Art. 35) Protezione verso l'esterno ma anche all'interno! si intende una procedura automatica che consenta di identificare l'utente che richiede di accedere al Sistema Informativo Solitamente si associa un identificativo pubblico e una password segreta, ma sono ammesse credenziali biometriche, token o una combinazione di essi Le credenziali devono essere individuali (per incaricato) e gli identificativi devono essere associati biunivocamente e mai riasssegnati in fase di rinnovo Le password devono essere di almeno 8 caratteri, non devono essere banali e devono essere sostituite almeno ogni sei mesi (tre mesi per dati giudiziari/sensibili) Autenticazione non è un termine di legge (etimol. anglosassone) (etimol. Cosa vuol dire password non banali? Biunivocamente? Biunivocamente? 6
7. Decreto Lg.vo 196/03 Lg.vo ALL'ALLEGATO B (vediamo avanti dettaglio nella Sezione) Decreto Lg.vo 196/03 Lg.vo Misure Minime di Sicurezza UNO SGUARDO MIRATO ALL'ALLEGATO B Nuovo Codice della Privacy SalvoReina Nuovo Codice della Privacy SalvoReina Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy Misure Minime di Sicurezza AUTORIZZAZIONE: DOCUMENTO PROGRAMMATICO DI SICUREZZA Per "Autorizzazione informatica" si intende una procedura automatica che consenta di stabilire il diritto di un utente di accedere ad un dato o a un servizio, accordandogli o negandogli l'accesso Deve dare conto di: • Credenziali utente: qualcosa che sa, qualcosa che è, qualcosa che ha! Spieghiamo la PROFILAZIONE! MISURE PER DATI SENSIBILI E GIUDIZIARI Trattamenti effettuati Distribuzione dei compiti e delle responsabilità Analisi dei rischi per i dati soggetti a sensibilità (DLg Monti Semplificazione) sensibilità Accurata descrizione dei criteri di disaster recover Piano di formazione del personale secondo competenza Applicazione delle misure minime di sicurezza in caso di trattamenti svolti all'esterno della struttura Misure di crittografia e cifratura per dati sanitari DPS è necessario perché esso stesso è Misura Minima di Sicurezza perché SalvoReina cosa chiedere agli informatici UNO SGUARDO MIRATO ALL'ALLEGATO B • • • • • • • Serve un sistema di autorizzazione qualora il tipo di trattamento preveda diversi "profili" di accesso Occorre procedere almeno con frequenza annuale alla revisione delle liste degli "autorizzati" (non necessariamente tutti gli incaricati) Il sistema di autorizzazione permettere accesso selettivo ai soli dati necessari, ma le modalità di realizzazione non sono imposte dalla leggge (livello applicativo e/o sistema) a seconda delle geometrie architetturali delle banche dati Nuovo Codice della Privacy Misure Idonee di Sicurezza Va redatto entro 31 Marzo di ogni anno Nuovo Codice della Privacy cosa chiedere agli informatici Manuale del Sistema Informativo : attenzione allo spooler di stampa • • Norme per la custodia dei supporti rimovibili (uso, conservazione e obliterazione) Procedure di disaster recovery che prevedano il ripristino dell'accesso ai dati al massimo in 7 giorni Cifratura dei dati sanitari e loro custodia in locali e/o contenitori di sicurezza La documentazione cartacea del Sistema Privacy (ex DPS) è necessaria perché essa stessa è Misura Idonea di Sicurezza perché Nuovo Codice della Privacy cosa chiedere agli informatici Manuale del Sistema Informativo : spooler di stampa Esempi semplici : Misure irrinunciabili ANTI VIRUS • Sempre e comunque, almeno su tutti i client Firewall • • Se si ha una connessione permanente (adsl) è opportuno inserire un firewall fisico a valle del router Su un client può essere sufficiente un Personal firewall Sistemi Windows 95/98 • • Vanno bene come client se i dati sono sul server Vanno bene anche in rete p2p o con i dati locali a patto che il software applicativo