Blog : Privacy

La prevenzione quale difesa efficace: il caso “WannaCry”.

La prevenzione quale difesa efficace: il caso “WannaCry”.

All’indomani di un attacco hacker1 su larghissima scala e dagli effetti economicamente devastanti, privati, aziende e pubbliche amministrazioni (di seguito P.A.) stanno cercando di correre ai ripari per tentare, quantomeno, di contenere i danni. Il CERT della Pubblica Amministrazione e Windows hanno diffuso, nelle scorse ore, indicazioni per cercare di ridurre i rischi di compromissione conseguenti all’attacco del ransomware2; la domanda che sorge spontanea è: ma quanto sono utili, nel concreto, queste azioni compiute a posteriori?

Non più di due mesi fa, l’Agenzia per l’Italia Digitale ha emanato la circolare n°1/2017 del 17 marzo 2017 recante l’elenco delle misure minime di sicurezza informatica per la Pubblica Amministrazione; esse si incentrano sulla sicurezza hardware e software e sui comportamenti umani. I fondamenti della sicurezza riguardano la difesa dei sistemi informatici da problemi interni (comportamenti dei dipendenti) e da attacchi esterni, nonché, la protezione del patrimonio informativo. Tali misure, individuate dall’Agenzia, sono di diversi livelli: minime, standard e di livello alto e sono calibrate con un approccio tecnico personalizzato sulle singole realtà dei vari uffici della P.A.

La stessa Microsoft ha rilasciato un update che risolve la falla nel suo sistema operativo rendendolo, una volta effettuato l’aggiornamento, non attaccabile dal ransomware, anche se è bene ricordare che quest’ultimo potrebbe cambiare il vettore tramite cui si propaga, dando seguito liberamente alla sua azione.

La sicurezza dei dati contenuti nei nostri dispositivi connessi alla rete diventa una questione “culturale”; tutti i nostri devices sono collegati l’un l’altro e la presenza di un ransomware in uno, a causa della mancata adozione di misure minime di sicurezza, è quasi certo che possa infettare i dispositivi che con quello si connettono. L’adozione delle misure di sicurezza, rappresenta, ad oggi, la più efficace, se non l’unica, arma di prevenzione a disposizione di privati, aziende e P.A., necessariamente assistita da una forte spinta culturale nel rispetto di norme (oggi il Codice della Privacy ed i Provvedimenti del Garante per la protezione dei dati personali, domani – al più tardi entro il 25 ,aggio 2018 – il nuovo Regolamento europeo privacy) e di atti amministrativi delle Autorità preposte.

Per consultare la documentazione utile citata nel testo, cliccate ai link sotto riportati:

1 La campagna ransomware WannaCry ha colpito 150 paesi da venerdì 12 maggio scorso, sfruttando una falla presente nel sistema operativo Windows, ha attaccato i devices collegati alla rete e cifrato tutti i dati in questi contenuti. Unico scampo per i mal capitati è pagare un riscatto in BIT COIN per avere indietro i dati contenuti nel proprio dispositivo. (fonte: www.ansa.it)

2 Un ransomware è un tipo di malware che limita l’accesso del dispositivo che infetta, richiedendo un riscatto (ransom in Inglese) da pagare per rimuovere la limitazione. Ad esempio alcune forme di ransomware bloccano il sistema e intimano l’utente a pagare per sbloccare il sistema, altri invece cifrano i file dell’utente chiedendo di pagare per riportare i file cifrati in chiaro. (fonte: www.wikipedia.it)

Nuovo Regolamento sulla Protezione dei Dati Personali

Nuovo Regolamento sulla Protezione dei Dati Personali

Pubblicato in Gazzetta Ufficiale dell’Unione Europea il nuovo Regolamento sulla Protezione dei Dati Personali

Il 4 Maggio 2016, è stato pubblicato sulla Gazzetta Ufficiale dell’Unione Europea (L 119)  il nuovo Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati). Trascorsi venti giorni dalla pubblicazione, il Regolamento andrà formalmente in vigore e  troverà piena attuazione a partire dal 25 Maggio 2018. Nel corso dei due anni dalla pubblicazione, tutti gli Stati Membri dovranno recepire a pieno le novità sulla privacy apportate dalla normativa, sostituendo o armonizzando l’attuale quadro giuridico, nonostante restino applicabili Linee Guida, Provvedimenti e altri interventi regolatori che non contrastano con la nuova normativa comunitaria.

