TorinoIn 16 feb 2016 Avv. Mauro Alovisio Privacy e Cybercrime
0 likes666 views
Il documento discute del cybercrime, delle minacce informatiche e delle strategie per proteggere le informazioni personali e aziendali, evidenziando l'importanza della consapevolezza etica nel digitale. Viene presentato il contesto legislativo e le novità introdotte dalla normativa europea sulla protezione dei dati, nonché l'analisi dei rischi e delle responsabilità legate agli attacchi informatici. Infine, sottolinea la necessità di risposte coordinate tra settore pubblico e privato per fronteggiare le sfide della sicurezza informatica.
TorinoIn 16 feb 2016 Avv. Mauro Alovisio Privacy e Cybercrime
- 1. “Cybercrime, Hacker e protezioni delle informazioni: come proteggerci e come proteggere le nostre aziende” Avv.Mauro Alovisio [email protected] 333/3597588 Associazione Centro Studi di informatica Giuridica di Ivrea Torino (www.csigivreatorino.it) Fellow Nexa Torino, 16 febbraio 2016 presso Ronchi grazie ad associazione Torino in Business
- 2. Csig di Ivrea-Torino Il Centro Studi di Informatica Giuridica di Ivrea-Torino è un’ associazione indipendente senza finalità di lucro interdisciplinare attiva dal 2005 (rivolta a giuristi, informatici, psicologi, professori, studenti, giornalisti, etc.) Mission: aggiornamento professionale, informazione, approfondimento dell’evoluzione dell’ICT e dell’innovazione e dell’impatto sui diritti, trasparenza on line e partecipazione Aderisce alla Coalizione per le competenze digitali promossa da Agid , ha un blog http://csigivreatorino.it ed un Comitato Scientifico di magistrati, professori e professionisti Ha partecipato alle consultazioni on line in materia di privacy, diritto di autore cyberbullismo, open data, crowdfunding, open data e trasparenza, videosorveglianza e droni, wi-fi e software libero
- 3. Il Centro Nexa su Internet & Società ● Centro di ricerca del Politecnico di Torino (Dipartimento di Automatica e Informatica), fondato nel 2006. ● Studia Internet e il suo impatto sulla società in ottica multidisciplinare (tecnologica, giuridica ed economica). ● Svolge supporto alla policy in ambito europeo (e.g., sugli aspetti giuridici dell'informazione del settore pubblico) e nazionale. ● Collaborazioni internazionali: ●partner del Network of Excellence on Internet Science (EINS) http://www.internet-science.eu/ ●membro fondatore della Rete globale di centri su Internet & Società http://cyber.law.harvard.edu/research/network_of_centers
- 4. 18 febbraio 2016 Cittadinanza e digitale, la scuola ai tempi dei social network Animatori digitali del Piemonte, Dshola,AssoEdu Maiorana di Grugliasco febbraio- marzo 2016 Audizione alla Camera dei deputati su disegno di legge in materia di cyberbullismo dal 4 al 7 marzo 2’16 “La settimana del Rosa Digitale” movimento nazionale contro il divario di genere in ambito tecnologico e informatico aprile- maggio 2016 seminari su regolamento europeo in materia di protezione dei dati personali e controllo lavoratori AICQ presentazione libri su droni e su odio on line Prossime Tappe associazione
- 6. Agenda -Protezione dei dati personali e privacy - Cybercrime -Framework nazionale - Soluzioni?
- 7. I nuovi mondi La conoscenza è potere – F. BACONE Oggi anche i dati e le informazioni sono potere Più l’informazione è personale più ha potere chi la detiene Oggetto delle informazioni: hobby, gusti, desideri, età, capacità economica, orientamento politico e sessuale Dai dati all’identità delle persone (in 60 secondi su facebook sono caricati 2 milioni di contenuti!)
