際際滷

際際滷Share a Scribd company logo

Privacy e protezione del dato. Gli adempimenti del nuovo Regolamento UE 679/2016 - Lino Fornaro

Digital Law Communication
Digital Law Communication

Materiali relativi al seminarioPrivacy e protezione del dato. Gli adempimenti del nuovo Regolamento UE 679/2016organizzato dallAssociazione LAICA Salento con la collaborazione del Digital & Law Department.

1 of 37
Downloaded 12 times
Privacy e protezione del dato. Gli adempimenti del nuovo Regolamento UE 679/2016 - Lino Fornaro
ICT Security e Risk assessment secondo il Regolamento UE 679/2016 Lecce, 3 Marzo 2017 Relatore: Lino Fornaro, Senior Security Consultant, Evolumia Srl
Senior Security Consultant in EVOLUMIA SRL Lead Auditor ISO/IEC 27001:13 OSSTMM PROFESSIONAL SECURITY TESTER - OPST OSSTMM PROFESSIONAL SECURITY ANALYST - OPSA ISECOM Certified Trainer Certificato ICT Security Manager registro AICQ Sicev Docente Master sulla Sicurezza (ICS) presso TILS - LAquila Relatore in conferenze di sensibilizzazione sul tema ICT Security Esperto Normativa Italiana Privacy (DLgs 196/03) Esperto normative europee Cybersecurity Membro Comitato Direttivo CLUSIT Membro Comitato Tecnico Scientifico AICQ Sicev Uni 11506 Certificazioni informatiche Membro sottocommissione SC27 di UNINFO Socio Fondatore, membro Advisory Board di ANORC Membro Coordinamento ANORC PRIVACY $whois Lino Fornaro
Regolamento Europeo: Principali novit Rafforzata la trasparenza dei trattamenti (Informazioni pi湛 chiare e complete) Rafforzato il controllo sui propri dati (nuove modalit di gestione del consenso e diritto alloblio) Limiti alla decisioni che hanno effetti giuridici basate su trattamenti automatizzati Diritto alla portabilit dei dati nel mercato digitale Pi湛 responsabilit per le imprese Unico insieme di norme in tutti gli stati dellUE Semplificazioni per i soggetti che offrono maggiori garanzie
Regolamento Europeo: nuovo approccio alla protezione del dato Adeguamento delle misure di sicurezza al nuovo contesto: nuove tecnologie ed evoluzione del cyber crime Enfatizzati i principi della vecchia direttiva EU Richiesto un approccio sistemico alla sicurezza e alla protezione del dato Richiamo alla RISK ANALISYS diffuso (misure di sicurezza, PIA) Richiesta lefficacia e ladozione preventiva Richiesta la rilevazione e la denuncia delle violazioni alla sicurezza (Data Breach) Ricorso alla Certificazione come strumento per la compliance
D.Lgs 196/03: Principio di necessit nel trattamento dei dati Art. 3. 1. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalit perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalit che permettano di identificare l'interessato solo in caso di necessit.
Art.25 Protezione dei Dati sin dalla progettazione (PRIVACY by Design) Tenuto conto dello stato dellarte e dei costi di attuazione, nonch辿 della natura, dellambito di applicazione, del contesto e delle finalit del trattamento ..come anche dei rischi aventi probabilit e gravit diverse per i diritti e le libert delle persone fisiche. ..sia al momento di determinare i mezzi del trattamento sia allatto del trattamento stesso Il titolare del trattamento mette in atto misure techiche ed organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, .......
Art.25 e protezione per impostazione predefinita (PRIVACY by Default) Il titolare mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalit di trattamento, .. ... In particolare dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali ad un numero indefinito di persone fisiche senza lintervento della persona fisica. Un meccanismo di certificazione approvato ai sensi dellart.42 pu嘆 essere utilizzato come elemento per dimostrare la conformit ai requisiti......