Lo stesso giorno sono state  pubblicate  in Gazzetta Ufficiale dell’Unione Europea altre due direttive, di seguito indicate:

  • la Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio; gli Stati membri dovranno adottare e pubblicare, entro il 6 maggio 2018, le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva;
  • la Direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio, del 27 aprile 2016, sull’uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi; gli Stati membri dovranno mettere in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro il 25 maggio 2018.

Per saperne di più cliccate qui

Privacy e Dati Sanitari

Privacy e Dati Sanitari

L’impatto privacy, nella specifica materia del trattamento dei dati di tipo sanitario, è di notevole importanza in virtù del fatto che si entra in contatto non solo con dati personali ma bensì anche con dati definiti come sensibili.

Per questi ultimi, la tutela della riservatezza, di impatto sulla dignità e libertà dell’individuo, è ampliata e qualificata non solamente dal Codice Privacy, quale normativa fondamentale, ma altresì da Linee Guida del garante e da fonti Regolamentari dell’Autorità di Governo.

Oggi la Pubblica Amministrazione e le strutture di cura private sono inevitabilmente dirette verso l’informatizzazione dei loro servizi: dall’introduzione del fascicolo e del dossier sanitario elettronico del cittadino, alla certificazione on-line di malattia e alla ricetta elettronica.

Gli obblighi in materia di trattamento dei dati sanitari sono stati disciplinati, dopo un iniziale vuoto normativo, dalle Linee guida in tema di Fascicolo Sanitario Elettronico del 16 luglio 2009, dalle Linee Guida in tema di referti on-line del 19 novembre 2009, Legge n. 221/2012  – la quale disciplina la sanità digitale – e dal  DPCM n. 179 del 29 settembre 2015, vale a dire il Regolamento in materia di Fascicolo Sanitario Elettronico.

Nello specifico, la dematerializzazione della documentazione ha avuto inizio con la refertazione digitale on-line e sta ultimandosi con l’introduzione del Fascicolo e del Dossier Sanitario Elettronico. Si intende per Fascicolo Sanitario Elettronico (FSE) la raccolta on line di dati e informazioni sanitarie che costituiscono la storia clinica e di salute di una persona, originati dai vari attori del Sistema Sanitario. Il Dossier Sanitario Elettronico (DSE) si differenzia da quest’ultimo in quanto riguarda la “storia clinica” del paziente nella singola struttura di cura.

L’introduzione di questi strumenti digitali rappresenta un fondamentale passo avanti non solo ai fini di cura e diagnosi ma anche ai fini della razionalizzazione della spesa sanitaria pubblica e di programmazione sanitaria.  Il FSE può essere alimentato unicamente sulla base del consenso libero e informato da parte dell’assistito, il quale può decidere se e quali dati relativi alla propria salute non devono essere inseriti nel fascicolo medesimo: deve essere sempre garantito all’assistito il diritto all’oscuramento, ovvero la possibilità di scegliere di non far confluire nel FSE informazioni relative a singoli eventi clinici.

Il trattamento dei dati del paziente deve essere effettuato, esclusivamente, da parte di titolari del trattamento – i quali devono necessariamente essere soggetti operanti nell’ambito sanitario – l’informativa dovrà indicare, in modo esplicito, le categorie di soggetti diversi dal titolare che nel prendersi cura dell’interessato possono accedere alla sua documentazione, nonché la connessa possibilità di manifestare il consenso a che solo alcuni di questi soggetti possano consultarlo. Unica eccezione a tali stringenti previsioni, è il caso in cui la consultazione del FSE risulti indispensabile per la salvaguardia della salute di un terzo o della collettività, Autorizzazione Generale del Garante n.2/2014.

E’ indubbio che informatizzare tali dati comporta il loro trattamento -ovvero la registrazione, la comunicazione e ed il trasferimento-  sollevando così numerosi problemi dal punto di vista  Privacy i quali investono la raccolta del dato, la sicurezza delle reti informatiche su cui questi dati viaggiano, i ruoli ed le responsabilità dei soggetti che trattano gli stessi dati.