- 8. - Le aziende, gli enti e le organizzazioni vivono di informazioni - Proteggere le informazioni vuol dire proteggere l’organizzazione - Le informazioni serie vanno trattate seriamente - I dati sono beni giuridici- il nuovo petrolio siamo consapevoli di questo valore? Il valore della protezione dei dati
- 9. Scenari attuali «Nel 2010 è stata creata una quantità di dati superiore a quella prodotta dall’uomo complessivamente negli ultimi 30.000 anni» Eric Shmidt , amministratore delegato di Google Non vi è più alcun confine fra l’on line e l’off line, vita reale e vita digitale SPOT BELGA sull'ingenuità del pubblico riguardo i propri dati in pasto ai social network https://www.youtube.com/watch?v=qYnmfBiomlo Nell’ottobre 2015 il numero dei dispositivi mobili ha superato il numero degli abitanti della terra
- 11. Il valore delle informazioni
- 12. Internet e privacy Il primo strumento per tutelare la privacy è la consapevolezza Etica del digitale Video su app. e privacy http://www.garanteprivacy.it/app Video su social network: Connetti la testa http://www.garanteprivacy.it/connettilatesta Video su smartphone e tablet Fatti Smart https://www.youtube.com/watch?v=6eF-mwKhrVo
- 13. Nel dicembre 2015 la Commissione europea ha presentato la nuova normativa privacy a livello europeo: la bozza di regolamento europeo che sostituirà la direttiva 46/95/CE del 2003, sarà emanato nel marzo del 2016, -rafforzamento dei diritti dei cittadini digitali nell’utilizzo di internet e nei socialnetwork , portabilità dei dati, informativa, consenso, diritto all’oblio - introduzione del privacy by design e by default , privacy impact assessment (valutazione dell'impatto-privacy ) -obbligo di costituire un "data protection officer“ - rafforzamento dei poteri delle autorità nazionali (sanzioni ) - inasprimento delle sanzioni (4% del fatturato) Il nuovo regolamento Europeo
- 14. Internet La rete delle reti Tecnologia Volano di straordinarie opportunità (apertura della conoscenza!) Cambiamo le dimensioni di tempo e di spazio Internet degli oggetti Ma ha un lato oscuro: il cybercrime riguarda gli Stati, le organizzazioni (pubbliche amministrazioni) le aziende, le famiglie e gli individui
- 15. Agenda -Protezione dei dati personali e privacy - Cybercrime -Framework nazionale - Soluzioni?
- 16. Comunicazione al Garante per la Protezione dei dati personali delle violazioni di dati o incidenti informatici che possano avere un impatto significativo sui dati personali contenute nelle banche dati Data Breach: di che cosa di tratta? Focus su Amministratori di Sistema e filiera privacy in UniTo
- 17. Internet La rete delle reti Tecnologia Volano di straordinarie opportunità Ma ha un lato oscuro : il cybercrime Riguarda gli Stati, le organizzazioni (pubbliche amministrazioni) le aziende, le famiglie e gli individui
- 18. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 19. Gli attacchi informatici Ci sono due tipi di aziende Le aziende che hanno subito attacchi informatici Le aziende che hanno subito attacchi e non se ne sono accorte!! Ogni azienda ha di fronte a sé una domanda: Non se verrà attaccata ma quando ?
- 20. Gli attacchi informatici Ci sono due tipi di aziende Le aziende che hanno subito attacchi informatici Le aziende che hanno subito attacchi e non se ne sono accorte!! Ogni azienda ha di fronte a sé una domanda: Non se verrà attaccata ma quando ?
- 21. Gli attacchi informatici Ci sono due tipi di aziende Le aziende che hanno subito attacchi informatici Le aziende che hanno subito attacchi e non se ne sono accorte!! Ogni azienda ha di fronte a sé una domanda: Non se verrà attaccata ma quando ?