Pseudonimizzazione ? Il trattamento di dati personali in modo tale che i dati personali non possano essere attribuiti a un interessato specifico senza lutilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile. ATTENZIONE: DIVERSO DAL DATO ANONIMO
Art.32 Sicurezza del trattamento Tenendo conto dello stato dellarte e dei costi di attuazione, nonch辿 della natura delloggetto del contesto delle finalit del trattamento come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche Il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: RISKANALISYS
Art.32 Sicurezza del trattamento a) La pseudonimizazione e la cifratura dei dati personali; (utile in caso di data breach) b) La capacit di assicurare su base permanente la riservatezza, lintegrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; (capacit di adattamento a condizione duso e resistenza a situazioni avverse per garantire disponibilit dei servizi erogati) a) La capacit di ripristinare tempestivamente la disponibilit e laccesso dei dati personali in caso di incidente fisico o tecnico; (procedure di DR e incident response) b) Una procedura per testare, verificare e valutare regolarmente lefficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento (come per la iso 27001) RISKANALISYS,DR,ISO
Art.32 Sicurezza del trattamento 2. Nel valutare ladeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dallaccesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. 3. Ladesione ad un codice di condotta approvato di cui allart.40 o a un meccanismo di certificazione approvato di cui allart.42 pu嘆 essere utilizzata come elemento per dimostrare la conformit ai requisiti di cui al paragrafo 1 del presente articolo RISKANALISYS
Art.33 Notifica di una violazione dei dati personali allautorit di controllo In caso di1. violazione dei dati personali, il titolare del trattamento notifica la violazione allautorit di controllo . senza ingiustificato ritardo ...entro 72 ore(*) dal momento in cui 竪 venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libert delle persone fisiche (**) DATABREACH (*) Misure tecniche che individuino la violazione e notifichino il titolare (**) ricorso alla cifratura, a patto che le chiavi crittografiche siano al sicuro (e non sui sistemi violati)
Art.33 Notifica di una violazione dei dati personali allautorit di controllo La notifica d cui al paragrafo 1 deve almeno: Descrivere laa) natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonch辿 le categorie e il numero approssimativo di registrazioni di dati personali in questione; Comunicare il nome e i dati di contatto del responsabile dellab) protezione dei dati o di altro punto di contatto presso cui ottenere informazioni; DATABREACH
Art.33 Notifica di una violazione dei dati personali allautorit di controllo La notifica d cui al paragrafo 1 deve almeno: Descrivere lec) probabili conseguenze della violazione (*) dei dati personali Descrivere led) misure adottate o di cui si propone ladozione da parte del titolare per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuare i possibili effetti negativi (**) DATABREACH (*) la Risk Analisys dovrebbe aver contemplato e misurato questo rischio e determinato le misure preventive (**) un piano di Risposta agli incidenti e una strategia di gestione della crisi sono fortemente consigliate
Art.34 Comunicazione di una violazione dei dati personali allinteressato 1. Quando la violazione di dati personali 竪 suscettibile di presentare un rischio elevato per i diritti e le libert delle persona fisiche, il titolare del trattamento comunica la violazione allinteressato senza ingiustificato ritardo La comunicazione all2. interessato . descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui allart.33, par.3 lettere b) c) e d). DATABREACH
Art.34 Comunicazione di una violazione dei dati personali allinteressato 3. Non 竪 richiesta la comunicazione allinteressato se 竪 soddisfatta una delle seguenti condizioni: a) Il titolare ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura. DATABREACH
Art.34 Comunicazione di una violazione dei dati personali allinteressato b) Il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libert degli interessatindi cui al par.1 c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia. DATABREACH Una strategia di comunicazione che tuteli limmagine e che preservi il business aziendale 竪 necessaria
Art.34 Comunicazione di una violazione dei dati personali allinteressato Danni fisici, materiali, morali Perdita del controllo dei dati Discriminazione Furto o usurpazione d'identit Decifratura non autorizzata della pseudonimizzazione Pregiudizio alla reputazione Perdita di riservatezza dei dati protetti da segreto professionale Perdite finanziarie Etc. DATABREACH
