Tempo di lettura: 8 min
Che cos’e’ il regolamento generale sulla protezione dei dati (GDPR) dell’Unione Europea (UE)?
♦ Il GDPR è un nuovo regolamento UE che non riguarda solo le aziende con sede nell’Unione Europea! | ♦ Il GDPR riguarda i dati personali e in generale prevede norme più severe di gran parte delle altre leggi a tutela della privacy |
♦ Il GDPR riguarda tutte le aziende che: ◊ Abbiano dipendenti nell’UE ◊ Offrano beni o servizi a cittadini dell’UE ◊ Monitorino il comportamento di cittadini dell’UE (ad es. pubblicità mirata) | ♦ Il rispetto del GDPR non comporta solo la formulazione e l’attuazione di politiche e processi, ma anche un impegno permanente per tutelare la privacy |
Il GDPR è urgente e imminente
ENTRA IN VIGORE IL 25 MAGGIO 2018! | SANZIONI AMMINISTRATIVE:10.000.000 di € o il 2% del fatturato mondiale totale annuo, se superiore Esempi: mancata tenuta di un registro scritto delle attività di trattamento; mancata adozione di misure tecniche/organizzative proporzionate al rischio o mancata nomina di un responsabile della protezione dei dati ove richiesto 20.000.000 di € o il 4% del fatturato mondiale totale annuo, se superiore Esempi: mancato rispetto dei requisiti per il trasferimento transfrontaliero dei dati, delle limitazioni speciali relative ai dati sensibili (minori, stato di salute, ecc.) o dei diritti dei singoli di controllare i loro dati personali |
Concetti base del GDPR
Interessato (utente)Chiunque sia identificabile (direttamente o indirettamente) in base ai suoi dati personalinell’UE. | Titolare del trattamento“La persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali.” | Responsabile del trattamento“La persona fisica o giuridica,l’autorità pubblica, il servizio o altroorganismo che tratta dati personali per conto del titolare del trattamento.” |
Dato personale“Qualsiasi informazione riguardante una persona fisica identificata o identificabile.” Si considerano dati personali: nome, indirizzo e-mail, informazioni sullo stato di salute, ubicazione, dati bancari, indirizzo IP, cookie, identità culturale, ecc. | Trattamento dei dati“Qualsiasi operazione o insieme di operazioni compiute su dati personali.” Sono considerate trattamento tutte le attività di raccolta, conservazione, archiviazione, riproduzione, uso, accesso, trasferimento, modifica, estrazione, comunicazione, cancellazione o distruzione dei dati. |
Che cosa significa conformita’ al GDPR?
Il GDPR è un impegno permanente!
Come dimostrare la conformità al GDPR:
♦ Trattare i dati secondo i principi del GDPR: in modo lecito, corretto, sicuro, limitato alle finalità, ecc.
♦ Eseguire valutazioni periodiche del rischio per la sicurezza
♦ Monitorare il trattamento dei dati per rilevare le violazioni
♦ Mantenere aggiornate le politiche e le procedure aziendali
♦ Adottare misure tecniche e organizzative adeguateper attenuare i rischi ai dati personali
Obblighi del titolare e del responsabile del trattamento
Titolari e responsabili del trattamento sono soggetti al GDPR e, ai sensi del regolamento, hanno i seguenti obblighi: • Garantire la sicurezza del trattamento • Trasferire i dati all’estero in modo lecito |
Il titolare del trattamento è tenuto a stipulare un contratto dettagliato per il trattamento con ogni responsabile del trattamento. Il contratto deve prevedere che il responsabile del trattamento agisca solo secondo le istruzioni del titolare e rispetti le disposizioni del GDPR (oltre ad altri obblighi). |
Esempio: il ruolo del service provider (Secure Online Desktop)
Un soggetto residente nell’UE (interessato) ottiene un prestito dalla banca del suo paese. La banca raccoglie i dati personali dell’interessato e determina le finalità e le modalità per il loro trattamento.
La banca è il titolare del trattamento. La banca acquista dei servizi di backup su cloud da un provider di servizi gestiti (MSP) che esegue i backup per conto della banca. L’MSP usa i dati personali esclusivamente per le finalità indicate dalla banca. L’MSP è il responsabile del trattamento.
[btnsx id=”2929″]
Sicurezza del trattamento
È necessario adottare controlli di sicurezza per garantire in modo permanente la riservatezza, l’integrità e la disponibilità dei sistemi e dei servizi per proteggere i dati personali da:
♦ Minacce esterne (ad es. pirati informatici).
♦ Minacce interne (ad es. dipendenti non adeguatamente formati).
♦ Elaborazione non autorizzata o illecita.
♦ Perdita, distruzione o danneggiamento accidentale.