In conclusione, in questo più che negli altri settori,  in virtù della peculiarità dei dati trattati nello specifico e dei riflessi che questi anno sulla vita quotidiana del singolo cittadino, è di fondamentale importanza riuscire a trovare il giusto punto di equilibrio fra la tutela dei diritti degli interessati e le finalità di efficienza del servizio sanitario e di semplificazione dell’esercizio del diritto alla salute da parte del cittadino in ogni momento del percorso sanitario.

Privacy e Video Sorveglianza

Privacy e Video Sorveglianza

Il settore della videosorveglianza negli ultimi anni continua a non conoscere crisi, spaziando dalla sicurezza in abitazioni private, ai luoghi pubblici, aziende, pubblici trasporti e numerosi altri ambiti. Eppure, questo sempre maggiore interesse ed il correlato incremento della domanda di sicurezza, da parte sia del settore pubblico e sia del settore privato, non trova corrispondenza in una maggiore conformazione alla normativa, difatti la maggior parte degli impianti di videosorveglianza non corrisponde ai requisiti minimi richiesti dalla normativa privacy, ad esempio per la  modalità di posizionamento delle telecamere e per la conservazione delle immagini registrate.

Gli ambiti normativi in cui spazia la videosorveglianza vanno oltre il rispetto del solo codice Privacy, l’adozione di sistemi di videosorveglianza comporta anche l’osservanza di ulteriori specifiche disposizioni di legge, tra le quali le norme del codice penale che puniscono le interferenze illecite nella vita privata, la legislazione in materia di controllo a distanza dei lavoratori e di pubblica sicurezza.

I soggetti attori, quindi tenuti al rispetto della normativa,  sono sia gli installatori degli impianti, sia gli utilizzatori finali: i primi, di fatto, nel momento in cui procedono all’installazione sono tenuti a rilasciare una specifica dichiarazione di conformità dell’impianto alla normativa privacy, in virtù di  quanto previsto dall’allegato B al Codice Privacy; i secondi, nell’utilizzo dell’impianto devono anch’essi rispettare le previsioni del codice, in particolare in materia di misure minime di sicurezza.

L’interesse alla tutela della dignità e riservatezza è sempre più forte, facendo sì che le materie che ruotano attorno alla privacy siano attenzionate in maniera particolare. La salvaguardia e la stessa interpretazione dei contenuti della riservatezza devono confrontarsi con l’evoluzione di una tecnologia sempre più pervasiva e invasiva e con le esigenze, sempre più impellenti, della sicurezza sociale e collettiva, interna e internazionale.

Al fine di disciplinare la tematica della videsorveglianza, cercando di equilibrare le necessità di sicurezza da una parte e la tutela dei diritti degli interessati, dall’altra, il Garante è intervenuto con il Provvedimento in materia di videosorveglianza – 8 aprile 2010, regolamentando sia la parte generale sia gli specifici settori, quali il condominio, i luoghi di lavoro, i trasporti pubblici, gli ospedali e i luoghi di cura.

Ad oggi, nonostante numerosi impianti ancora non rispettino le previsioni normative, fa tirare sicuramente un sospiro di sollievo il riscontrare una forte brama  di conoscenza della materia ed un bisogno di conformarsi alle norme, parte dal basso, vale a dire dai primi che si confrontano quotidianamente, ovvero gli installatori.

Questi ultimi sembrano aver finalmente compreso l’impatto che la privacy ha nella loro quotidianità: prendendo coscienza da un lato della imprescindibilità nella loro attività dell’osservanza di queste  norme, e dall’altro comprendendo che ponendole a base della propria attività, quella sarà sempre più competitiva nel mercato.

Fonti normative, organi e sanzioni che regolano la privacy

Fonti normative, organi e sanzioni che regolano la privacy

Da quali Fonti Normative deriva la TUTELA DELLA RISERVATEZZA degli INDIVIDUI (PRIVACY)?