gestisca livelli di protezione Norme e procedure di sicurezza Estese ma ragionevoli, non vessatorie, realmente applicabili Uno occasione aziendale da sfruttare !!! Nuovo Codice della Privacy cosa chiedere agli informatici Manuale del Sistema Informativo : POST e BIOS setup Misure elementari possono preservare da sanzioni in sede di ispezione La coerenza minimale è una stima della serietà aziendale Nuovo Codice della Privacy Perché pagare un hacker se basta consultare le informazioni Se le hai stampate sono certamente importanti! Nuovo Codice della Privacy cosa chiedere agli informatici Manuale del Sistema Informativo : USB e dispositivi esterni SalvoReina • DOCUMENTO PROGRAMMATICO DELLA SICUREZZA L’epica di un falso problema ! Non più dovuto Il DPS diventa il MSP … e fino ad oggi come avete fatto ? Non trascuriamo misure elementari : la coerenza è una stima Della serietà professionale Non trascuriamo misure elementari : la coerenza è una stima Della serietà professionale 7
8. Nuovo Codice della Privacy DPS – di fatto esiste sempre anche se non si chiama cosi ! Deroghe e atti Di nomina Manuale del Sistema Privacy (MSP) Che cosa è Come deve essere predisposto Quali elementi deve contenere Quale è la valenza ai fini della azienda Out-sourcing e OutAudit esterni Analisi e inventari Dati e banche dati Attuativo Operativo MSP Piano Adeguamento e revisione DPS o MSP che sia rappresenta un vantaggio semplificativo di gestione SalvoReina Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy Nuovo Codice della Privacy S.Informativo Tecnologia sostenibile Procedure nell'antichità… perché non oggi? Uno strumento aziendale da sfruttare come occasione e non un peso peso secondo legge e buon senso! Decreto Lg.vo 196/03 Lg.vo Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo DOCUMENTAZIONI DI FRONTIERA Un riferimento incrociato utile anche per la definizione dei ruoli e ledde responsabilità, dei criteri di protezione … Attuativo Operativo DVR Dlg81/08 Dichiarazione transattiva Deleghe e Nomine Invetari e classificatori Scadenziari Piano di adeguamento (PA196) Documento di valutazione dei rischi DVR Per ciascun trattamento indicare: • Finalità • Modalità di trattamento (durata e tipo) • Categorie di interessati cui il trattamento si riferisce • Indicazione soggetti cui i dati vengono comunicati • Tipo di dati trattati (personali e sensibili) • Responsabile del trattamento • Area organizzativa o ufficio che svolge il trattamento • Nome della banca dati che automatizza il trattamento DM 155 Legge Pisanu Misure anti terrorismo (DI196) Procedure e prassi Istruzioni operative Manuale Sistema Informativo (MSI196) Tipologie credibili di sicurezza Nuovo Codice della Privacy Misure tecnico-organizzative aventi come scopo il ripristino in tempi brevi della operabilità in caso di disastri gravi (incendi,) CLASSI DI MISURE Tre tipologie di misure • • • • • • Indicare il responsabile che controlla l'efficacia e l'effettiva attuazione delle misure Fisiche: linee di backup, locali ignifughi, gruppi di continuità Logiche: sistemi di alta disponibilità, ridondanza dei dati (RAID e repliche) Organizzative: backup remoti, procedure manuali… Due possibili piani di azione (non esclusivi) • • Descrivere ciò che viene fatto e non ciò che "si dovrebbe fare" ciò ciò Nuovo Codice della Privacy LA FORMAZIONE COME ADEMPIMENTO Va diversificata per figura ! I CRITERI DI DISASTER RECOVERY Descritte sia quelle già adottate che in predicato se . richieste per migliorare il livello di protezione sulla base Delle attribuzioni di finalità dei trattamenti FISICHE (antiintrusione, ant-iincendio, comtinuità servizi) ) LOGICHE (password, autenticazione e autorizzazione) ) ORGANIZZATIVE (controllo di accesso ambienti, conservazione