I dati personali devono essere trattati secondo i principi del GDPR (Art. 5): sicurezza, liceità, trasparenza, limitazione delle finalità, esattezza, minimizzazione dei dati, integrità e riservatezza. I sistemi per il trattamento dei dati personali devono attuare la protezione dei dati fin dalla progettazione e per impostazione predefinita e prevedere garanzie quali la crittografia e la pseudonimizzazione.
Deve essere messo in atto un processo per valutare periodicamente l’efficacia delle misure tecniche e organizzative che garantiscono la sicurezza del trattamento su base permanente.
Diritto dell’interessato/dell’utente
Il GDPR conferisce ai cittadini UE nuovi e più ampi diritti sui loro dati personali:
♦ Accesso ai dati personali (descrizione delle finalità del trattamento, informazioni sul titolare/responsabile del trattamento, periodo di conservazione, registri delle attività, ecc.).
♦ Rettifica dei dati personali: correzione di errori e aggiornamento.
♦ Limitazione del trattamento / Opposizione al trattamento in attesa di una verifica.
♦ Cancellazione dei dati personali (nota anche come “diritto all’oblio”).
♦ Portabilità dei dati: possibilità di esportare i dati personali in formato leggibile da dispositivo automatico.
♦ Trasparenza: possibilità di sapere quali dati personali vengono raccolti, conservati e trattati, nonché di conoscere modalità e luogo del trattamento e della conservazione.
Gli utenti possono esercitare i loro diritti tramite un titolare, un responsabile del trattamento oppure, ove disponibile, un meccanismo automatizzato. È necessario ottemperare alla richiesta entro 30 giorni.
Diritti dell’interessato / dell’utente I diritti degli interessati non sono assoluti! Ad esempio, il diritto alla cancellazione è valido solo se:
♦ i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti (e non sussistono nuove finalità lecite);
♦ il fondamento giuridico per il trattamento è il consenso dell’interessato, l’interessato revoca il consenso e non sussiste altro fondamento giuridico;
♦ l’interessato esercita il diritto all’opposizione, e il titolare non ha alcun motivo legittimo prevalente per continuare nel trattamento; • i dati personali sono stati trattati illecitamente; oppure
♦ la cancellazione dei dati personali è necessaria per adempiere a un obbligo legale previsto dal diritto dell’Unione o dello Stato membro.
Politica di notifica delle violazioni dei dati
Tutti i titolari del trattamento sono tenuti a informare l’autorità di controllo competente in caso di violazione dei dati personali entro 72 ore dal momento in cui abbiano avuto ragionevole certezza che la disponibilità, la riservatezza o l’integrità dei dati personali del cittadino EU sia stata compromessa. Se è probabile che la violazione presenti un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve informare anche i soggetti interessati. Politica di notifica delle violazioni dei dati I titolari del trattamento devono controllare che gli eventuali responsabili e subincaricati del trattamento abbiano a loro volta messo in atto adeguate politiche per la notifica delle violazioni dei dati. Il responsabile del trattamento deve informare il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali.
Trasferimento transfrontaliero dei dati
♦ Il trasferimento di dati personali di cittadini EU/SEE a destinatari al di fuori dell’UE/SEE è in genere vietato a meno che:
◊ la giurisdizione in cui si trova il destinatario sia ritenuta in grado di offrire un livello adeguato di protezione dei dati
◊ chi esporta i dati fornisca garanzie adeguate (ad es. norme vincolanti d’impresa, clausole tipo di protezione dei dati, uno strumento giuridicamente vincolante e avente efficacia esecutiva fra titolare o responsabile del trattamento nel paese terzo)
◊ valgano deroghe o esenzioni
♦ Titolari e responsabili del trattamento devono adottare meccanismi leciti di trasferimento dei dati personali che prevedano fra l’altro il consenso dell’interessato, clausole tipo, il rispetto del Privacy Shield in vigore tra UE e Stati Uniti e norme vincolanti d’impresa.
♦ I service provider che utilizzano i servizi Acronis Cloud (backup, disaster recovery, Files Cloud) possono specificare l’area geografica in cui saranno archiviati i dati dei clienti (ad es. in un data center situato nell’UE). I service provider devono sempre tenere presente che l’accesso remoto ai dati è considerato trasferimento.
In che modo Acronis Cloud Backup puo’ aiutare i service provider a rispettare quanto disposto dal GDPR
Sicurezza del trattamento
♦ Crittografia in transito (SSL/TLS) e a riposo (Acronis Storage con AES).
♦ Registri di audit per rilevare comportamenti sospetti e raccogliere registrazioni sul trattamento dei dati.
♦ Accesso basato sui ruoli per garantire la riservatezza e proteggere da trattamenti non autorizzati
♦ Dashboard con avvisi e report per migliorare controllo e monitoraggio.