Paragrafo 1 Quando un tipo di trattamento, allorch辿 prevede in particolare luso di nuove tecnologie, considerati la natura, loggetto, il contesto e le finalit del trattamento, pu嘆 presentare un rischio elevato per i diritti e le libert delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dellimpatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione pu嘆 esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi. Art.35 Valutazione dimpatto sulla protezione dei dati (PIA)
La valutazione 竪 richiesta in particolare nei seguenti casi: Una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione. Il trattamento, su larga scala, di categorie particolari di dati personali, di cui allart.9 par.1, o di dati relativi a confanne penali e a reati di cui allart.10 ... La sorveglianza sistematica su larga scala di una zona accessibile al pubblico Lautorit redige e rende pubblico un elenco delle tipologie di trattamenti soggetti alla valutazione dimpatto Art.35 Valutazione dimpatto sulla protezione dei dati
La valutazione dimpatto contiene almeno: Una descrizione sistematica dei trattamenti previsti e delle finalit di trattamento, compreso, se del caso, linteresse legittimo perseguito dal titolare del trattamento; Una valutazione della necessit e proporzionalit dei trattamenti in relazione alle finalit; Una valutazione dei rischi per i diritti e le libert degli interessati Le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformit al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione Art.35 Valutazione dimpatto sulla protezione dei dati
La PIA 竪 uno strumento per indirizzare i potenziali impatti sulla privacy di un processo, un sistema informativo, un programma, un modulo software, un device o qualunque altra iniziativa che tratter dati personali (PII Personal Identifiable Information) e , in accordo con gli stakeholders, per adottare le azioni necessarie a trattare i rischi privacy. E un processo che inizia nelle fasi embrionali di una iniziativa, quando ci sono ancora opportunit di influenzare lesito e garantire la Privacy by Design 狸 Perch辿 fare un PIA (quando non richiesto)
identificare gli impatti, i rischi e le responsabilit sulla privacy; Fornire input per la progettazione per la tutela della privacy Esaminare i rischi privacy di un nuovo sistema informativo e valutarne gli impatti e le probabilit; Gestire gli aggiornamenti successivi o l aggiunta di nuove funzionalit che potrebbero impattare sui dati personali che sono trattati; Condividere e mitigare i rischi privacy con gli stakeholders, o fornire evidenza di compliance Perch辿 fare un PIA (quando non richiesto)
Evitare costi inutili Scongiurare perdita di fiducia e reputazione Informare il responsabile delle strategie di comunicazione Soddisfare e superare i requisiti legali Perch辿 fare un PIA (quando non richiesto)
Riservatezza info relative alla persona (Data e info privacy) Riservatezza della persona (integrit fisica, biometria, perquisizioni, vaccinazioni, etc) Privacy comportamenti personali (videosorveglianza, preferenze sessuali, politiche, media) Riservatezza comunicazioni personali (intercettazioni, monitoraggi, mail, etc) PIA: What means privacy
Identificazione degli impatti che il progetto ha sulla privacy; Valutazione deli impatto dal punto di vista di tutti gli stakeholder (rif. Art 35 p 9); Comprensione del livello di accettazione del progetto e delle sue caratteristiche/features dallorganizzazione e dalle persone interessate (loro rappresentanti); PIA: OUTPUT
Identificazione delle alternative meno invasive per la privacy; Chiarezza sulle esigenze aziendali che hanno effetti negativi sulla privacy e che non sono evitabili (accettazione del rischio residuo) Documentazione e pubblicazione dei risultati Necessit di una consultazione preventiva PIA: OUTPUT
La Responsabilit di condurre una PIA 竪 solitamente in capo ad un Senior Executive Level con lead su Risk Management, Audit e Compliance Il regolamento Europeo richiede per tale compito lintervento del Data Protection Officer PIA: CHI la conduce
1. Il titolare del trattamento, prima di procedere al trattamento, consulta lautorit di controllo qualora la valutazione dimpatto sulla protezione dei dati a norma dellart.35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio Art.36 Consultazione Preventiva In concreta attuazione del principio di accountability, tramite lesecuzione della Valutazione di Impatto, se il risultato non 竪 quello di un rischio elevato, si possono evitare gli obblighi amministrativi di consultazione preventiva dellautorit.