documenti) ) Un elenco dei trattamenti rende credibile l'analisi dei rischi! SalvoReina Decreto Lg.vo 196/03 Lg.vo Non solo carta… carta… SalvoReina Non solo carta… carta… Nuovo Codice della Privacy Data retension Mis-classification Mis- Manuale Sistema Informativo (MSI196) BCP (Business Continuity Plan) DRC (Disaster Recovery Plan) Ricordare il criterio di sostenibilità per le Piccole e Micro aziende! sostenibilità SalvoReina Documentale cogente ! ELENCO DEI TRATTAMENTI BRIDGING LAWS & REGULATION COME RENDERE CREDIBILE IL MSP SalvoReina Nuovo Codice della Privacy SalvoReina Decreto Lg.vo 196/03 Lg.vo SalvoReina Nuovo Codice della Privacy NON ESISTE UN MANUALE CARTACEO PER TUTTI La consapevolezza e la collaborazione del personale sono critici per il successo e la funzionalità di ogni piano di sicurezza Educare e istruire gli utenti è indispensabile (oltre che necessario!) La formazione è imposta sui soli incaricati, è chiaro che tutti gli addetti dovrebbero essere al corrente della politica della privacy Più cicli di formazione ad hoc andrebbero pianificati: • • • • Formazione specifica per incaricati Formazione e sensibilizzazione per personale in generale Formazione e affiancamento per Amministratori di Sistema (consulenza ICT) Formazione e affiancamento per Titolari e responsabile (consulenza sulla norma) Consulenza e formazione non insieme ma abbinabili 8
9. Decreto Lg.vo 196/03 Lg.vo I TRATTAMENTI ESTERNI (out-sourcing) Nuovo Codice della Privacy Decreto Lg.vo 196/03 Lg.vo SalvoReina SalvoReina Nuovo Codice della Privacy Nuovo Codice della Privacy Decreto L.vo 196/03 L'azienda e il suo Disciplinare Interno Nel caso in cui l'azienda si avvalga, in tutto o in parte, di soggetti terzi per effettuare i trattamenti è necessario armonizzare le regole che regolano il rapporto contrattuale col fornitore Si dovrebbe guardare al Manuale non come un costoso e sterile adempimento di legge piuttosto uno strumento di sensibilizzazione per la sicurezza dei processi e la salvaguardia qualitativa del proprio core-business Una chiara distribuzione di compiti e di responsabilità in relazione al trattamento dei dati personali (dove, come e quando) per definire la zona di interfaccia tra interno/esterno Occorre descrivere reciprocamente : Il Manuale dovrebbe essere redatto per competenze multidisciplinari da un gruppo di skill professionali in relazione alla complessità e l'articolazione dei trattamenti Responsabili coinvolti (nomine e accettazioni iscritto) Limiti di responsabilità assunti dal fornitore (attestato) Misure di sicurezza del fornitore Accordi sul livello di servizio (SLA e PLA) Modalità per la verifica dell'operato del fornitore (ISO9000) Privative Clauses o BCR per forniture ICT Una volta ultimato deve rimanere vivo e manutenuto secondo necessità di aggiornamento tecnologico e di business MSP è una partita di biliardo a dichiarazione… Nuovo Codice della Privacy Decreto L.vo 196/03 DISCIPLINARE INTERNO CONFORME AL PROVVEDIMENTO SUGLI ADS / DPO TDT dimostrare competenza ADS/DPO (contratto) Disciplinare tecnico sul campo… Protezione prese a muro e hub Disattivazione device di bootstrap Protezione spool di stampa e salva schermo Tracciamento dichiarato mailer di posta e web agli incaricati Dispositivi di acquisizione esterni Cifratura questa sconosciuta e copie di sicurezza Storicizzazione e alter sito Nuovo Codice della Privacy Decreto L.vo 196/03 SalvoReina Altro che DPS senza questo documento si è sanzionati ! SalvoReina Se non gli HR chi se ne occupa ? DPS, ADS, INFORMATIVA, CONSENSO, DISCIPLINARE TECNICO, CREDENZIALI INFORMATICHE MISURE DI CONTROLLO PER GLI AMMINISTRATORI DI SISTEMA Documenti di Due Diligence ( Provvedimento Generale del 27 Novembre 2008) PRONUNCIAMENTO 14 GEN 