- 22. Gli attacchi informatici Cyberspionaggio Motivazione economiche (distruzione e furto di conoscenza; colpo al cuore della concorrenza) Secondo il rapporto dell’Agenzia europea per la sicurezza informatica (Enisa) del 2015 gli attacchi informatici causano perdite ogni anno comprese fra 260 e 340 miliardi di euro Attivisti hacker Terrorismo (strategie di comunicazione, reclutamento, campagna di informazione) legge di stabilità 150 milioni in bilancio Cybermafia
- 23. Gli attacchi informatici Motivazione economiche Motivazioni religiose Prestigio Terrorismo Cybermafia
- 24. Gli attacchi informatici Motivazione economiche Motivazioni religiose Prestigio Terrorismo Cybermafia
- 25. Gli attacchi informatici Motivazione economiche Motivazioni religiose Prestigio Terrorismo Cybermafia
- 26. Il Piano Obama Gennaio 2016 Obama annuncia dalle pagine del Wall Street Journal -il “nuovo piano per la cyber security” una spesa da 19 miliardi di dollari. -rinnovare l’intero sistema informatico federale, ( allo stato attuale un Atari) -costituzione di un team di super specialisti, da reclutare “tra le migliori menti della SiliconValley” -aumentare la collaborazione tra governo e imprese,“per scoraggiare, rilevare e distruggere le minacce, anche per difendere le infrastrutture critiche della nazione”, un programma che coinvolgerà, secondo quanto annunciato da Obama, anche 1,4 milioni di piccole e medie imprese americane “perché ogni ditta è potenzialmente vulnerabile” -sensibilizzazione nazionale sulle minacce informatiche al fine di incoraggiare gli americani ad “andare oltre le password aggiungendo un ulteriore livello di sicurezza come un’impronta digitale o codici inviati al cellulare“
- 28. Il Piano Obama: investimenti Febbraio 2016 Obama annuncia investimenti per 4 miliardi di dollari per insegnare nelle scuole e nelle università Droni Robotica Internet degli oggetti Big data
- 29. Il Piano Obama: framework Nel 2014 Obama ha chiesto al NIST (Istituto Usa per gli standard e le Tecnologie) la definizione di un framework per la cybersecurity Linee guida per ridurre e gestire il rischio Oggetto: le infrastrutture critiche Le linee guida italiane Framework si ispirano a quelle americane ma sono diversi i contesti, gli attori, i mandati (mandato governativo) e l’oggetto Usa: infrastrutture critiche Italia: le imprese
- 30. La sicurezza on line non è solo per i tecnici 12 vittime al secondo di violazioni e attacchi 378 milioni di vittime di attacchi informatici all’anno “La sicurezza non è una porta blindata ma una società consapevole “ Luca De Biase la fiducia è l’elemento fondamentale per creare il Mercato Unico Digitale. Eurostat 2016 Il 25% degli utenti Ue ha avuto problemi con questioni riguardanti la sicurezza online Se i cittadini hanno paura non si sviluppano i servizi e non decolla l’e-commerce
- 31. la sicurezza informatica consiste nella protezione dei requisiti: - di integrità - di disponibilità - di confidenzialità di un sistema informativo - strumento abilitante per l’erogazione dei servizi per le imprese e le pa asset fondamentali per le imprese rapporto Clusit 2015 gli attacchi informatici: 9 miliardi di danni solo in Italia Sicurezza informatica
- 32. la sicurezza informatica consiste nella protezione dei requisiti: - di integrità - di disponibilità - di confidenzialità di un sistema informativo - verificabilità -reattività rapporto Clusit 2015 gli attacchi informatici: 9 miliardi di danni solo in Italia Sicurezza informatica
- 33. Perdita di dati o attacchi informatici?
- 35. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 36. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 37. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 38. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 39. - Danno reputazionale all’organizzazione - Costi per ripristino dei dati - Profili di responsabilità civile - Sanzioni privacy Perdita di dati o attacchi informatici?
