GDPR kit di sopravvivenza. Capirlo, applicarlo ed evitare sanzioni sulla privacy e il trattamento dei dati personali. Prefazione di Stefano Aterno e Stefano Quintarelli

Prefazione di Stefano Aterno e Stefano Quintarelli

Giorgio Sbaraglia, Francesco Amato

• Publisher: Go Ware
• Year: 2018
• eBook ISBN: 9788833630328
• Topic: Informatica
• Subtopic: Sicurezza informatica

"Un libro che coniuga semplicità, completezza e rigore." Stefano Aterno e Stefano Quintarelli Il GDPR (General Data Protection Regulation) è arrivato, inesorabile. Un altro problema per le aziende? Assolutamente no! Sarà invece un'opportunità se comprendiamo quanto siano importanti i nostri dati. Il GDPR, infatti, introduce un concetto nuovo: il data breach (la perdita dei dati). Importantissimo, perché un'azienda privata dei suoi dati semplicemente non esiste più. Questo libro, di veloce e facile consultazione, illustra nella prima parte la struttura e le principali novità del GDPR. Ne esamina in modo semplice i punti e gli articoli più importanti, rispondendo alle domande più frequenti (FAQ) degli utenti. La seconda parte è dedicata al data breach, cioè alla Cybersecurity, esaminando le misure che ciascuna azienda dovrebbe mettere in pratica per proteggere i propri dati. Non è poi così difficile e questo manualetto di sopravvivenza vi aiuta a farlo prima possibile.

1. Introduzione

1.1 Problema o opportunità?

Dal 25 maggio 2018 siamo obbligati al rispetto del gdpr, una sigla che ormai tutti hanno imparato a conoscere… Per le aziende potrebbe essere un problema, oppure un’opportunità.

Sarà un problema se le aziende lo vivranno come l’ennesimo adempimento a cui adeguarsi, ma potrà diventare un’importante opportunità se invece le aziende coglieranno questa occasione per riprogettare e migliorare la sicurezza dei propri dati, non solo per il rispetto del gdpr, ma soprattutto per proteggere meglio il loro asset immateriale più importante: i propri dati.

Nella prima parte presenteremo le principali novità del gdpr rispetto alla normativa esistente (il Codice Privacy D.lgs. 196/2003). Esamineremo poi i punti e gli articoli più importanti del nuovo Regolamento, che ciascun utente dovrebbe conoscere.

Nella seconda parte si porrà l’attenzione sull’aspetto più innovativo e dirompente del gdpr: il data breach (la perdita dei dati) e cosa fare per ridurne il rischio. Questo tema era completamente assente nel precedente Codice Privacy, nato in anni (2003) in cui il web era agli albori e il cybercrime praticamente non esisteva. Quindi tratteremo il gdpr sotto l’aspetto della Cybersecurity, esaminando le misure che ciascuna azienda dovrebbe mettere in pratica per proteggere i propri dati.

1.2 Un po’ di chiarezza

Cominciamo facendo chiarezza: non è vero che il gdpr è entrato in vigore il 25 maggio 2018, ma, in realtà, è già in vigore da due anni. L’ultimo articolo del gdpr, l’Articolo 99 (“Entrata in vigore e applicazione”) dice infatti:

1. il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea;

2. esso si applica a decorrere dal 25 maggio 2018;

3. alla data della pubblicazione di questo libro, l’Italia deve ancora emettere il decreto di adeguamento al gdpr, che dovrà abolire le norme esistenti o armonizzarle al testo del Regolamento Europeo. Tale decreto dovrà essere emanato entro 22 agosto 2018.

Cominciamo allora facendo chiarezza ed un po’ di storia su questo Regolamento Europeo, di cui tutti parlano, ma che pochi conoscono bene.

Il gdpr (che significa: “General Data Protection Regulation”) è stato approvato dal Parlamento Europeo il 27 aprile 2016 e pubblicato sulla Gazzetta ufficiale dell’Unione europea il 4 maggio 2016.