2. Se ritiene che il trattamento previsto di cui al par.1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, lautorit di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e pu嘆 avvalersi dei poteri di cui allart.58. Tale periodo pu嘆 essere prorogato di sei settimane, tenendo conto della complessit del trattamento previsto. Lautorit di controllo informa il titolare del trattamento omississ... entro un mese dal ricevimento della richiesta ...omississ... Art.36 Consultazione Preventiva In assenza di un riscontro nei tempi di cui al par.2 il titolare pu嘆 procedere al trattamento adottando tutte le misure previste per attenuare il rischio, fatto salvo il potere dellautorit di intervenire anche in seguito, anche bloccando il trattamento ma senza poter notificare al titolare una violazione dellart.36
3. Al momento di consultare lautorit di controllo ai sensi del par.1, il titolare del trattamento comunica allautorit di controllo: a) Se del caso, le rispettive responsabilit del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nellambito di un gruppo imprenditoriale; b) Le finalit e i mezzi del trattamento previsto c) Le misure e le garanzie previste per proteggere i diritti e le libert degli interessati a norma del presente regolamento; d) Se del caso, i dati di contatto del titolare della protezione dei dati; e) La valutazione di impatto sulla protezione dei dati di cui allart.35; Art.36 Consultazione Preventiva
ISO 29100 - PRIVACY FRAMEWORK ISO 29134 -PRIVACY Impact Assessment ISO 29151 - PRIVACY Code of Practice for PII protection STANDARD E NORME ISO PRIVACYMANAGEMENT
1.Consent and choice 2.Purpose legitimacy and specification 3.Collection limitation 4.Data minimization 5.Use, retention and disclosure limitation 6.Accuracy and quality 7.Openness, transparency and notice 8.Individual participation and access 9.Accountability 10 .Information security 11 .Privacy compliance ISO 29100 - Principi PRIVACYPRINCIPI
Metodologia per condurre un Privacy Impact Assessment funzionale a: identificare rischi relativi alla privacy e responsabilit collegate fornire input per la progettazione di sistemi ("privacy by design") riesaminare l'impatto sulla protezione delle PII di un sistema nuovo oppure soggetto a modifiche significative allocare risorse per il contenimento di impatti sulla privacy fornire informazioni su ambiti in cui la protezione dei dati personali 竪 un tema chiave fornire evidenza di conformit dove questa 竪 richiesta fornire evidenza ai PII principal delle misure di protezione presenti sul trattamento delle loro PII ISO 29134
ISO 29151
GRAZIE per lattenzione Lino Fornaro l.fornaro@evolumia.it PARTNER

More Related Content

Privacy e protezione del dato. Gli adempimenti del nuovo Regolamento UE 679/2016 - Lino Fornaro

  • 2. ICT Security e Risk assessment secondo il Regolamento UE 679/2016 Lecce, 3 Marzo 2017 Relatore: Lino Fornaro, Senior Security Consultant, Evolumia Srl
  • 3. Senior Security Consultant in EVOLUMIA SRL Lead Auditor ISO/IEC 27001:13 OSSTMM PROFESSIONAL SECURITY TESTER - OPST OSSTMM PROFESSIONAL SECURITY ANALYST - OPSA ISECOM Certified Trainer Certificato ICT Security Manager registro AICQ Sicev Docente Master sulla Sicurezza (ICS) presso TILS - LAquila Relatore in conferenze di sensibilizzazione sul tema ICT Security Esperto Normativa Italiana Privacy (DLgs 196/03) Esperto normative europee Cybersecurity Membro Comitato Direttivo CLUSIT Membro Comitato Tecnico Scientifico AICQ Sicev Uni 11506 Certificazioni informatiche Membro sottocommissione SC27 di UNINFO Socio Fondatore, membro Advisory Board di ANORC Membro Coordinamento ANORC PRIVACY $whois Lino Fornaro
  • 4. Regolamento Europeo: Principali novit Rafforzata la trasparenza dei trattamenti (Informazioni pi湛 chiare e complete) Rafforzato il controllo sui propri dati (nuove modalit di gestione del consenso e diritto alloblio) Limiti alla decisioni che hanno effetti giuridici basate su trattamenti automatizzati Diritto alla portabilit dei dati nel mercato digitale Pi湛 responsabilit per le imprese Unico insieme di norme in tutti gli stati dellUE Semplificazioni per i soggetti che offrono maggiori garanzie
  • 5. Regolamento Europeo: nuovo approccio alla protezione del dato Adeguamento delle misure di sicurezza al nuovo contesto: nuove tecnologie ed evoluzione del cyber crime Enfatizzati i principi della vecchia direttiva EU Richiesto un approccio sistemico alla sicurezza e alla protezione del dato Richiamo alla RISK ANALISYS diffuso (misure di sicurezza, PIA) Richiesta lefficacia e ladozione preventiva Richiesta la rilevazione e la denuncia delle violazioni alla sicurezza (Data Breach) Ricorso alla Certificazione come strumento per la compliance
  • 6. D.Lgs 196/03: Principio di necessit nel trattamento dei dati Art. 3. 1. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalit perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalit che permettano di identificare l'interessato solo in caso di necessit.