- 40. -Pianificazione (Plan) -Fare/implementare (do) -Verifica (Check) -Azione di miglioramento (Act) La sicurezza è un processo e non un prodotto l’adeguamento privacy è un continuo divenire Sistema di gestione delle informazioni
- 41. - art. 15 del codice Danni cagionati per effetto del trattamento “Chiunque cagiona danno ad altri per effetto del trattamento di dati è tenuto al risarcimento ai sensi dell’art. 2050 c.c.” Il danno non patrimoniale è risarcibile anche in caso di violazione dell’art. 11 del Codice (Modalità del trattamento) Responsabilità civile (I)
- 42. art 2050 c.c. : Responsabilità per l'esercizio di attività pericolose “ Chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno” - inversione onere della prova - prova positiva di avere adottato tutte le misure di prevenzione - casi di giurisprudenza su attività pericolosa attività edilizia, produzione e distribuzione di energia Analisi economica del diritto Responsabilità civile (II)
- 43. Tribunale Orvieto, 23-11-2002 n. 254 Fascicolo lasciato incustodito in banca Costituisce illecito civile il trattamento di dati relativi alla affidabilità economica e patrimoniale di persone fisiche da parte dell'istituto di credito cui esse hanno chiesto l'erogazione di un mutuo in mancanza del consenso degli interessati: trattamento non autorizzato dei dati : è stato liquidato il danno nella misura, determinata equitativamente, di € 25.000. Casi concreti: responsabilità fascicolo
- 44. Risarcimento di danni non patrimoniali Pubblicazione di fotografia senza il consenso della persona (Tribunale di Biella, 29 marzo 2003) Diffusione su giornale di indirizzo di casa e descrizione oggetti di un furto (Tribunale Roma, 10 gennaio 2003) Diffusione di dati di una mailing list su giornale (Tribunale Milano 27 giugno 2007) : 15.000 euro di risarcimento Responsabilità diffusione di dati
- 45. focus del Garante privacy «verifica sull'adozione delle misure minime di sicurezza da parte di soggetti, pubblici e privati, che effettuano trattamenti di dati sensibili» Omissione di misure di sicurezza art. 162, 2 bis codice Privacy « In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 o delle disposizioni indicate nell'articolo 167 è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da diecimila euro a centoventimila euro. Piano Ispezioni del Garante privacy 2015
- 46. Con quali strumenti? Malware : sofwtare malizioso che si nascondono e si propagano in modo nascosto rispetto all’utente Virus Worm (vermi) Cavalli di Troia
- 47. Cos’è il virus? E cosa fa? Il primo manufatto umano che si riproduce (replicante) Si introducono nei pc Si installano nella memoria del pc Controllano quello che capita Trasmettono informazioni Innestano un meccanismo di riproduzione Fenomeno interessan te: cibernetica:biologia animale
- 48. Come si propagano? Mail Pubblicità on line Scambio di supporti Phinshing (ingegneria sociale)
- 49. La scuola del crimine Darknet Pagamenti e transazioni in bitcoin Servizi di falsicazione delle identità (documenti, account) Skimmer Informazioni per sostituirsi ad altre persone Armi e droghe
- 50. Rimedi Consapevolezza Attenzione La password più diffusa al mondo è 123456!!! Strumenti Analisi del rischio “ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”; art. 33 del D.Lgs. n.196 del 2003 (Codice della privacy)
- 51. Agenda -Protezione dei dati personali e privacy - Cybercrime -Framework nazionale - Soluzioni?
- 52. Framework Nazionale per la CyberSecurity Primo documento che vede uniti in sinergia il mondo accademico, le imprese e le istituzioni (pubblico e privato) Consultabile al link: http://www.cybersecurityframework.it/sites/default/files/CSR2015_web. pdf è stato redatto e adottato dal CIS Sapienza, diretto dal Professore Roberto Baldoni, e dal Laboratorio Nazionale CINI di Cyber Security 33 atenei, 500 ricercatori Documento sottoposto ad una consultazione pubblica in data 30 novembre 2015 e presentato il 4 febbraio a Roma presso la Sapienza di Roma (9 mesi di lavoro di 40 esperti multidisciplinari) Documento redatto sul modello delle migliori best practice internazionali NIT Documento di indirizzo per l’intero settore industriale
- 53. Obiettivi del Framework Nazionale per la Cyber Security si rivolge a tutti i soggetti (pubblici e privati) Il cyberspazio riguarda la competitività dell’azienda e dell’intero paese Aumentare la consapevolezza della sfida La protezione è uno standard di qualità dell’azienda Focus sui profili assicurativi del rischio di violazioni di dati Ottica di prevenzione , occorre denunciare un attacco (non nascondere la polvere sotto il tappeto) Non siamo più all’anno zero ! Ma occorre cambiare il ritmo alla luce del quadro della minaccia che non è astratta ma molto concreta!!
- 54. Punto di partenza! Difendere il cyberspazio significa difendere l’economia nazionale, l’innovazione, la ricerca Non vi è nessuna differenza, in ambito cyberspazio fra pubblico e privato, fra settore militare e settore civile! (basta steccati e orticelli) La cybersecurity non può riguardare solo il settore ICT ma deve riguardare il management, il Consiglio di Amministrazione e tutte le direzioni aziendali Maggiori opportunità, velocità ma maggiori fragilità !! Documento che descrive una metodologia e non uno standard di sicurezza Documento che dovrà essere aggiornato costantemente Valorizzare le competenze, attirare investimenti, sviluppare servizi e opportunità – federare e non dividere
- 55. Luci ma anche ombre!! Le piccole medie imprese hanno partecipato alla redazione del framework? Quali sono gli investimenti previsti? Quale è la governance a livello nazionale in materia di cybersecurity? Come declinare e adottare il framework nella propria realtà aziendale? Il documento è edito con Licenza creative commons (by) e non sharing!! Come fare crescere la consapevolezza dei rischi e degli strumenti di prevenzione e contrasto degli attacchi informatici? Data breach in ambito sanitario è già in vigore!! Con comunicazione anche ai soggetti a cui si riferiscono i dati e al Garante per la protezione dei dati personali
- 56. Che fare? Potenziare la capacità di reazione Abbattere i tempi di reazione!! Coordinamento forte nelle pa Sinergia e integrazione fra pubblico e privato Cooperazione con i grandi provider contro i malware…. Autoconsapevolezza, partecipazione e responsabilità Senza erosione e limitazioni dei diritti !! La democrazia non può rispondere al terrorismo con una rinuncia di libertà!!
- 57. Contributo associazione e AICQ (a) L ’associazione senza finalità di lucro Centro Studi di Informatica Giuridica di Ivrea Torino(www.csigivreatorino.it) in sinergia con il Comitato Qualità del Software e dei Servizi dell’Associazione Italiana Cultura Qualità www.aicqna.com suggerisce in ottica migliorativa e costruttiva, le seguenti integrazioni e modifiche al documento: (a) rafforzare (a pag. 67) il profilo dell’informazione e formazione in materia di sicurezza informatica con la previsione di momenti formativi rivolti non solo al personale interno ma rivolti anche a tutta la filiera –fornitori, consulenti, collaboratori e stagisti, cittadini, imprese- con implementazione di brevi videodidattici, il ricorso a intranet aziendale nell’ambito di percorsi formativi non solo teorici ma anche applicativi con esercitazione di attacchi e penetration test e verifiche dell’apprendimento; (b) richiamo ai profili dei rischi e impatti reputazionali sull’immagine delle imprese e operatori connessi agli attacchi informatici; (c) previsione e approfondimento della digital forensics e rinvio alle migliori best practice internazionali ed europee con focus sulla catena di custodia dei file di log; (d) richiamo ai principi del codice etico e alle sanzioni disciplinari, al codice di comportamento e ai regolamenti su utilizzo dei device (internet e posta elettronica, tablet) raccomandati dal Garante privacy nelle linee guida del 1 marzo 2007; (e) richiamo ai principi di responsabilità e alle sanzioni previste dal codice in materia di protezione dei dati personali alla luce degli imminenti scenari dell’approvazione del regolamento europeo; (f) prevedere una sezione per accrescere la consapevolezza sui rischi di utilizzo del mobile e social media nelle organizzazioni e una sezione sui reati informativi;