In via prevalente, la Privacy è disciplinata da:

  • Carta dei diritti fondamentali dell’Unione Europea
  • Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 operativo a partire dal 25 maggio 2018 e direttive europee (95/46/CE e 2002/58/CE);
  • Codice in materia di protezione dei dati personali:

Decreto Legislativo  30 giugno 2003 n. 196

  • Decreti Legislativi, in particolare:

Decreto-Legge 22 giugno 2012, n. 83 convertito, con modificazioni, dalla legge 7 agosto 2012, n. 134 Art. 24-bis  Misure a sostegno della tutela dei dati personali, della sicurezza nazionale, della concorrenza e dell’occupazione nelle attività svolte da call center- 

Decreto legislativo   28 maggio 2012 , n. 69
Modifiche al decreto legislativo 30 giugno 2003, n. 196, recante codice in materia di protezione dei dati personali in attuazione delle direttive 2009/136/CE, in materia di trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche, e 2009/140/CE in materia di reti e servizi di comunicazione elettronica e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorita’ nazionali responsabili dell’esecuzione della normativa a tutela dei consumatori.

Decreto-legge 9 febbraio 2012, n. 5
Recante disposizioni urgenti in materia di semplificazione e di sviluppo,
convertito con modificazioni, dalla legge 4 aprile 2012, n. 35

Decreto del Presidente della Repubblica 7 settembre 2010, n. 178
Regolamento recante istituzione e gestione del registro pubblico degli abbonati che si oppongono all’utilizzo del proprio numero telefonico per vendite o promozioni commerciali.

Decreto Legislativo 30 maggio 2008, n. 109
Attuazione della direttiva 2006/24/CE riguardante la conservazione dei dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE

  • Linee Guida / Provvedimenti del Garante ;
  • Autorizzazioni Generali del Garante.

Il Garante per la protezione dei dati personali è un’autorità amministrativa indipendente istituita dalla cosiddetta legge sulla privacy (legge 31 dicembre 1996, n. 675) – che ha attuato nell’ordinamento giuridico italiano la direttiva comunitaria 95/46/CE – e oggi disciplinata dal Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003 n. 196).

Il Garante è un organo collegiale formato da quattro membri, eletti due dalla Camera dei Deputati e due dal Senato della Repubblica con voto limitato, scelti tra persone che assicurino indipendenza ed  esperti riconosciuti nelle materie del diritto o dell’informatica. La durata in carica è di sette anni ed il mandato non è rinnovabile.

I poteri del Garante

I compiti assegnati al Garante sono puntualmente individuati dall’art. 154 del D.lgs. 196/2003, tra cui i più rilevanti possono essere riepilogati in funzioni di:

  1. Controllo sul rispetto della disciplina privacy
  2. Risoluzione di casi specifici
  3. Emanazione di atti autoritativi
  4. Educazione alla privacy
  5. Irrogazione di sanzioni amministrative
  6. Consulenza al Parlamento e Governo
  7. Relazione al Parlamento e Governo

Inoltre, il Garante partecipa alle attività comunitarie ed internazionale di settore e fa parte del Gruppo art. 29 – organismo europeo consultivo formato dalle Autorità di protezione dei dati personali di ciascuno stato membro, dal Garante Europeo e da un rappresentante della Commissione –  e delle Autorità comuni di controllo previste dalle convenzioni internazionali.

Ruolo di primaria importanza ricoperto dal Garante è quello di tutore del diritto alla protezione dei dati in sede amministrativa; gli interessati possono alternativamente rivolgersi all’Autorità giudiziaria ordinaria o all’Autorità Garante.

La protezione dei dati personali

Come ci si rivolge al Garante per esercitare la tutela dei propri dati personali?

Essenzialmente, attraverso:

  • il reclamo, vale a dire un atto circostanziato per rappresentare una violazione della disciplina rilevante in materia di trattamento dei dati personali;
  • la segnalazione, qualora non sia possibile presentare un reclamo al fine di sollecitare un controllo da parte del Garante;
  • il ricorso, qualora si voglia far valere lo specifico diritto di accesso ai dati personali. Si tratta di uno strumento alternativo all’esercizio dei medesimi diritti di fronte all’autorità giudiziaria

L’art. 150 del Codice Privacy prevede che, qualora la peculiarità del caso lo preveda, il Garante può disporre in via provvisoria il blocco in tutto o in parte di taluno dei dati, ovvero l’immediata sospensione di una o più operazioni del trattamento.