  • 7. Art.25 Protezione dei Dati sin dalla progettazione (PRIVACY by Design) Tenuto conto dello stato dellarte e dei costi di attuazione, nonch辿 della natura, dellambito di applicazione, del contesto e delle finalit del trattamento ..come anche dei rischi aventi probabilit e gravit diverse per i diritti e le libert delle persone fisiche. ..sia al momento di determinare i mezzi del trattamento sia allatto del trattamento stesso Il titolare del trattamento mette in atto misure techiche ed organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, .......
  • 8. Art.25 e protezione per impostazione predefinita (PRIVACY by Default) Il titolare mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalit di trattamento, .. ... In particolare dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali ad un numero indefinito di persone fisiche senza lintervento della persona fisica. Un meccanismo di certificazione approvato ai sensi dellart.42 pu嘆 essere utilizzato come elemento per dimostrare la conformit ai requisiti......
  • 9. Pseudonimizzazione ? Il trattamento di dati personali in modo tale che i dati personali non possano essere attribuiti a un interessato specifico senza lutilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile. ATTENZIONE: DIVERSO DAL DATO ANONIMO
  • 10. Art.32 Sicurezza del trattamento Tenendo conto dello stato dellarte e dei costi di attuazione, nonch辿 della natura delloggetto del contesto delle finalit del trattamento come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche Il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: RISKANALISYS
  • 11. Art.32 Sicurezza del trattamento a) La pseudonimizazione e la cifratura dei dati personali; (utile in caso di data breach) b) La capacit di assicurare su base permanente la riservatezza, lintegrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; (capacit di adattamento a condizione duso e resistenza a situazioni avverse per garantire disponibilit dei servizi erogati) a) La capacit di ripristinare tempestivamente la disponibilit e laccesso dei dati personali in caso di incidente fisico o tecnico; (procedure di DR e incident response) b) Una procedura per testare, verificare e valutare regolarmente lefficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento (come per la iso 27001) RISKANALISYS,DR,ISO
  • 12. Art.32 Sicurezza del trattamento 2. Nel valutare ladeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dallaccesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. 3. Ladesione ad un codice di condotta approvato di cui allart.40 o a un meccanismo di certificazione approvato di cui allart.42 pu嘆 essere utilizzata come elemento per dimostrare la conformit ai requisiti di cui al paragrafo 1 del presente articolo RISKANALISYS
  • 13. Art.33 Notifica di una violazione dei dati personali allautorit di controllo In caso di1. violazione dei dati personali, il titolare del trattamento notifica la violazione allautorit di controllo . senza ingiustificato ritardo ...entro 72 ore(*) dal momento in cui 竪 venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libert delle persone fisiche (**) DATABREACH (*) Misure tecniche che individuino la violazione e notifichino il titolare (**) ricorso alla cifratura, a patto che le chiavi crittografiche siano al sicuro (e non sui sistemi violati)
  • 14. Art.33 Notifica di una violazione dei dati personali allautorit di controllo La notifica d cui al paragrafo 1 deve almeno: Descrivere laa) natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonch辿 le categorie e il numero approssimativo di registrazioni di dati personali in questione; Comunicare il nome e i dati di contatto del responsabile dellab) protezione dei dati o di altro punto di contatto presso cui ottenere informazioni; DATABREACH
  • 15. Art.33 Notifica di una violazione dei dati personali allautorit di controllo La notifica d cui al paragrafo 1 deve almeno: Descrivere lec) probabili conseguenze della violazione (*) dei dati personali Descrivere led) misure adottate o di cui si propone ladozione da parte del titolare per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuare i possibili effetti negativi (**) DATABREACH (*) la Risk Analisys dovrebbe aver contemplato e misurato questo rischio e determinato le misure preventive (**) un piano di Risposta agli incidenti e una strategia di gestione della crisi sono fortemente consigliate