- 58. g) prevedere e un glossario dei termini tecnici informatici e delle terminologie provenienti dal mondo anglosassone; (h) individuare scadenze e un cronoprogramma di audit eseguiti da auditor indipendenti e qualificati (i) armonizzare la gestione del rischio con la ISO 31000 e rafforzare il profilo dell’analisi del rischio che deve essere obiettiva, motivata e tracciata; (j) armonizzare il framework con i sistemi di gestione aziendale secondo le norme internazionali ISO (per la qualità, per l’ambiente, per la sicurezza dell’informazione) e con i criteri nazionali di accreditamento e di certificazione; (k) richiamare i sistemi di gestione per la qualità (UNI EN ISO) previa verifica di convergenza e eventuale adeguamento con le politiche e le terminologie in esse adottate per garantire modelli gestionali coerenti e convergenti i termini di benefici prestazionali, migliore organizzazione e presidio delle informazioni; (l) prevedere il richiamo al provvedimento del Garante privacy, in riferimento al profilo della risposta agli incidenti informatici (pag. 69), su interscambio di dati con il relativo fac-simile di comunicazione di sospetta violazione di dati e un sistema nazionale in cloud per la pubblica gestione e segnalazione degli incidenti, secondo quanto indicato dalle migliori pratiche in ambito software security. Contributo associazione e Aicq (b)
- 59. (m) prevedere la costituzione di un presidio interdisciplinare all’interno di ogni struttura aziendale o una delega in outsourcing a una organizzazione esterna che abbia poteri interni che abbia requisiti e poteri di gestione compatibili. (n) valorizzare le competenze e la crescita delle professionalità in ambito informatico con approfondimento del ruolo dell’amministratore di sistema alla luce del provvedimento del Garante per la protezione dei dati personali del novembre 2008; (o) inserire, in riferimento al profilo delle pubbliche amministrazioni, la parte di valutazione di impatto privacy sul sistema Spid e la parte sulla sanità digitale; (p) prevedere la parte del terzo settore e una parte di prevenzione degli episodi di cyber bullismo. Contributo associazione e Aicq (c)
- 60. Comunicazione al Garante per la Protezione dei dati personali delle violazioni di dati o incidenti informatici che possano avere un impatto significativo sui dati personali contenute nelle banche dati Data Breach: di che cosa di tratta?
- 61. Comunicazione al Garante per la Protezione dei dati personali delle violazioni di dati o incidenti informatici che possano avere un impatto significativo dati personali contenute nelle banche dati Data Breach: di che cosa di tratta?