Il Garante, qualora ritenga fondato il ricorso, ordina al titolare, con decisione motivata di cessare dal comportamento illegittimo contestualmente indicando le misure necessarie per la tutela dei diritti dell’interessato, altresì indica un termine per la loro adozione.

Avverso i provvedimenti del Garante ed avverso il rigetto tacito, decorsi quindi 60 giorni dalla data di presentazione del ricorso, è esperibile ricorso all’Autorità giudiziaria ordinaria.

Diritto di accedere ai propri dati personali

E’ riconosciuto agli interessati il diritto di richiedere ad un soggetto, sia esso persona fisica o giuridica, di fornire informazioni sul trattamento dei propri dati personali, nonché ottenere tutte le informazioni personali detenute dal titolare del trattamento.

E’ quindi possibile richiedere l’origine dei dati personali trattati, le finalità e le modalità del trattamento, se i dati sono stati trattati con strumenti elettronici e quale sia la logica applicata a tale trattamento, gli estremi identificativi di chi tratta i dati ed infine i soggetti/categorie di soggetti ai quali i dati personali possono essere comunicati, o che posso venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

Diritto all’aggiornamento, alla rettificazione o alla cancellazione dei dati personali

E’ possibile richiedere a chi sta trattando i propri dati personali che questi vengano aggiornati, rettificati o integrati, nonché che i dati siano bloccati, cancellati o trasformati in forma anonima nei casi in cui il trattamento non venga effettuato secondo le regole stabilite dalla legge o non sia più necessaria la loro conservazione.

Diritto di opposizione

E’ sempre possibile opporsi al trattamento dei propri dati personali per motivi legittimi o quando i dati sono trattati per finalità commerciali o di marketing.

Il sistema sanzionatorio

Il sistema sanzionatorio distingue tra violazioni amministrative ed illeciti penali.

Le sanzioni amministrative puniscono la violazione delle norme procedurali o di condotte che ostacolano l’attività del Garante. In particolare sono punite:

  • L’omessa o inidonea informativa – art. 161 d.lgs. 196/2003 –
  • La cessione di dati, in occasione della cessazione del trattamento, fatta ad altro Titolare che destina i dati ad un trattamento con finalità non compatibili con gli scopi per cui sono stati raccolti – art. 162 c.1 d.lgs. 196/2003-
  • La comunicazione all’interessato di suoi dati inerenti la stato di salute e la vita sessuale non per il mezzo del medico designato dall’interessato o dal titolare – art. 162 c. 2 d.lgs. 196/2003-
  • La violazione delle misure minime di sicurezza o delle disposizioni dell’art 167 “Trattamento illecito dei dati” – art. 162 c. 2-bis d.lgs. 196/2003-
  • Il mancato rispetto delle misure necessarie o dei divieti previsti dal Garante ai sensi dell’art. 154 c. 1 lett. C) ed E) – art 162 c. 2-ter d.lgs. 196/2003 –
  • La violazione del diritto di opposizione nelle forme previste dall’art. 130 c. 3-bis – art.162 c. 2-quater d.lgs. 196/2003-
  • L’omessa o incompleta notificazione – art. 163 d.lgs. 196/2003 –
  • L’omessa informazione o esibizione al Garante – art. 164 d.lgs. 196/2003 –

Le sanzioni penali riguardano in primis il Titolare del trattamento ed in alcuni casi anche gli incaricati. Le fattispecie punibili riguardano:

  • Il trattamento illecito dei dati – art. 167 d.lgs. 196/2003 –
  • Falsità nelle dichiarazioni e notificazioni al Garante – art. 168 d.lgs. 196/2003 –
  • L’omissione dell’adozione delle misure minime di sicurezza – art. 169 d.lgs. 196/2003-
  • L’inosservanza di provvedimenti del Garante – art. 170 d.lgs. 196/2003 –
  • La violazione del divieto per il datore di lavoro, di effettuare indagini sulle opinioni politiche, religiose o sindacali del lavoratore, nonché la violazione del nuovo art. 4, commi 1 e 2 dello Statuto dei Lavoratori.