GDPR : tutto ciò che c’è da sapere sulla privacy anche sui mobile

Regolamento europeo per la protezione e la salvaguardia dei dati GDPR (UE/2016/679): come funzionerà l’entrata in vigore?

E, soprattutto, come impatterà e quali saranno gli obblighi derivanti? Per tutti coloro che sono titolari e proprietari di uno Store online gestito attraverso la Piattaforma di WooCommerce è necessario seguire la presente guida per prepararsi all’implementazione ed entrata in vigore del nuovo regolamento europeo per la protezione e la salvaguardia dei dati GDPR.

Prima del via ufficiale della normativa fissata in data 25 maggio 2018, c’è ancora qualche mese per prepararsi, ma è bene leggere ogni minimo dettaglio contenuto nel testo regolamentare onde evitare errori e problemi nella disapplicazione legislativa.

Il GDPR obbligherà tutte le aziende operanti sul territorio dell’Unione Europea ad uniformarsi al dettato normativo avente ad oggetto la raccolta, la conservazione e l’uso dei dati personali dei clienti.

Si tratta di regole più severe e più “stringenti” sulla protezione dei dati personaliche potete trovare su https://www.psbprivacyesicurezza.it/ : con l’entrata in vigore del Regolamento Europeo GDPR, a partire dal 25 maggio 2018, tutti i cittadini e user avranno maggiore controllo sui dati in loro possesso.

Regolamento Europeo GDPR: obblighi del Titolare del trattamento dati

Il nuovo Regolamento Europeo GDPR che entrerà definitivamente in vigore il prossimo 25 maggio 2018 parificherà allo stesso modo tutti i dati personali (foto, post sui social media, indirizzi IP, dettagli bancari o numeri identificatori): ogni dato personale dovrà essere conservato con le dovute misure di sicurezza e utilizzato esclusivamente previo permesso dei cittadini e user.

I visitatori dei siti di E-Commerce dovranno fornire il consenso in modo esplicito all’utilizzo dei propri dati personali dal momento che si tratta di input di grande valore aggiunto al centro del processo della “Digital Transformation”.

In fin dei conti, il punto cruciale dell’innovazione digitale è quella di trasformare l’enorme mole di dati che le nuove tecnologie consentono di raccogliere, analizzare, tracciare, condividere e incrociare in servizi innovativi per le persone ed in informazioni utili da utilizzare per svolgere analisi di marketing e per promuovere campagne pubblicitarie “personalizzabili” in base ai vari target di visitatori.

Il Titolare del Trattamento dei dati, ovvero l’azienda o l’esercente commerciale proprietario di uno Store online, viene individuato dalla normativa comunitaria come il soggetto responsabile (accountable) del processo di valutazione e delle scelte conseguenti dall’implementazione cogente del dettato legislativo all’interno del contesto operativo.

Infatti, ai sensi dell’articolo 25 rubricato “Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita”, il Titolare del trattamento “deve mettere in atto misure tecniche ed organizzative adeguate quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e ad integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del regolamento e tutelare i diritti degli interessati”.

Oltre a questo articolo, ogni Titolare del trattamento dei dati prima di procedere al trattamento dei dati deve sempre valutare l’impatto sulla protezione dei dati, in particolare nei casi seguenti:

1. “una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;

2. il trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all’articolo 10;

3. la sorveglianza sistematica su larga scala di una zona accessibile al pubblico” (articolo 35 della Normativa Europea “Valutazione d’impatto sulla protezione dei dati”).

Dalla lettura “combinata” dei due articoli sopra riportati, ben si comprende che l’intero processo di innovazione digitale rimane sotto il controllo del Titolare del trattamento dei dati personali.

Si assisterà, in buona sostanza, ad un passaggio “epocale” dato che la tempistica connessa alla Digital Transformation non sarà più condizionata dall’efficienza di un soggetto Super Partes, come il Garante, ma sarà proprio il Titolare del trattamento ad essere “accountable” delle scelte che deve compiere nella gestione del proprio sito di E-Commerce implementato con Piattaforma WooCommerce.

A partire dal 25 maggio 2018, con l’entrata in vigore del Regolamento Europeo GDPR, il titolare del trattamento dei dati dovrà documentare in modo trasparente all’utente chi è, perché raccoglie i dati, per quanto tempo e chi li utilizza; ottenere un consenso espresso prima di raccogliere qualsiasi dato; consentire agli utenti di accedere ai propri dati e di modificarli; consentire agli utenti di cancellare in ogni momento i propri dati, comunicare in modo tempestivo agli utenti se si verificano violazioni dei dati.

Inoltre, è importante che ogni Titolare del Trattamento utilizzi misure di protezione “extra” per trattare i dati sensibili forniti sulla salute, orientamento sessuale, credo religioso, appartenenza a Partiti Politici, etc.

Infine, tutti i soggetti che forniscono dati personali devono essere informati in modo chiaro sulle modalità del trattamento di questi ultimi e sugli utilizzatori (c.d.“terze parti”).