2009 G.U. N. 45 del 24 Febbraio 2009 Non sono gli imprenditori che rispondono delle incurie tecnologiche tecnologiche ma devono dimostrare di non scegliere a caso Evitare : gigantismo e nanismo, inutili Coerenza e pertinenza nelle contitolarità ! La contitolarità permette di condividerne l’impianto e unificare gli contitolarità l’ intenti tra le diverse sedi nelle stazioni SR Privacy : ambiti problematici primari Sommario •Persone giuridiche e fisiche – criterio di proporzionalità e finalità •Responsabilità e sanzioni – non più tetto ma a % del fatturato •Formazione continua e somministrazione SOP – conformità vs compliance •Deleghe e nomine verificate e verificabili : DPO o ADS •Misure idonee e non solo minime –dal DPS al Privacy Governance •OPT-IN / OPT-OUT – Informative/consensi via Portale OPTOPT•Diritto all’oblio – cancellazione definitiva •CLOUD e trattamenti IT (anonimizzazione, conservaz. Sostitutiva, dematerializzazione) •Delocalizzazione e BYOD : ibrido dispositivi privati-aziendali privati•Contrattualistiche : SLA e accordi di settore – trattamenti con estero •Disciplinare e Policy condivisa con incaricati – superate RSU e DPL •Carta di identità elettronica – Misure addizionali per ADS •Inclusione digitale – Agenda Digitale 2.0 •Misure di backup alter loco : Sito freddo e terzializzazioni IT •Misure anti frode : furti di identità e preservazione contraffazioni contraffazioni •Ordini professionali e accordi di settore (AGICOM, ANIA ecc..) Privacy : un nuovo paradigma per gli HR Privacy : HR Paradigm Incontro di informazione e aggiornamento a) Evoluzione della privacy b) Requisiti di compliance c) Rischi sanzionatori d) Discussione : esperto risponde 9
10. Cosa non fare ? Intersezione 1:1 con le novità del Nuovo Regolamento Europeo … Ha da passà a’ nuttata … passà Visione HR centrica delle Responsabilità di azienda Responsabilità Legge 231/07 : reponsabilità finanziaria, antiriciclaggio, tracciabilità e trasparenza Le Direzioni Risorse Umane sono di fronte ad un'importante fase di cambiamento. Sono chiamate a raggiungere obiettivi in apparente contraddizione: ottimizzare i costi, orientare le persone agli obiettivi aziendali, adempiere ad una normativa in continua evoluzione e che prevede sanzioni sempre più più aspre in tema di privacy e sicurezza . Legge 190/12 : illeciti commessi dagli amministratori e/o dal personale Cosa fare ? Diritto del lavoro : Art. 4 RSU e DPL, buste paga, referti sanitari (FSE) Dlg 81/08 : safety e sicurezza nei gluoghi di lavoro Dlg. 196/03 : trattamento dati privacy e compliance ICT amministratori di sistema Legge n. 547/1993 "Crimini informatici commessi da dipendenti ed addebitabili all’azienda" Privacy : HR Paradigm EDUCAZIONE E ATTITUDINE PER AUTOCONTROLLO E AUTOREGOLAMENTAZIONE Un atteggiamento pro -attivo è sempre più conveniente. più Sfruttare la privacy come un opportunità di un maggiore opportunità empowerment della funzione HR nel raggiungimento degli obiettivi di business ha un'importanza sempre crescente e la Direzione Risorse Umane deve riuscire a misurare, valutare e monitorare i processi. Come approcciare le notivà ? Approccio ad un nuovo paradigma non a un vecchio paradosso … Privacy by desing Privacy by default Non c’è Amministrazione c’è Digitale 2.0 senza Privacy Comunicazioni On-line, Cookies (Dlg 69/2012 Art.122), violazione dato personale Provv. “Data Breach” On(Dlg Art.122), Breach” (Art. 3, 32, 132, 162-ter Codice privacy), pregiudizio violazione a terzi (150K€ non più del 5% fatturato). 162privacy), (150K€ più Conservazione dati di traffico (Dlg 109/2008 modalità) e Codice Privacy per misure conservazione (Dlg modalità Privacy : HR Paradigm Non confondere sforzi con risultati … Privacy : HR Paradigm Concetti funzionali della compliance : Dalla conformità … alla … compliance ! conformità condividere a) Le informazioni giuste (Proporzionalità con la finalità) (Proporzionalità finalità ICT : Cloud, network sec, Malware, BYOD,, data recovery, business continutity DPS : manuale, Disciplinare interno, diritti interessato, formazione obbligatoria Notificazione : rapporti con Autorità, obblighi istituzionalizzati Legal : Audit, piani 231, video sorveglianza, statuto lavoratori, Digital divide, pro-active operator control Forniture : HW/SW, servizi SLA e Clausole contratti, b) Al momento giusto (Pianificazione e schedulazione Es. formazione) Dalla logica della casalinga alla donna di classe ! c) Con le persone giuste (Accountability legata segregazione masionari) Vision : business, acquisti, personale, policies e regulation … essenzialmente risolvere i conflitti … ovvero quello che fa un HRM ! quello Privacy : HR Paradigm Siete davvero coperti ? La filosofia vincente con le risorse umane Concetti funzionali della compliance : Chi può permettersi la qualità nera ? Compliance nel mondo ICT Legata al danno malware Calo diretto di ricavi e profitti: transazione annullate o non effettuate Danno d’immagine: il brand potrebbe essere considerato inaffidabile La sicurezza Non è non fare le cose ! E’ stabilire Prima come, dove e da chi vanno fatte Esclusione dal mercato: attacchi continui costringono il cliente a migrare verso la concorrenza Censura: attacchi motivati politicamente o ideologicamente Estorsione: in alcuni casi può venir richiesto un riscatto per sospendere l’attacco A chi si chiede perché … Il crimine informatico Basso rischio, opportunità opportunità e alto profitto … E’ più sicuro ! più Anche il basista che agisce dove i Sistemi Informativi non sono curati da un ADS per la privacy … E’ più sicuro ! più Fiorente mercato di credenziali per il social engineering … molto spesso parenti, figli smaliziati o affiliati di cosche (provincia…) (provincia… 10
11. Come succedono le cose? Le coincidenze non sono un cigno nero… nero… Gli insider spiegano tutto Inelluttabile, irrinunciabile ? La vita : Aria, acqua, cibo e …. BYOD ! Confine sempre più sfumato tra lavoro e tempo libero più Non più Oggetti ma Soggetti che ci controllano e ci inseriscono come elementi di un ecopiù ecosistema che profila la nostra vita La televisione guarderà noi, il lettore multimediale saprà se abbiamo diritto a vedere qualcosa e potrà guarderà saprà potrà decidere lui in quale momento farcelo guardare, l’auto sfrutterà ilparcheggio per scaricare il software, il l’ sfrutterà forno conoscerà le abitudini alimentari ! conoscerà COME DECIDERE : Mandatoria la figura del DPO Persona fisica e persona giuridica ! Cosa può fare un DPO rispetto può alla tradizionale CDA Trucchi del mestiere per identificare la struttura gerarchica e le responsabilità responsabilità nel modo più conservativo per tutelare più le persone fisiche nel caso di controversie o contenziosi Gli HR Europei come fanno ? Iniziative Istituzionali proattive dal 2009 COME DECIDERE : Mandatoria la figura del DPO Perché conviene il supporto di un integratore ! Perché COME DECIDERE : Mandatoria la figura del DPO Misure minimali basate sul controllo dell’accesso dell’ Del singolo operatore con poche istruzioni basilari all’ ADS all’ COME DECIDERE : Mandatoria la figura del DPO Provvedimento sottovalutato ma cogente degli ADS Nel trattamento di informazioni sensibili digitali Cosa può fare un DPO rispetto alla tradizionale CDA può Intermediazione di metodi e linguaggi trasversalmente al business business management Interfaccia tecnico-regolatoria con l ‘ IT (logs, email, data retension ecc) tecnico- COME DECIDERE : Mandatoria la figura del DPO Contitolarità Contitolarità