Transcript

1 Luciano Corino Ex manager di alcune importanti aziende italiane, si occupa di Privacy, Modello organizzativo e Web protection. Per formazione è un informatico, ma non ha mai scritto una riga di software. Ha lavorato per 25 anni in ambito marketing in Toro Assicurazioni, Seat Pagine Gialle, Gruppo Formula, Bassani Finanziaria, Dylog, IBM S.I. Nel 1996 entra in Chiocciola S.r.l., società di consulenza direzionale specializzata in direct marketing, marketing, ricerche di mercato. Nel 2001, insieme con alcuni partners, fonda Applicando S.r.l.. Ha frequentato i corsi di specializzazione del Garante della Privacy, del colonnello Umberto Rapetto, del prof. Giovanni Ziccardi e del dottor Gerardo Costabile, nonché i corsi di formazione per Privacy Officer ottenendo la certificazione TUV. Membro del Comitato Scientifico di FederPrivacy, è referente provinciale per detta associazione. E coautore, con l avvocato Valentina Corino, del manuale Codice in materia di protezione dei dati personali D.lgs. 30 giugno 2003, n Gli articoli da sapere, le norme e i comportamenti da rispettare. Con Giuseppe Izzinosa e Claudio Pasqua ha scritto il libro Internet per l'artigianato e la piccola impresa, curando la sezione "Privacy and security sul web". E relatore in convegni su Privacy, Sicurezza sui luoghi di lavoro, Risk Management. E' docente ai corsi di formazione di Eurofins Modulo Uno. E consulente di imprese, enti locali e associazioni di categoria. 1

2 Verso il Regolamento Europeo Sicurezza e protezione dei dati personali 2

3 Dati persone giuridiche non personali Abolizione del DPS Nuove regole per il marketing Registro delle opposizioni e Opt-ou Nuove disposizioni in materia di videosorveglianza Misure e accorgimenti prescritti ai titolari dei trattamenti relativamente alle attribuzioni delle funzioni di amministratore di sistema Semplificazione delle misure di sicurezza contenute nel disciplinare tecnico di cui all'allegato B) Lavoro: linee guida del Garante per posta elettronica e internet Linee guida in materia di trattamento di dati personali dei lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati Videosorveglianza - Provvedimento generale d.lgs. 196/2003 Codice in materia di protezione di dati personali 3

4 Quale futuro? 4

5 Il 25 gennaio 2012 la Commissione europea ha presentato ufficialmente le proposte relative al nuovo quadro giuridico europeo in materia di protezione dei dati. Si tratta di un Regolamento, quindi di effetto immediato. 5

6 restano ferme le definizioni fondamentali, ma con alcune significative aggiunte (dato genetico, dato biometrico); viene introdotto il principio dell'applicazione del diritto UE anche ai trattamenti di dati personali non svolti nell'ue, se relativi all'offerta di beni o servizi a cittadini UE o tali da consentire il monitoraggio dei comportamenti di cittadini UE; si stabilisce il diritto degli interessati alla "portabilità del dato" si stabilisce il diritto degli interessati alla "portabilità del dato" (ad. es. nel caso in cui si intendesse trasferire i propri dati da un social network ad un altro) ma anche il "diritto all oblio", ossia di decidere quali informazioni possano continuare a circolare (in particolare nel mondo online) dopo un determinato periodo di tempo, fatte salve specifiche esigenze (ad esempio, per rispettare obblighi di legge, per garantire l esercizio della libertà di espressione, per consentire la ricerca storica); 6

7 scompare l'obbligo per i titolari di notificare i trattamenti di dati personali, sostituito da quello di nominare un "data protection officer" per tutti i soggetti pubblici e per quelli privati al di sopra di un certo numero di dipendenti o appartenenti a determinati settori di attività; viene introdotto il requisito del "privacy impact assessment" (valutazione dell'impatto-privacy) oltre al principio generale detto "privacy by design" (cioè la previsione di misure a protezione dei dati già al momento della progettazione di un prodotto o di un software); si stabilisce l'obbligo per tutti i titolari di notificare all'autorità competente le violazioni dei dati personali ("personal data breaches"); si fissano più specificamente poteri (anche sanzionatori) e requisiti di indipendenza delle autorità nazionali di controllo, il cui parere sarà indispensabile qualora si intendano adottare strumenti normativi, comprese le leggi, che impattino sulla protezione dei dati personali. 7

8 8

9 Articolo 28 Documentazione 1. Ogni responsabile del trattamento, incaricato del trattamento ed eventuale rappresentante del responsabile del trattamento conserva la documentazione di tutti i trattamenti effettuati sotto la propria responsabilità. 3. Il responsabile del trattamento, l incaricato del trattamento e l eventuale rappresentante del responsabile del trattamento mettono la documentazione a disposizione dell autorità di controllo, su richiesta. Articolo 31 - Notificazione di una violazione dei dati personali all autorità di controllo 4. Il responsabile del trattamento documenta la violazione dei dati personali, incluse le circostanze in cui si è verificata, le sue conseguenze e i provvedimenti adottati per porvi rimedio. La documentazione deve consentire all autorità di controllo di verificare il rispetto del presente articolo. In essa figurano unicamente le informazioni necessarie a tal fine. Articolo 79 - Sanzioni amministrative 5. L autorità di controllo irroga sanzioni amministrative pecuniarie fino a EUR o, per le imprese, fino all 1% del fatturato mondiale annuo, a chiunque, con dolo o colpa: (f) omette di conservare o non conserva in modo sufficiente la documentazione di cui all articolo 28, all articolo 31, paragrafo 4, e all articolo 44, paragrafo 3; 9

10 contromisure fisiche, tecniche, procedurali contromisure riduzione G riduzione P 10

11 ... e i comportamenti? eventi indesiderati comportamento comportamento + fattori esterni fattori esterni 15% 5% 80% 11

12 ... e i comportamenti? le contromisure procedurali. non modificano i comportamenti le contromisure fisiche e tecniche. riducono errori e violazioni involontari, ma tendono a perdere efficacia con il tempo le contromisure fisiche e tecniche. riducono per un brevissimo tempo errori e violazioni volontari 12

13 ... e i comportamenti? adottare idonee contromisure fare formazione motivazione, leadership, premi fare in modo che i lavoratori possano assumere comportamenti sicuri fare in modo che i lavoratori sappiano assumere comportamenti sicuri fare in modo che i lavoratori vogliano assumere comportamenti sicuri AREA INTERVENTO AREA NON INTERVENTO 13

14 qualche buona ragione per prepararsi in tempo eventi indesiderati con conseguenze 1 AREA DI INTERVENTO eventi indesiderati con conseguenze 10 eventi indesiderati mancati 100 AREA DI NON INTERVENTO comportamenti pericolosi? 14

15 qualche buona ragione per prepararsi in tempo prevenire la commissione di illeciti e di reati individuare responsabilità comminare provvedimenti disciplinari e sanzioni ragioni giuridiche prevenire e ridurre le inefficienze ridurre gli errori, le violazioni, gli eventi indesiderati prevenire i furti (dati, brevetti, identità ) ragioni manageriali ed economiche 15

16 Grazie per l attenzione Sicurezza e protezione dei dati personali: verso il Regolamento Europeo 16