Privacy: pubblicate le linee guida per i dispositivi mobili

Sono state pubblicate interessanti linee guida europee per la protezione dei dati personali sui dispositivi mobili (tablet, smartphone, laptop, etc.) in vista del nuovo Regolamento Europeo Privacy.

Quali sono i più rilevanti rischi per i dati personali connessi all’uso di dispositivi mobili? Alterazione o distruzione a causa di un accesso non autorizzato, perdita accidentale, furto di identità attraverso la compromissione di credenziali (username, password,) memorizzati sui dispositivi mobili sono tra i più comuni rischi e minacce legate all’utilizzo di applicazioni mobili che, in violazione di legge, raccolgono e trattano dei dati personali.

Prima di dotare la propria organizzazione di dispositivi mobili, è fondamentale valutare sempre i rischi e le minacce esistenti oltre all’implementazione di un “adeguato piano di “prevenzione” dei rischi che preveda l’adozione di procedure interne periodicamente aggiornate e condivise per la gestione dei dispositivi in sicurezza”.

La normativa europea è ben chiara nel prevedere anche un piano di formazione e di aggiornamento mirato che contempli aspetti legati alle informazioni e dati personali che è consentito memorizzare e trasferire ai dispositivi mobili; all’uso dei servizi cloud; alla responsabilità utente e organizzazione; alle conseguenze relative al cattivo uso delle risorse mobili; al monitoraggio dell’uso di dispositivi mobili da parte dell’azienda, dei dati personali che l’utente può raccogliere ed elaborare tramite il suo dispositivo mobile.

È importante regolamentare anche lo smaltimento degli stessi (al termine del ciclo della loro vita) assicurando che tutti i dati personali vengano rimossi.

Sistema sanzionatorio per i trasgressori dell’EU GDPR: quali sono i rischi?

Per tutti coloro che trasgrediranno al dettato normativo contenuto nel regolamento EU GDPR saranno irrogate sanzioni pecuniarie oltre i 20 milioni di euro o l’applicazione del 4% sul volume di ricavi di vendita risultanti dal bilancio d’esercizio.

I dati dovranno essere conservati in sicurezza e protetti mediante sistema di crittografia, le aziende e tutti gli esercenti commerciali titolari di un sito di E-Commerce saranno responsabili del luogo e delle modalità con cui conserveranno i dati personali raccolti.

Data Security Protection: la nascita delle nuove professioni di Cybersecurity

Mancano poco più di tre mesi all’entrata in vigore del Regolamento UE 2016/679, meglio noto come GDPR (General Data Protection Regulation) e, a causa della crescente complessità e delle sfide che il contesto normativo ha messo in atto da tempo, le imprese e tutti i proprietari di Store online stanno iniziando a prendere in considerazione la creazione di figure manageriali in grado di gestire le problematiche legate alla cybersecurity.

Da tale esigenza nasce sempre di più la rilevanza del ruolo dello Chief Information Security Officer (CISO) ovvero di colui che definisce la visione strategica, implementa programmi a protezione degli asset informativi e mette in atto i processi volti a ridurre i rischi derivanti dall’adozione pervasiva delle tecnologie digitali.

A nostro avviso è assolutamente condivisibile quanto messo in evidenza da uno studio dei ricercatori del POLIMI: “il ruolo del CISO sta evolvendo verso un profilo completo, che affianca alle competenze tecnologiche e organizzative soft skill relazionali, conoscenze del dominio di business e capacità di sviluppare e governare team complessi”.

Infatti, nell’attuale contesto e scenario globale incrementare la consapevolezza delle problematiche inerenti la cybersecurity richiede una maggior capacita di comprendere il business: le conoscenze tecniche e legislative diventano fattori critici di successo e competenze distintive, a fronte degli obblighi e dei costi di compliance.

Dinanzi all’imminente entrata in vigore del Regolamento Europeo GDPR, occorre “giocare d’anticipo” e diventa fondamentale sviluppare capacità di project management, gestione e sviluppo del capitale umano.

Se, negli ultimi anni, il ruolo ricoperto dal CISO è cresciuto, dal 2018 diventa strategico e le sue mansioni da tecniche devono evolversi in funzioni di tipo manageriale con la responsabilità di controllo e supervisione di persone con background differenti, dalla gestione del rischio alla compliance e privacy.

Considerazioni conclusive sull’entrata in vigore del GDPR

Il cambiamento a cui si assisterà a partire dal 25 maggio 2018 sarà più semplice per le imprese che operano in cloud, mentre per quelle che utilizzano software particolari o server “caserecci” necessiteranno di un lavoro certosino per adeguarsi e testare la security dei loro normali processi.

Ecco perché è necessario già da oggi giocare in anticipo ed auto valutarsi alla luce dei cambiamenti della compliance e delle sfide normative e contestuali dello scenario globale. È importante arrivare preparati all’entrata in vigore del nuovo Regolamento Europeo GDPR (General Data Protection Regulation).