Analisi dei rischi sui dati personali: gli agenti di minaccia a cui prestare attenzione

In relazione all’approfondimento dell’analisi dei rischi sui dati, in questo articolo si desidera analizzare il concetto di “agente di minaccia - threat actor”. Partiamo da una fonte ufficiale: il rapporto ENISA Threat Landscape (ETL) è il rapporto, pubblicato annualmente dalla Agenzia dell'Unione europea per la cibersicurezza, relativo alla sicurezza informatica; la nona edizione, del mese di ottobre 2021, rendiconta il periodo aprile 2020 – luglio 2021. La finalità del rapporto è quella di evidenziare le principali minacce e le loro tendenze rispetto al periodo precedente, gli agenti di minaccia e le misure di mitigazione da porre in atto.

La pseudonimizzazione non è un metodo di anonimizzazione

Il Regolamento UE 679/2016 considera anonimo un dato quando non si riferisce a una persona fisica identificata o identificabile o se il dato personale è reso sufficientemente anonimo da impedire o da non consentire più l'identificazione dell'interessato (Vedi Considerando n.26).  Per determinare se una persona è identificabile si devono esaminare i mezzi che possono essere ragionevolmente utilizzati dal titolare o da un terzo.

Dati personali e trattamenti verbali: gli impatti sulla tutela della privacy

Si discute ampiamente se tra le modalità di trattamento di dati personali siano anche da considerare i “trattamenti verbali”. Chi scrive ritiene che questa modalità di trattamento sia da considerare, al pari di quelli cartacei ed elettronici. Nell’articolo si desidera mettere in evidenza alcuni aspetti salienti di tali trattamenti.

Il consenso del minore tra Gdpr e normativa privacy nazionale

La tutela dei dati personali dei minori è divenuta un problema rilevante con l'avvento dei social network, ma, prima dell’avvento del Regolamento (Ue) 2016/679 (GDPR), la normativa italiana in materia di privacy non prevedeva un vero e proprio limite di età relativamente al trattamento dei dati dei minori, anche se si poteva ricavare un limite dal quadro normativo generale. La capacità di agire, ovvero l’idoneità di un soggetto di porre in essere atti negoziali che producono effetti nella propria sfera giuridica, si acquista, infatti, con la maggiore età, ovvero a 18 anni (art. 2 Cod. civ.), mentre il minore con età compresa tra 14 e 18 ha una capacità giuridica attenuata e il minore dei 14 anni non ha capacità giuridica alcuna.

La gestione delle immagini ai fini organizzativi per il rispetto del Gdpr

La raccolta di fotografie o video che ritraggono delle persone da parte di un’azienda comporta un trattamento di dati personali, e pertanto ricade a tutti gli effetti nell’ambito di applicazione del GDPR. La raccolta delle immagini dei lavoratori, dei collaboratori, degli utenti di un servizio, dei clienti o visitatori può essere effettuata per motivi diversi:

Dall’European Data Protection Board le Linee Guida sul diritto di accesso dell’interessato

Il 19 gennaio 2022, durante la sessione plenaria, l’EDPB ha adottato le Linee guida sul diritto di accesso ai dati personali da parte dell’interessato.  Già nel novembre 2019, nel corso di un evento su questo tema, i più importanti player avevano espresso le proprie opinioni in merito al diritto di accesso. Il Board, raccogliendo queste opinioni, ha sentito l’esigenza di pubblicare Linee guida per fornire, tra l’altro chiarimenti sulla portata del diritto di accesso, sulle informazioni che il titolare del trattamento deve fornire all’interessato, sul formato della richiesta di accesso, sulle principali modalità di fornitura dell’accesso e sulla nozione di “manifestamente infondata” o “richiesta eccessiva”.