  • 16. Art.34 Comunicazione di una violazione dei dati personali allinteressato 1. Quando la violazione di dati personali 竪 suscettibile di presentare un rischio elevato per i diritti e le libert delle persona fisiche, il titolare del trattamento comunica la violazione allinteressato senza ingiustificato ritardo La comunicazione all2. interessato . descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui allart.33, par.3 lettere b) c) e d). DATABREACH
  • 17. Art.34 Comunicazione di una violazione dei dati personali allinteressato 3. Non 竪 richiesta la comunicazione allinteressato se 竪 soddisfatta una delle seguenti condizioni: a) Il titolare ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura. DATABREACH
  • 18. Art.34 Comunicazione di una violazione dei dati personali allinteressato b) Il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libert degli interessatindi cui al par.1 c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia. DATABREACH Una strategia di comunicazione che tuteli limmagine e che preservi il business aziendale 竪 necessaria
  • 19. Art.34 Comunicazione di una violazione dei dati personali allinteressato Danni fisici, materiali, morali Perdita del controllo dei dati Discriminazione Furto o usurpazione d'identit Decifratura non autorizzata della pseudonimizzazione Pregiudizio alla reputazione Perdita di riservatezza dei dati protetti da segreto professionale Perdite finanziarie Etc. DATABREACH
  • 20. Paragrafo 1 Quando un tipo di trattamento, allorch辿 prevede in particolare luso di nuove tecnologie, considerati la natura, loggetto, il contesto e le finalit del trattamento, pu嘆 presentare un rischio elevato per i diritti e le libert delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dellimpatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione pu嘆 esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi. Art.35 Valutazione dimpatto sulla protezione dei dati (PIA)
  • 21. La valutazione 竪 richiesta in particolare nei seguenti casi: Una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione. Il trattamento, su larga scala, di categorie particolari di dati personali, di cui allart.9 par.1, o di dati relativi a confanne penali e a reati di cui allart.10 ... La sorveglianza sistematica su larga scala di una zona accessibile al pubblico Lautorit redige e rende pubblico un elenco delle tipologie di trattamenti soggetti alla valutazione dimpatto Art.35 Valutazione dimpatto sulla protezione dei dati
  • 22. La valutazione dimpatto contiene almeno: Una descrizione sistematica dei trattamenti previsti e delle finalit di trattamento, compreso, se del caso, linteresse legittimo perseguito dal titolare del trattamento; Una valutazione della necessit e proporzionalit dei trattamenti in relazione alle finalit; Una valutazione dei rischi per i diritti e le libert degli interessati Le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformit al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione Art.35 Valutazione dimpatto sulla protezione dei dati
  • 23. La PIA 竪 uno strumento per indirizzare i potenziali impatti sulla privacy di un processo, un sistema informativo, un programma, un modulo software, un device o qualunque altra iniziativa che tratter dati personali (PII Personal Identifiable Information) e , in accordo con gli stakeholders, per adottare le azioni necessarie a trattare i rischi privacy. E un processo che inizia nelle fasi embrionali di una iniziativa, quando ci sono ancora opportunit di influenzare lesito e garantire la Privacy by Design 狸 Perch辿 fare un PIA (quando non richiesto)
  • 24. identificare gli impatti, i rischi e le responsabilit sulla privacy; Fornire input per la progettazione per la tutela della privacy Esaminare i rischi privacy di un nuovo sistema informativo e valutarne gli impatti e le probabilit; Gestire gli aggiornamenti successivi o l aggiunta di nuove funzionalit che potrebbero impattare sui dati personali che sono trattati; Condividere e mitigare i rischi privacy con gli stakeholders, o fornire evidenza di compliance Perch辿 fare un PIA (quando non richiesto)
  • 25. Evitare costi inutili Scongiurare perdita di fiducia e reputazione Informare il responsabile delle strategie di comunicazione Soddisfare e superare i requisiti legali Perch辿 fare un PIA (quando non richiesto)