♦ Regole di conservazione personalizzabili per il principio di minimizzazione dei dati.
Diritti dell’interessato / dell’utente
. ♦ Accesso ai dati, navigazione negli archivi per trovare i dati richiesti.
♦ Configurazione dei dati di profilo dell’account per facilitare la rettifica dei dati personali.
♦ Esportazione dei dati personali.
♦ Eliminazione degli archivi.
Trasferimento transfrontaliero dei dati
♦ Controllo dell’ubicazione dell’archivio dati.
♦ Data center ubicati nella UE.
Corrispondenza tra i requisiti del GDPR e Acronis Backup Cloud
| REQUISITO | FUNZIONI CHE LO SUPPORTANO |
| Protezione dei dati personali | Crittografia in transito e a riposo Accesso basato sui ruoli e gestione degli accessi in base ai privilegi Protezione attiva contro le minacce ransomware |
| Accesso / controllo agevole dei dati personali su richiesta degli interessati | Consultazione degli archivi Rettifica agevole dei dati personali Esportazione dei dati personali (in formato zip) Regole di conservazione personalizzabili |
| Controllo dell’ubicazione dei dati | Controllo dell’ubicazione dell’archivio dati Data center ubicati nella UE |
| Monitoraggio / notifica delle violazioni | Registri di audit per rilevare comportamenti sospetti e prevenire le minacce Dashboard con avvisi e report per migliorare controllo e monitoraggio |
Privacy
To date, issues related to privacy and personal data protection are felt more than ever, just think of the scandal Facebook and Cambridge Analytica, it is no coincidence that the Privacy Guarantor and the European Union have introduced the Regulation (EU) 2016/679 April 27, 2016 (GDPR) which provides a series of guidelines that companies in the European community must observe to ensure the protection and confidentiality of the stored user data.
PRIVACY AND GDPR
The GDPR contains in itself not only the aspects strictly related to privacy but a more complex set of issues, from legal to more technological. The new EU regulation 2016/679 of 28 April 2016 in fact revolves around the concepts of data protection, its life cycle and the correct information that the user must receive about his data.
PRIVACYHUB
From the need to face in its complexity the theme of the GDPR thanks to the contribution of specific skills and mainly coming from the areas of Privacy, Legal and Technological, in December 2017 PrivacyHub was born. PrivacyHub is a network of companies established with the common intent to build a center of competence to respond in a professional and targeted manner to the new European regulation and to all issues related to data protection.
PrivacyHub consists of the following actors:
♦ Secure Online Desktop | Technological services and Cloud: It deals with all the technological aspects in terms of Data Protection (Cloud Backup, Vulnerability Assessment & Penetration Test, Audit Management, Log Management) offering the targeted service based on the customer’s reality and the results obtained by the Gap Analysis.
♦ ATS – Consulenti Associati | Consulting and certifications;
♦ Studio legale Miari Preite | Legal aspects;
♦ Studio legale Paolo Mega | Legal aspects.
which, by centralizing the client’s needs and sharing their knowledge, are able to propose complete and targeted solutions for the adaptation to the EU regulation 2017/679 of 28 April 2016.
[btnsx id=”6600″]
WHAT WE OFFER
We offer privacy consulting services. After an information collection (privacy assessment) we are able to carry out all the activities necessary to obtain the adaptation to the new European regulation.
[btnsx id=”6589″]
Useful links:
GDPR: what’s new and what’s old
New European regulation (GDPR)
[btnsx id=”2931″]
regulation-2016-679-of-27-april-2016
The 2016-679 regulation of 27 April 2016 will apply in all Member States from 25 May 2018, within which the companies will have to comply with the new Privacy Act.
As activities related to privacy advice and specifically in relation to the minimum security measures that must be prepared following the Gap Analysis and Privacy Assessment, the Secure Online Desktop offers the following services.
Our services for the regulation-2016-679-of-27-april-2016
It is the consulting activity for the adaptation to the new 2016-679 privacy regulation. Find out more.
It is one of the first activities within the GDPR consulting projects aimed at “photographing” the current state of the company on the topic of Privacy. Find out more.
♦ VULNERABIITY ASSESSMENT & PENETRATION TEST
The activities of the Vulnerability Assessment and Penetration Test are aimed at assessing the level of IT security of an IT infrastructure. Find out more.
The training of persons in charge of processing personal data, in addition to constituting a legal obligation, is one of the most effective security measures to protect the same data. In fact, training is essential for logical and physical security measures, as well as policies and procedures adopted by companies, to find concrete and conscious application in daily practice.
The courses are delivered in the classroom directly at the customer, and are designed and maintained by Privacy Officer and teachers who are experts in personal data security and organization.