Economizzazione risorse Condivizione del documentale DPS Condivisione policy degli ADS Centralizzazione del dato informatico Centralizzazione delle prassi di sicurezza Consultazione delocalizzata a norma Data base “di cortile” monitorato cortile” Riduzione delle comunicazioni verbali Pubblicazione MSP WEB intranet Cosa può fare un DPO rispetto alla può tradizionale CDA Trucchi del mestiere per sfruttare la legge nei casi corporativi e distribuire gli oneri (Filiali, multinazionali, consorzi) Cosa può fare un DPO : guida gli informatici nella formalizzazione documentale e può sostanziale degli adempimenti COME DECIDERE : Mandatoria la figura del DPO Notificazione Cosa può fare un DPO rispetto può alla tradizionale CDA Svolgere la prassi Istruttoria compilativa Scelte appropriate per business Scongiurare errori di competenza Pratica presso “ Intermediari” Intermediari” Se fatta bene rappresenta l’indice di l’ un buon MSP Ricordiamo che la omessa o errata notificazione è stata presente per il 201020102011 il 32 % dei procedimenti sanzionatori. Dal Gennaio 2013 è praticamente obbligatoria per qualunque trattamento (poche ecce zioni nella PA) e eccezioni addirittura sono state introdotte “Preliminar Check” Check” 11
12. COME DECIDERE : Mandatoria la figura del DPO COME DECIDERE : Mandatoria la figura del DPO Aree-Attività critiche HR: TdT e ADS Aree- Decisione rischiose e critiche Dove l’avvocato l’ non basta … eMails : controllo pro-attivo. Risponditore automatico, forward aziendale, CC/BCC Contenuti proprietari : cugino compiacente porta all’esterno documenti Routers/Firewall : discriminazioni, settings filtro navigazione Litigation : Ricorso HR per mobbing ingiustificato VS e statuto lavoratori Digitalizzazione documenti Navigazione : Intranet/Extranet, VPN corporativi, Provvedimenti WEB es. Cookies ! Post firing: vendette dopo licenziamento anche non a scopo speculativo Deleghe e nomine : corrette attribuzioni, affiancamento, policy sostanziale, scelta dell’ ADS compete solo il TDT Cross competition : remore e conflitti con altri dipendenti Disciplinare interno : divulgato, validato in formazione, verificato periodicamente Obblighi protezione dati Quando i dipendenti si vendicano con una causa di “Digital Forensic” Aree-Attività critiche HR: TdT e ADS Aree- Ogni salto dimensionale tecnologico implica modifiche di obblighi normativi, requisiti tecnologici e di prassi e costumi di comportamento Un cambiamento di prospettiva che ci insegue nello specchietto retrovisore e al cui sopraggiungere non ci si può sottrarre può Aree-Attività critiche HR: TdT e ADS Aree- Ambiti : Assicurazioni Corporazioni bancarie Sanità e diagnostiche Sanità Genetiche a fingerprint digitale Profilazioni abitudini Libero movimento / pensiero Privacy individuo-istituzioni individuoPrivacy individuo-commercio individuoMonitoraggio sicurezza Banche dati Centrali di rischio Investigazioni legali/private Obblighi verso dipendenti Ora sono le università che strette dalla università crisi rivendono la propria abilità e abilità conoscenza informatica per agire come cybercrime ! Il titolare del Trattamento ha l’obbligo di delega per l’ A.D.S. ! l’ l’ Dove necessario un DBA e un System Manager separati per non incorrere in conflitti di interesse Data Protection : il DPO assiste l’azienda affiancando e convincendo gli informatici Archiviazione sostitutiva ! Altra mitologia da sfatare Aree-Attività critiche HR: TdT e ADS AreeArchiviazione sostitutiva ! Deanonimizzazione ! Cambi di paradigma Esempi : Elettricità vs fuoco Elettricità Motore scoppio vs cavallo Aero vs treno Radio vs colombi viaggiatori Televisione vs radio Internet vs poste Dematerializzazione vs carta Anonimizzazione vs dato personale Deanonimizzazione vs privacy