  • 26. Riservatezza info relative alla persona (Data e info privacy) Riservatezza della persona (integrit fisica, biometria, perquisizioni, vaccinazioni, etc) Privacy comportamenti personali (videosorveglianza, preferenze sessuali, politiche, media) Riservatezza comunicazioni personali (intercettazioni, monitoraggi, mail, etc) PIA: What means privacy
  • 27. Identificazione degli impatti che il progetto ha sulla privacy; Valutazione deli impatto dal punto di vista di tutti gli stakeholder (rif. Art 35 p 9); Comprensione del livello di accettazione del progetto e delle sue caratteristiche/features dallorganizzazione e dalle persone interessate (loro rappresentanti); PIA: OUTPUT
  • 28. Identificazione delle alternative meno invasive per la privacy; Chiarezza sulle esigenze aziendali che hanno effetti negativi sulla privacy e che non sono evitabili (accettazione del rischio residuo) Documentazione e pubblicazione dei risultati Necessit di una consultazione preventiva PIA: OUTPUT
  • 29. La Responsabilit di condurre una PIA 竪 solitamente in capo ad un Senior Executive Level con lead su Risk Management, Audit e Compliance Il regolamento Europeo richiede per tale compito lintervento del Data Protection Officer PIA: CHI la conduce
  • 30. 1. Il titolare del trattamento, prima di procedere al trattamento, consulta lautorit di controllo qualora la valutazione dimpatto sulla protezione dei dati a norma dellart.35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio Art.36 Consultazione Preventiva In concreta attuazione del principio di accountability, tramite lesecuzione della Valutazione di Impatto, se il risultato non 竪 quello di un rischio elevato, si possono evitare gli obblighi amministrativi di consultazione preventiva dellautorit.
  • 31. 2. Se ritiene che il trattamento previsto di cui al par.1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, lautorit di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e pu嘆 avvalersi dei poteri di cui allart.58. Tale periodo pu嘆 essere prorogato di sei settimane, tenendo conto della complessit del trattamento previsto. Lautorit di controllo informa il titolare del trattamento omississ... entro un mese dal ricevimento della richiesta ...omississ... Art.36 Consultazione Preventiva In assenza di un riscontro nei tempi di cui al par.2 il titolare pu嘆 procedere al trattamento adottando tutte le misure previste per attenuare il rischio, fatto salvo il potere dellautorit di intervenire anche in seguito, anche bloccando il trattamento ma senza poter notificare al titolare una violazione dellart.36
  • 32. 3. Al momento di consultare lautorit di controllo ai sensi del par.1, il titolare del trattamento comunica allautorit di controllo: a) Se del caso, le rispettive responsabilit del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nellambito di un gruppo imprenditoriale; b) Le finalit e i mezzi del trattamento previsto c) Le misure e le garanzie previste per proteggere i diritti e le libert degli interessati a norma del presente regolamento; d) Se del caso, i dati di contatto del titolare della protezione dei dati; e) La valutazione di impatto sulla protezione dei dati di cui allart.35; Art.36 Consultazione Preventiva
  • 33. ISO 29100 - PRIVACY FRAMEWORK ISO 29134 -PRIVACY Impact Assessment ISO 29151 - PRIVACY Code of Practice for PII protection STANDARD E NORME ISO PRIVACYMANAGEMENT
  • 34. 1.Consent and choice 2.Purpose legitimacy and specification 3.Collection limitation 4.Data minimization 5.Use, retention and disclosure limitation 6.Accuracy and quality 7.Openness, transparency and notice 8.Individual participation and access 9.Accountability 10 .Information security 11 .Privacy compliance ISO 29100 - Principi PRIVACYPRINCIPI
  • 35. Metodologia per condurre un Privacy Impact Assessment funzionale a: identificare rischi relativi alla privacy e responsabilit collegate fornire input per la progettazione di sistemi ("privacy by design") riesaminare l'impatto sulla protezione delle PII di un sistema nuovo oppure soggetto a modifiche significative allocare risorse per il contenimento di impatti sulla privacy fornire informazioni su ambiti in cui la protezione dei dati personali 竪 un tema chiave fornire evidenza di conformit dove questa 竪 richiesta fornire evidenza ai PII principal delle misure di protezione presenti sul trattamento delle loro PII ISO 29134
  • 37. GRAZIE per lattenzione Lino Fornaro l.fornaro@evolumia.it PARTNER