Il titolo completo e “ufficiale” di quello che tutti noi chiamiamo gdpr è

Regolamento (ue) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/ce (Regolamento generale sulla protezione dei dati).

Il primo ed importante aspetto da conoscere è che si tratta di un Regolamento, quindi è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Non richiede – a differenza di una direttiva – una legge di recepimento nazionale. Al massimo ci potranno essere leggi per “armonizzare” le precedenti normative nazionali al nuovo gdpr.

Per questo motivo si avrà una maggiore armonizzazione della normativa in materia privacy in tutto il territorio europeo.

Quindi, per gli stessi motivi, non aspettiamo una proroga, secondo un costume tutto italiano (noi che siamo stati capaci di inventare il decreto “Milleproroghe”…), perché l’Europa non ce lo permetterebbe. Quello che possiamo attenderci è un’applicazione graduale e con un tempo di “messa a regime” che potrà essere dato alle aziende. In altre parole: il gdpr sarà obbligatorio dal 25 maggio 2018, ma le sanzioni non saranno comminate subito dal giorno dopo. È possibile pensare che fino alla fine del 2018 ci sarà una certa “elasticità” da parte di chi dovrà fare i controlli e comminare le sanzioni.

Un altro aspetto molto importante: si applica integralmente alle imprese situate fuori dall’Unione europea che offrono servizi o prodotti a persone che si trovano nel territorio dell’Unione europea.

Tutte le aziende, ovunque stabilite, dovranno quindi rispettare le regole fissate nell’ue.

Un esempio, di grande attualità: Facebook e Google che trattano in modo massiccio i nostri dati personali, dovranno farlo rispettando il gdpr, anche se sono società usa. Vale quindi il luogo dove si trova il dato, non dove risiede chi lo tratta.

2. Un po’ di storia

2.1 2012-2018: una lunga gestazione

La gestazione del gdpr è stata lunga: parte dal 2012. Vediamo le tappe principali.

25 gennaio 2012: la Commissione europea presenta proposta di regolamento al Parlamento ed al Consiglio.

14 marzo 2014: il Parlamento presenta al Consiglio un testo emendato.

11 giugno 2015: il Consiglio adotta un orientamento generale.

24 giugno 2015: Parlamento, Commissione e Consiglio avviano procedura di codecisione nota come “consultazione a tre” o “trilogo”.

8 aprile 2016: prima lettura in Consiglio.

14 aprile 2016: seconda lettura in Parlamento.

4 maggio 2016: Pubblicazione in guce (Gazzetta ufficiale dell’Unione europea).

25 maggio 2016: entra in vigore.

25 maggio 2018: si applica in tutta UE.

2.2 Schema delle tappe principali del GDPR

3. Come è strutturato

Il gdpr...

Table of contents

• Copertina
• Frontespizio
• Colophon
• Presentazione
• Prefazionedi Stefano Quintarelli
• 1. Introduzione
• 2. Un po’ di storia
• 3. Come è strutturato
• 4. Cos’è la privacy
• 5. GDPR vs. Codice Privacy (D.lgs. 196/2003)
• 6. A cosa si applica il GDPR: il “Dato Personale”
• 7. Informativa e consenso: il principio della trasparenza
• 8. Profilazione
• 9. I Diritti dell’interessato
• 10. Il Registro delle attività di trattamento: perché è utile
• 11. Privacy by design privacy by default
• 12. Responsabilità del titolare del trattamento: il concetto di accountability
• 13. DPIA Data privacy impact assessment
• 14. Le figure previste dal GDPR
• 15. Il Responsabile della protezione dei dati (RPD)
• 16. Le figure professionali del GDPR e la norma UNI 11697
• 17. Certificazione. Ma come?
• 18. GDPR, certificazione e ISO/IEC 27001
• 19. Sanzioni e risarcimenti danni
• 20. GDPR: problema o opportunità?
• 21. Data breach. Che cosa fare per ridurre i rischi
• 22. Conclusioni