Delocalisation vs posizione fisica Network vs area locale Distributed extranet vs private office Corporate networks vs Clouds Persona digitale vs individuo analog Aree-Attività critiche HR: TdT e ADS Aree- Tracciamento e-mail e navigazione e- Di fatto : gestire l'intero ciclo di vita del documento certificandone il contenuto tramite apposizione di firma digitale e marca temporale, che rendono un documento non modificabile, opponibile a terzi e non deteriorabile, quindi disponibile nel tempo in tutta la sua integrità ed autenticità integrità autenticità Conservare digitalmente significa quindi sostituire i documenti cartacei, che per legge si è tenuti a preservare, con l'equivalente documento informatico. Il titolare del Trattamento ha l’obbligo di delega per l’ A.D.S. ! l’ l’ Dove necessario un DBA e un System Manager separati per non incorrere in incorrere conflitti di interesse Data Protection : unica risposta WI-FI – un problema anche per gli hackers WI- Esistono solo due tipi di utenti: PA vs privato ! Perché Perché è un errore omologare e sottovalutare, o peggio, ignorare gli obblighi della PA ? Il problema lo deve gestire chi partecipa l’appalto e lavora per l’ la PA ! L’esempio del DISASTER Recovery Quelli che hanno un PC infettatto… e… Quelli che non sanno di avere un PC infettato Attacks always get better;they never get worse. (NSA) Mallory is always with your wife ! La Legge 231 rende mandatorie le misure di Disater Recovery per tutte le attività attività degli uffici pubblici. Addirittura in modo vincolante nei casi di Servizi OnLine di Il titolare del Trattamento ha l’obbligo di delega per l’ A.D.S. ! l’ l’ Un semplice documento di scambio con il Fornitore Esterno per es sere inattaccabili 12
13. Data Protection : unica alternativa La Resilienza… Paradigma globale Dalla Sicurezza alla Resilienza… Le regole del Gioco non le decidiamo… La Data Protection aiuta a non subirle (ISACA) Cosa serve DPO : aggiornamento continuo Integrazione Total Quality Management Non basta la carta Il Data protection Traversa le funzioni aziendali Come un HR ! La vulnerabilità e inversamente proporzionale al successo di business … ICT vincola lo sviluppo globale Le analisi macromacroeconomiche dei Fattori di rischio Vulnerabilità di Identità del consumo nel mondo La vulnerabilità e inversamente proporzionale al successo di business … 40 % Attacchi costano 4 giorni di stop ! 90 % degli attacchi … mancate competenze, errate configurazioniHW e SW Nel 2011 in Italia 55 miliardi di USD di danno 86 Miliardi nel 2012 Pubblico e Privato Società del richio tecnologico globale… Rischio digitale senza confine con probabilità di eventi critici per il fattore umano Considerare la sicurezza, confidenzialità e privacy ICT: • in termini non strettamente digitali ma globali (fisici-logici-organizzativi) (fisici- logici• non un adempimento tecnico-burocratico, ma un valore organizzativo tecnico• non un costo da tagliare, ma un investimento strategico Società del richio tecnologico globale… Obblighi regolatori seguono evoluzione ICT … HR Holistic approach compliance ICT … HR – combinazione fattore umano E SLA fornitori HW/SW Assets, organigramma, DVR/BIA, level acceptability and sustainability sustainab ility 13
