GDPR e CRITTOGRAFIA – OCCHIO AI FALSI MITI !!
Nel ricordare che il Regolamento Generale per la protezione dei dati personali o GDPR (General Data Protection Regulation – legge UE 2016/679) non indica requisiti minimi per la protezione dei dati, ma pone come principale focalizzazione “una nuova consapevolezza aziendale” sulla protezione dei dati personali e quindi ne derivano ben altre considerazioni da fare, pertanto, non è con una installazione di un qualcosa o l’implementazione di un sistema “x” o “z” che ci “mettiamo in regola” ma con la creazione di una vera e propria “strategia” di protezione dei dati personali (e quindi non solo con “strumenti”) , vogliamo cogliere l’occasione di porre l’attenzione su un metodo definito come “Compliance GDPR”, ovvero la CRITTOGRAFIA.
La crittografia, ribadiamolo, non è di per sé, rendere il nostro sistema o un trattamento di documenti “CONFORME” alla normativa GDPR, ma solo uno degli strumenti che possiamo utilizzare come no.
La valutazione di come e se impiegare questo strumento deve essere fatta all’interno di un “piano di protezione dei dati personali”.
Per dare un idea di ciò di cui stiamo parlando.. CRITTOGRAFIA , bene, cifriamo tutto il contenuto di un hard disk o solo una parte? su tutti i sistemi o solo su alcuni? con quale mezzo? password o certificato o entrambe? che impatto avrà la cifratura in termini di performance sul sistema e sulle procedure? cifriamo i documenti anche quando devono essere trasmessi esempio come allegati di posta elettronica o solamente quando gli trasferiamo sul cloud?
Tutte queste domande devono essere poste da professionisti, dopo una corretta analisi e la creazione di un vero e proprio “piano di protezione dei dati personali”, e non da “consulenti” che forse, hanno solo voglia di vendervi un nuovo prodotto/servizio magari con la scusa che è RICHIESTO dal GDPR !!!
SPECIALE GDPR – SPECIALE GDPR – SPECIALE GDPR
Da questo mese, fino a maggio, tratteremo in questa sezione il tema “GDPR”.
Lo scopo di questo “speciale GDPR” è quello di sensibilizzare tutti gli interessati al fine di conoscere la normativa che entrerà in vigore ormai tra meno di cento giorni.
GDPR Countdown: Il 25 maggio 2018 è il termine all’adeguamento al Regolamento UE 2016/679 (GDPR) relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, siete pronti ?
Partiamo da questa data, infatti, il termine del 25 maggio 2018 non sarà prorogabile in alcun modo, la normativa Europea ha stabilito il termine del prossimo 25 maggio 2018 tenendo già presente le richieste Italiane indicate nel 2016, anno in cui invece, altri paesi membri, ne chiedevano già l’applicazione immediata. Quindi il 25 maggio 2018 entrerà in vigore la nuove legge UE 2016/679 denominata anche GDPR ovvero “General Data Protection Regulation” – Regolamento Generale per la protezione dei dati personali- quindi non c’è più tempo da perdere, dobbiamo capire se stiamo operando rispettando il regolamento europeo per non intercorrere in sanzioni, che come vedremo di seguito prevedono SANZIONI AMMINISTRATIVE PESANTISSIME in caso di grave violazione.
ENTRIAMO NEL MERITO:
La legge UE 2016/679 “General Data Protection Regulation” – Regolamento Generale per la protezione dei dati personali- che da ora in poi per brevità chiameremo semplicemente GDPR, reperibile per intero in Italiano al link http://bit.ly/2BvwUms oppure scaricabile in .pdf al link http://bit.ly/2obMStZ , riguarda appunto: la protezione dei dati personali, quindi come questi devono essere “trattati” per non incorrere in sanzioni.
LE SANZIONI:
Per brevità, e per capire che questa legge non deve essere presa alla leggera, possiamo dire che nei casi più gravi di violazione, le sanzioni amministrative pecuniarie possono arrivare fino a € 10.000.000, o per le imprese, fino al 2 % del fatturato totale annuo dell’esercizio precedente, ovviamente si tratta di GRAVI VIOLAZIONI, e nei casi di violazioni con dolo o colpa, ma sicuramente si tratta pur sempre di PESANTISSIME SANZIONI AMMINISTRATIVE, che cmq dovranno essere in ogni singolo caso effettive, proporzionate e dissuasive come appunto indicato nel comma 1 art. 83 della Legge EU 2016/679.
COSA CAMBIA rispetto all’attuale legge italiana d.lgs. 196/2003:
Rispetto alla protezione dei dati personali, per la stragrande maggioranza delle aziende, ovvero tutte le aziende che non trattino dati “sensibili” e con meno di 250 dipendenti, sostanzialmente cambia l’approccio, non ci sono requisiti minimi per la protezione (come era nella vecchia legge italiana, es. antivirus, lunghezza password, ecc), ma ogni azienda deve valutare “come” proteggere il “dato personale” in funzione dell’utilizzo e dei rischi.
E’ comunque previsto “come” il dato personale “deve essere trattato“, es. informative, autorizzazione al trattamento, nomine incaricati, ecc. PROPRIO DI QUESTO PARLEREMO NEL PROSSIMO ARTICOLO.
PER I VOSTRI QUESITI SUL GDPR, CONTATTATECI SUBITO SENZA IMPEGNO.
La nuova direttiva EU sulla protezione dei dati personali, meglio conosciuto come GDPR (General Data Protection Regulation, Regolamento generale sulla protezione dei dati)
Dopo l’adozione nell’aprile del 2016 del Regolamento UE 2016/679, meglio conosciuto come GDPR (General Data Protection Regulation, Regolamento generale sulla protezione dei dati), è iniziata una vera e propria corsa contro il tempo per garantire la loro conformità prima dell’effettiva entrata in vigore del Regolamento il 25 maggio 2018, pena il pagamento di pesanti sanzioni e l’avvio di potenziali procedimenti legali.
Il compito risulta esteso e particolarmente complesso perché questo Regolamento amplia molto l’ambito della responsabilità rispetto alla direttiva sulla protezione dei dati del 1995 (Direttiva 95/46/CE) precedentemente in vigore.
Il GDPR interpreta la definizione di dati personali in senso lato. Qualsiasi informazione che può essere utilizzata per identificare una persona in modo diretto o indiretto deve essere considerata un dato personale. Può trattarsi di un nomi, foto, indirizzi e-mail, coordinate bancarie, numeri di documenti di identità, post su siti web di social network, informazioni mediche e persino indirizzi IP associati a un account o un dispositivo specifico di un utente.
Tutte le organizzazioni che raccolgono, memorizzano e/o elaborano informazioni personali devono garantire la conformità al GDPR se:
- offrono beni o servizi a cittadini UE residenti nell’UE
oppure
- monitorano il comportamento di cittadini UE residenti nell’UE.
Sono incluse le organizzazioni che non hanno sede all’interno dell’UE, che non sono presenti in UE sotto nessuna forma e anche quelle con dipendenti UE ma senza clienti UE.
Insomma, se gestite in qualche modo informazioni personali che riguardano cittadini UE per beneficio di legge… il GDPR riguarda anche voi!
Tutte le organizzazioni che soddisfano questi criteri devono garantire la conformità.
Per qualsiasi informazione o chiarimento non esitate a contattarci.
fonte: http://ec.europa.eu/justice/data-protection/index_en.htm