- 63. data breach notification (o security breach notification) istituto che nasce negli Stati Uniti poi viene introdotto in Germania, Spagna, Inghilterra e Irlanda previsione nella direttiva comunitaria ePrivacy Directive, 2002/58 e direttiva 2009/136/Ce v. art. 32 bis del Codice della Privacy (D.Lgs. n. 196 del 2003) obbligo dei fornitori di servizi di comunicazione elettronica a comunicare senza indebiti ritardi al Garante e, in alcuni casi, al contraente o ad altre persone interessate, l’occorrenza di eventi, qualificati come “violazioni di dati personali” (v. D.Lgs. 28 maggio 2012, n. 69) Origine e scenari
- 65. 2014 Sony Pictures Entertainment hack
- 66. Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali - Consultazione pubblica sul modello d i data breach - 26 luglio 2012 obblighi per fornitori di servizi telefonici e di accesso a Internet – Comunicazioni entro 24 ore Provvedimento del Garante privacy sul mondo bancario (12 maggio 2011) Provvedimento del Garante privacy sul dossier sanitario elettronico (Deliberazione 4 giugno 2015) Provvedimento misure di sicurezza e modalità di scambio di dati personali tra amministrazioni pubbliche 2 luglio 2105 (GU Serie Generale n.179 del 4-8-2015) comunicazione entro 48 ore Data Breach: provvedimenti del Garante privacy
- 67. Articolo 31 bozza regolamento europeo in materia di protezione dei dati personali Notificazione di una violazione dei dati personali all'autorità di controllo 1. In caso di violazione dei dati personali, il responsabile del trattamento notifica la violazione all'autorità di controllo competente ai sensi dell'articolo 51 senza ingiustificato ritardo, ove possibile entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora non sia effettuata entro 72 ore, la notifica all'autorità di controllo è corredata di una giustificazione motivata. Data Breach regolamento europeo
- 68. La notifica di cui al paragrafo 1 deve come minimo: a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati in questione; b) indicare il nome e le coordinate di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; d) descrivere le probabili conseguenze della violazione dei dati personali; e) descrivere le misure adottate o di cui si propone l'adozione da parte del responsabile del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. f) (…) 3 bis. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. 4. Il responsabile del trattamento documenta qualsiasi violazione dei dati personali, incluse le circostanze in cui si è verificata, le sue conseguenze e i provvedimenti adottati per porvi rimedio. La documentazione deve consentire all’autorità di controllo di verificare il rispetto del presente articolo. Data Breach: regolamento europeo
- 69. Articolo 32 Comunicazione di una violazione dei dati personali all'interessato 1. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il responsabile del trattamento comunica la violazione all'interessato senza ingiustificato ritardo. 2. La comunicazione all'interessato di cui al paragrafo 1 descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui all'articolo 31, paragrafo 3, lettere b), d) ed e). Data Breach: regolamento europeo
- 71. Rimedi Consapevolezza Attenzione La password più diffusa al mondo è 123456!!! Strumenti Analisi dei rischi
- 72. Framework cybersecurity 2016 http://www.cybersecurityframework.it/sites/default/files/CSR2015_web.pdf Alovisio M., I nostri dati personali e la rete, in “Educare ai tempi di Internet”, Edizione Elledici,Torino, 2010 Alovisio M., Il Cyberbullismo: scenari e profili giuridici ed il tentativo di codice di autoregolamentazione in «La rete ed il fattore conoscenza » a cura di Marzano F. Montegione S. , Pietrafresa E., EdizioneWister, 2014 Alovisio M., Le Linee guida su bullismo e cyberbullismo , Quotidiano giuridico, Ipsoa, 2015 Alovisio M, Piano per la cybersicurezza, Quotidiano Giuridico Ipsoa, 2014 Alovisio M. Licenziamento per accesso abusivo alle mail dei colleghi: qual è il valore probatorio dei file di log?, in Quotodiano Giuridico Ipsoa, 2014 Mauro Alovisio,Videosorveglianza e privacy, Experta, 2012 Mauro Alovisio, Licenziamento per accesso abusivo alle mail dei colleghi: qual è il valore probatorio dei file di log? Quotidiano giuridico,Ipsoa, 2014 Mauro Alovisio, Dà della Milf a collega su Facebook: è giusta causa di licenziamento, Quotidiano Giuridico, 2015 Ugo Pagallo, Il diritto nell’età dell’Informazione, Giappichelli, 2014 Massimo Durante e Ugo Pagallo (a cura di), Manuale di informatica giuridica e diritto delle nuove tecnologie,Torino, Utet, 2012 Ugo Pagallo, La tutela della privacy negli Stati Uniti e in Europa, Giuffrè, 2008 Per approfondire
- 73. slide edite in creative commons attribuzione non commerciale Avv. Mauro Alovisio Presidente Csig Ivrea Torino www.csigivreatorino.it Fellow Nexa slide edite con licenza creative commons 3.0 (IT BY-NC-SA) per approfondimenti: [email protected] LinkdIn: Mauro Alovisio Twitter: Mauro Alovisio 3333597588 Grazie per attenzione!