L’eliminazione di un trattamento di dati personali è una delle componenti del “ciclo di vita del trattamento”, spesso trascurata; essa si compone di due fasi: l’interruzione del trattamento vero e proprio, ovvero il Titolare non raccoglie più dati afferenti a quel trattamento; e l’eliminazione definitiva ed irreversibile dei dati che il Titolare conserva, afferenti a quel trattamento. In questo articolo, si presenta un esempio di estratto della procedura “Privacy by design” (principio previsto dall’art.25 del Gdpr) che riguarda l’interruzione e l’eliminazione del trattamento in un’organizzazione che dispone di un sistema di gestione della protezione dei dati ed in cui è presente la figura del DPO.

Quando si tratta il tema dei fornitori che devono essere inquadrati come “Responsabili del trattamento” si analizzano le problematiche relative alla documentazione contrattuale; più raramente si affrontano i criteri di prequalifica (valutazione inziale prima dell’avvio del rapporto contrattuale) e di qualifica nel tempo (valutazione dinamica). Il presente articolo tratta i criteri necessari per valutare un potenziale Responsabile, prima di affidargli uno o più trattamenti, ponendo l’accento sugli aspetti afferenti alla protezione dei dati personali.

I responsabili del trattamento devono essere adeguatamente selezionati, per fornire sufficienti garanzie circa il loro operato. Le garanzie devono essere, per quanto possibile, oggetto di verifica, considerando anche i rapporti di forza tra Titolare e Responsabile. L’audit è uno degli strumenti possibili per avere tale evidenza. Inoltre, ai Responsabili possono essere richiesti, da parte del Titolare, documenti afferenti le attività di quest’ultimo. Alla regolamentazione di questi temi, all’interno dei documenti che disciplinano il rapporto tra Titolare e Responsabile è dedicato l’articolo.

Il 15 febbraio 2022 è stata pubblicata la nuova edizione della norma ISO/IEC 27002 “Tecnologie Informatiche - Tecniche di sicurezza - Codice di pratica per la gestione della sicurezza delle informazioni”. L'edizione precedente era stata pubblicata nel 2013. La nuova versione, pertanto, ha richiesto quasi nove anni di lavoro. Alla data odierna la nuova versione del documento non è ancora disponibile nel sito www.uni.com, mentre è acquistabile, ovviamente in lingua inglese, nel sito www.iso.org.

Minaccia, vulnerabilità, rischio, ecc.; ci sono molti termini alla base dell’analisi delle vulnerabilità dei dati e a volte si fa un po’ di confusione; in questo articolo cerchiamo di mettere ordine. Iniziamo dalle definizioni:

In relazione all’approfondimento dell’analisi dei rischi sui dati, in questo articolo si desidera analizzare il concetto di “agente di minaccia - threat actor”. Partiamo da una fonte ufficiale: il rapporto ENISA Threat Landscape (ETL) è il rapporto, pubblicato annualmente dalla Agenzia dell'Unione europea per la cibersicurezza, relativo alla sicurezza informatica; la nona edizione, del mese di ottobre 2021, rendiconta il periodo aprile 2020 – luglio 2021. La finalità del rapporto è quella di evidenziare le principali minacce e le loro tendenze rispetto al periodo precedente, gli agenti di minaccia e le misure di mitigazione da porre in atto.

Si discute ampiamente se tra le modalità di trattamento di dati personali siano anche da considerare i “trattamenti verbali”. Chi scrive ritiene che questa modalità di trattamento sia da considerare, al pari di quelli cartacei ed elettronici. Nell’articolo si desidera mettere in evidenza alcuni aspetti salienti di tali trattamenti.

La raccolta di fotografie o video che ritraggono delle persone da parte di un’azienda comporta un trattamento di dati personali, e pertanto ricade a tutti gli effetti nell’ambito di applicazione del GDPR. La raccolta delle immagini dei lavoratori, dei collaboratori, degli utenti di un servizio, dei clienti o visitatori può essere effettuata per motivi diversi:

La presenza di elettrodomestici che sfruttano l’intelligenza artificiale (IoT) in ambito domestico, è un tema già analizzato in passato, per quanto le varie implicazioni siano ancora da esplorare in modo completo e la costante innovazione tecnologica porti sempre nuove sfide. In questo articolo si vogliono approfondire le implicazioni dell’uso di tali elettrodomestici in ambito aziendale, “l’ufficio intelligente”, escludendo in ogni caso i dispositivi normalmente presenti, come, ad esempio, le multifunzione, le webcam ed i cellulari.

Il tema degli accessi fisici alle aree ed ai locali di un’organizzazione merita un approfondimento particolare sul tema in quanto un’attenta valutazione dei rischi potrebbe far emergere delle vulnerabilità, in tutto o in parte non considerate precedentemente. Quest’articolo propone una Check List, che può essere utilizzata sia in fase di assesment che in fase di audit (avendo come criterio il sistema di gestione della protezione dei dati o la conformità legislativa).