14. Nessuna area ICT è indenne alla Preliminar Check UE Anche la Sicurezza Nazionale negli USA ha fatto un passo indietro E ha sfumato !!! … CL0UD : UNA DIAPOSITIVA… UNA STORIA ! I vantaggi sono chiari parliamo dei problemi di contrattualità Public, Private and Hybrid Localisation data transfer Reponsabilities identification Impacts on consumers and actors’s roles Infrastructure Player e SLA – Provider, Broker, consumer Privacy : un nuovo paradigma per gli HR Incontro di informazione e aggiornamento a) Evoluzione della privacy b) Requisiti di compliance Chi è il TDT e il proprietario ? c) Rischi sanzionatori SaaS – Service as Service PasS – Platform as Service IasS – Infrastructure as Service d) Discussione : esperto risponde Portabilità, governance,sub fornitura, e falsa resilienza, Team di risposta indicenti, StandardContractualClauses A fiumicino sostituiti 16 body scanner Preliminar Check Autorità ! Qualche nozione prima di pagare … Dal 38° al 42° posto capacità di utilizzo ICT Global Information Technology Report 2007-2008" del World Economic Forum (Wef) 2007- Dal 42° al 48° posto capacità di utilizzo ICT Global Information Technology Report 2009-2010" del World Economic Forum (Wef) 2009- Un DPO tutela la azienda sia nel rapporto di fornitura che nelle configurazioni dei servizi Voi direte, in Italia abbiamo la creatività ! Secondo Assintel solo il Data Protection È la chiave per la NUOVA IT italiana Competenze certificate per traversare DLg196/03, Dlg231/01, Safety, Security e Qualità riducendo costi, risorse e migliorando integrazione Banda larga e U-WI-FI U- WIServizi ICT convenzionali mBanking e eBanking E-waste e data retention Cyber-security e Privacy CyberCopertura infrastrutture ICT Big data & Cloud future Virtualisation & dematerialisation Privacy : Controllo e sistema sanzionatorio Tipi di controlli Privacy : Controllo e sistema sanzionatorio Chi fa le ispezioni e i loro numeri Cosa è il GAT ? Nucleo della Guardia di Finanza elettivamente dedicato alle ispezioni in ambito Privacy. Rapporto del Garante (2010-11 ) • Ispezioni : 230 ispezioni, 181 procedimenti sanzionatori, 13 violazioni penali penali • Omesse : informativa, notificazione, misure idonee, nomine/deleghe ADS • Mancati adempimenti : provvedimenti, adeguamenti comunque cogenti • Ambiti : investigazioni, assicurazioni, sanità, profilazione CentRischio, telemarketing CentRischio, • Comminazioni : 3 milioni 234 mila € in 15 mesi Privacy : Controllo e sistema sanzionatorio Due check list veloci : cosa controllano i controllori ? Le ispezioni possono avere tre tipologie Privacy : Controllo e sistema sanzionatorio Attualmente parliamo di Fascie classificate con il Decreto semplificazioni Da 20.000 a 120.000 euro 1. Casuali 2. Sistematiche In caso di maggiore rilevanza per uno o più interessati da 40.000 a 240.000 euro 3. Su segnalazione / denuncia Garante può quadruplicare a seconda delle condizioni economiche del contravventore Penale per nocumento provato inasprico fino a 3 anni reclusione Il tipo di verifica condiziona le regole di ingaggio per gli incaricati, per i responsabili e incaricati, per il Titolare del trattamento. La conoscenza delle regole influisce sulla probabilità / entità della sanzione ! La conoscenza delle regole influisce sulla probabilità / entità della sanzione ! Regolamento Europeo Fino al 2% del fatturato globale della organizzazione ! Neppure le multinazionali possono far finta di nulla ! 14
15. In conclusione : nuova filosofia per tutelarsi Non necessariamente dobbiamo essere geni per APPLICARE la relatività ! Privacy : un nuovo paradigma per gli HR Incontro di informazione e aggiornamento Dall’ incontro tematico alla pratica sul campo a) Evoluzione della privacy b) Requisiti di compliance Il salto quantico occorre una delega a un DPO per atterrare in sicurezza… Pronto per il tiro al piattello ! c) Rischi sanzionatori Grazie per la attenzione !!! Discussione, dubbi, case study e domande d) Discussione : esperto risponde 15
Speech Dott. Fasciani su IERING al Convegno di Barcellona 2007

References: Art. 11
 Art. 2050
 Art. 8
 Art. 1
 Art. 10
 Art. 7
 Art. 4
 Art. 4
 Art. 3
 Art. 4
 Art. 4
 Art. 4
 Art. 30
 Art. 38
 Art. 23
 Art. 13
 Art. 23
 Art. 31
 Art. 33
 Art. 4
 Art.122
 Art.122