All our courses are highly practical and are carried out through a constant interaction between teacher and participants, with the aim not only to make the fundamental principles of the law known, but also and above all to increase the participants’ awareness on safety measures from adopt and on the behavioral guidelines for the correct use of company tools. Find out more.
The collection, aggregation and secure storage of logs are some of the activities to be considered in the process of adaptation to the GDPR. Find out more.
♦ AUDIT MANAGEMENT
Our Audit Management system verifies the access of “privileged” users to remote servers, prevents unauthorized behavior, records activities in searchable video sessions and generates compliance and support reports.
♦ STRONG AUTHENTICATION
♦ ENCRYPTION
Data resilience, backup and threat protection are fundamental aspects of the new 2016-679 Regulation of 27 April 2016. Find out more.
The Secure Online Desktop primarily has put in place the appropriate measures to comply with the adaptation in order to protect the privacy of its users.
[btnsx id=”2931″]
USEFUL LINKS:
New European regulation (GDPR)
Introducing a set of new GDPR tools
IaaS | Cloud | Infrastructure as a Service
GDPR 2018: what’s new and what’s old.
In my work as a privacy professional I have dealt with companies and public administrations that – those with more effort and effort, those with less – have tried to adapt to the so-called “privacy” regulations that have taken place over the last twenty years. But when I happened to meet these companies after a while, I discovered that all those efforts – big or small they were – had no following: a magnificent castle was built but no maintenance was done , and that castle fell to pieces, in some cases it no longer exists and many do not know if it ever existed.
So when I think of the GDPR and all those who are concerned with the changes that this introduces and the investments that will need to be made to adapt, in short, when my clients ask me how much this new castle will cost them, I would rather say than think what will be needed to invest in building the castle (new software, new technologies) will be more important to think about later, how to organize and maintain their processes, how to keep their people up to date, how to verify, monitor that data are treated in the respect for the principles, that the effectiveness of the security measures is always adequate in relation to the evolution of the threats and the new treatments that the companies put in place.
Yes, because in the GDPR there is little new as to prescriptions (the GDPR has not so much prescriptive character), there is instead a lot of new in terms of principles and responsibilities.
One of the key principles of the GDPR 2018 is in fact that of accountability, of accountability.
In fact, the Owner is responsible for any decision on the appropriate measures to be prepared, and the measures are established on the basis of the results of the risk analysis (and this is not new, remember the DPSS whose compulsory had been canceled in our legal system?). And the risk analysis must be done on the treatments, it is necessary to draw up a Register of Treatments (The DPSS foresaw a census of the treatments, even here nothing new …).
But security measures, treatment processes, are not something static. Moreover it may happen that not all organization is constant in applying principles and measures in daily practice.
Here then the GDPR requires that the effectiveness of the measures is monitored, that the application of the principles is verified: this has only one name, which in the Italian version of the GDPR has been translated in an abrupt manner in three different ways. This name is AUDIT: here’s what you have to keep doing.
And much attention must also be done when designing new measures, new treatments: it will be necessary to respect the key principles of privacy by design and privacy by default.
And for the most risky treatments (those that are operated on data that are risky for the freedom and dignity of the data subjects, health data, biometric data, genetic data …), an Impact Assessment must be carried out before starting the treatment. The current legislation provides for a notification to the Guarantor, an act that is usually only bureaucratic: the GDPR asks for something more complicated, which goes to intersect with the principle of accountability: it is always the owner who is responsible for carrying out an evaluation impact and decide on the measures.
In conclusion, in GDPR 2018 there is a lot of old, already present in the current legislation, although in some cases a bit ‘hidden between the lines, but often less hidden in the measures of the Guarantor. The real news, as we have seen, lies in the responsibility, in the need – even in the obligation – to do maintenance, and it is precisely there that also go to fit the new (those yes!) And much heavier penalties.
Paolo Raimondi, Privacy Officer and Privacy Consultant
GDPR 2018
[btnsx id=”2931″]
Useful links:
Introducing a set of new GDPR tools
New European regulation (GDPR)
Stay in control of your fast-moving, quick-shifting data
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_1}Products and Solutions
Partners
Cloud Models
News
- From Secure Online Desktop to Cyberfero: rebranding of the leading cybersecurity company May 6, 2024
- NIS: what it is and how it protects cybersecurity April 22, 2024
- Advanced persistent threats (APTs): what they are and how to defend yourself April 17, 2024
- Penetration Testing and MFA: A Dual Strategy to Maximize Security April 15, 2024
- Penetration Testing: Where to Strike to Protect Your IT Network March 25, 2024
Google Reviews
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!read more
Ottimo supportoread more
E' un piacere poter collaborare con realtà di questo tiporead more
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.read more
About
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO