Il 25 maggio 2018 è entrato in vigore il Regolamento UE 2016/679 in materia di "privacy" e "protezione dei dati personali", approvato dal Consiglio del 27 aprile 2016, ed altrimenti noto come G.D.P.R.(General Data Protection Regulation). Il Regolamento GDPR 2018 si pone il duplice obiettivo di tutelare la "protezione dei dati personali" e la loro relativa "circolazione". Le norme contenute nel regolamento GDPR 2018 esplicitano: 1. la definizione di "dato personale" oggetto di tutela ; 2. i "soggetti" pubblici e privati tenuti ad osservare la normativa sulla privacy e quindi tenuti ad applicare le norme contenute nel regolamento stesso; 3. i criteri di raccolta e trattamento dei "dati personali" a mezzo di una "informativa" resa al titolare degli stessi; 4. gli "adempimenti" a cui sono tenuti i soggetti pubblici e privati obbligati al trattamento dei dati personali dal regolamento stesso; 5. il principio di "Accountability", ossia di responsabilizzazione (dinanzi al Garante e al giudice ordinario) all’adozione di comportamenti proattivi al fine di garantire la tutela della sicurezza della raccolta,conservazione e trattamento del dato personale; 6. il "diritto all'oblio", ossia il diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali qualora sussistano una serie di condizioni e motivi precisati dal regolamento stesso; 7.infine, le "sanzioni" pecuniarie previste in caso di violazione del regolamento stesso da parte del titolare del trattamento dei dati personali.
1.DATO PERSONALE - Il detto regolamento GDPR 2018 introduce la definizione di "dato personale" nei termini di: “ informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Pertanto, si precisa come “identificabile”: la persona fisica che può essere identificata, direttamente o indirettamente attraverso: a. un "elemento identificativo" (nome, numero di identificazione, dati relativi all’ubicazione,identificativo online); b. uno o più "elementi caratteristici" inerenti alla sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
2.SOGGETTI INTERESSATI - I soggetti interessati ed obbligati ad applicare la normativa contenuta nel regolamento GDPR del 2018 sono : le aziende, gli enti pubblici, e gli individui che devono accedere, trattare, conservare, gestire, o trasferire dati personali di cittadini UE.
3.INFORMATIVA E CONSENSO - Il regolamento GDPR 2018 precisa: i "dati personali" possono essere raccolti e utilizzati solo per degli scopi specifici ed esplicitati nel "consenso". Il titolare del trattamento dei dati personali deve esplicitare il suo consenso reso obbligatoriamente in un’informativa (scritta o orale) semplice e facilmente comprensibile. La detta "Informativa" deve fornire al titolare del trattamento dei dati personali: il quadro complessivo delle finalita' e delle modalita' di utlizzo dei dati personali; le informazioni necessarie per consentire al titolare del trattamento dei dati personali di prestare il consenso; le informazioni che consentono di esercitare i propri diritti in relazione al titolare di riferimento.
4.ADEMPIMENTI DEL GDPR - Il regolamento GDPR 2018 precisa le "figure" previste nella procedura di trattamento dei dati personali: a.TITOLARE; b.RESPONSABILE DEI DATI PERSONALI - Trattasi di una figura facoltativa che deve essere designato attraverso un contratto o altro atto giuridico conforme al diritto nazionale. Tale contratto o altro atto giuridico conforme al diritto nazionale deve regolare: la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati e gli obblighi e i diritti del titolare del trattamento; c.SUB-RESPONSABILE - Figura che può essere nominato dal responsabile previa autorizzazione scritta del titolare; d.INCARICATO - Figura autorizzata al trattamento dei dati personali; e.DPO (Data Protection Officer o Rpd) - Figura responsabile della protezione dei dati per i soggetti privati da parte del titolare del trattamento.
5.PRINCIPIO DI "ACCOUNTABILITY" - Il regolamento GDPR 2018 introduce il principio di “Accountability”, ossia la responsabilizzazione dinanzi al Garante e al giudice ordinario all’adozione di comportamenti proattivi informati: a valutare l’"impatto del rischio di perdite di dati e di accesso abusivo"; a predisporre un "registro dei trattamenti", obbligatorio per le aziende con più di 250 dipendenti, in cui indicare i titolari e i responsabili del trattamento, e le misure di sicurezza dei dati; a predisporre un "data protection impact assessment" (DPIA) per misurare impatto e conseguenze sugli interessati dei nuovi strumenti; a predisporre l’"organigramma privacy" per chiarire ruoli e gerarchie nella gestione dei dati; a prevenire le violazioni dei dati personali; a nominare il "responsabile del trattamento" (RDP) con facoltà di nominare un subresponsabile delle cui violazioni risponde il responsabile; a nominare il "responsabile della sicurezza dei dati" (DPO), obbligatorio per la PA, che deve operare in piena indipendenza e in assenza di conflitti di interesse, anche sulla base di un contratto di servizio; a dimostrare l’idoneità delle misure di sicurezza adottate.
6.DIRITTO ALL'OBLIO - Il regolamento GDPR 2018 introduce nuovi diritti, ossia: il diritto all’oblio, alla limitazione e alla portabilità del trattamento. Il diritto all’oblio definisce: diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano; il titolare del trattamento ha l’obbligo di cancellare,senza ingiustificato ritardo, detti dati.
Inoltre, il regolamento GDPR 2018 precisa che il diritto all'oblio puo'essere esercitato in sussistenza di uno dei seguenti motivi: a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l’interessato revoca il consenso su cui si basa il trattamento; c) l’interessato si oppone al trattamento, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati in ottemperanza ad un obbligo previsto dall’UE o dallo Stato membro al quale è soggetto il titolare del trattamento.
7.SANZIONI - Il regolamento GDPR 2018, infine, prevede sanzioni pecuniarie e l’obbligo di risarcimento dell'interessato. In merito alle "sanzioni pecuniarie", il regolamento GDPR 2018 distingue: "violazioni più lievi" - l’importo più alto tra 10 milioni di euro e il 2% del fatturato mondiale di gruppo dell’esercizio precedente; "violazioni più gravi"- l’importo più alto tra 20 milioni di euro e il 4% del fatturato mondiale di gruppo dell’esercizio precedente.

CONTATTACI

Per "Sicurezza Informatica" o "Cybersecurity" si deve intendere l'insieme delle prassi tecnologiche ed umane atte a proteggere i sistemi, le reti ed i programmi informatici dagli attacchi digitali; che sono solitamente finalizzati all'accesso, alla trasformazione o alla distruzione di informazioni sensibili, nonchè all'interruzione dei normali processi aziendali. Un approccio efficace di cybersecurity deve essere orientato all'integrazione tra le persone, i processi e la tecnologia al fine di opporre diversi livelli di protezione per garantire la difesa dagli attacchi informatici. Fondamentalmente deve garantirsi l'integrazione tra:
PERSONE - gli utenti devono acquisire e rispettare dei principi di sicurezza nell'interazione con i sistemi informatici ( scelta ed aggiornamento periodico di password, gestione in sicurezza delle e-mail,backup periodici dei dati, etc...); PROCESSI - le aziende devono definire un framework, ossia un insieme di procedure da adottare in caso di attacco della sicurezza dei sistemi informatici aziendali, sia in caso trattasi di tentato attacco che nel caso di attacco informatico portato a buon fine (identificare gli attacchi, proteggere i sistemi, rilevare e rispondere alle minacce, recuperare dagli attacchi riusciti, etc...)
TECNOLOGIE - Gli strumenti informatici che devono essere oggetto di particolare attenzione per la sicurezza informatica delle aziende comprendono fondamentalmente i dispositivi in dotazione agli utenti(come computer), i dispositivi intelligenti, i dispositivi di rete (router, cloud, etc...). La tecnologia informatica comune fornisce degli ausili per proteggere questi strumenti individuati come particolarmente sensibili agli attacchi informatici (firewall di nuova generazione, il filtro DNS, la protezione dai malware, i software antivirus e le soluzioni di sicurezza e-mail).
Infine,è possibile identificare alcune categorie di minacce di cybersecurity:
PHISHING - si traduce nella prassi di inviare e-mail fraudolente che assomigliano a e-mail provenienti da fonti affidabili con l'obiettivo di sottrarre dati sensibili (dati di login, dati di internet banking, etc...). Trattasi della tipologia di attacco informatico più diffuso, da cui ci si può proteggere attraverso l'istruzione dell'utente ad una gestione e-mail in sicurezza, integrata con una soluzione tecnologica che filtra le e-mail dannose.
MALWARE - consiste in un tipo di software progettato per ottenere un accesso non autorizzato o per causare danni a un computer.
RAMSOWARE - è un tipo di software che determina un blocco che rende i file o l'intero sistema informatico vittima di questo tipo di attacco informatico. Il recupero dei file o dell'intera funzionalità del sistema informatico vittima della minaccia ramsoware può avvenire esclusivamente mediante pagamento di un riscatto in danaro agli hacker autori dello stesso attacco informatico, tuttavia il pagamento non garantisce il buon fine.
SOCIAL ENGINEERING - trattasi di una tattica che gli hacker utilizzano per indurre l'utente a rivelare informazioni sensibili. Tale minaccia informatica ha lo scopo di richiedere un pagamento in denaro oppure ottenere l'accesso ai dati riservati. Il social engineering può associarsi a una qualsiasi delle minacce precedenti al fine di rendere la vittima dell'attacco più propenso ad accedere a link proposti e pertanto scaricare malware o fidarsi di una fonte malevola.

CONTATTACI

Per giungere a definire i criteri sottesi al processo di "Archiviazione Digitale", è necessario muovere dalla definizione dei concetti di "documento","archivio" ed "archiviazione e del loro ruolo nell'ambito dell'attività aziendale e professionale. Un documento è qualsiasi elemento fisico o digitale che contiene informazioni. Di conseguenza, si definisce archivio il luogo fisico o digitale dove i documenti che contengono informazioni pregresse vengono catalogati, gestiti e conservati. Pertanto, gli archivi, siano essi analogici(cartaceo) o digitali,custodiscono la memoria di ogni impresa,da cui ne deriva che la gestione documentale è parte integrante e fondamentale dello svolgimento di qualsiasi attività aziendale e professionale. Le attività aziendali giungono ad adottare una gestione documentale di tipo "digitale" partendo dallo status quo di una conservazione dei documenti in formato analogico (cartaceo) in un archivio fisico e passando prima da una fase di conservazione e gestione “ibrida” dei documenti, ossia una fase di transizione nella quale convivono sia documenti cartacei che digitali, che spesso resta il criterio adottato in modo permanente per la gestione documentale dell'azienda e dell'attività professionale. Evidentemente, i due modi di conservazione analogico e digitale sono caratterizzati dall'uso di diversi tipi di supporto, che comporta una conseguente differenza nella modalità di gestione del documento .
La CONSERVAZIONE ANALOGICA dei documenti comporta una serie di attività che vanno dall’ideazione di un piano di archiviazione fisica dei documenti in ambienti dedicati. Nella consuetudine delle attività di conservazione cartacea dei documenti aziendali e professionali, si procede alla distinzione tra la gestione dell’archivio corrente (composto dai documenti necessari all'operatività aziendale e professionale nell’immediato), dell’archivio di deposito (costituito da documenti non più necessari per il disbrigo degli affari correnti ma con valenza giuridica, fiscale ed operativa ancora attuale) e dell’archivio storico (luogo fisico contenente i documenti destinati alla conservazione permanente).
La CONSERVAZIONE DIGITALE dei documenti comporta l’insieme di procedure, attività, regole e tecnologie che garantiscono accessibilità, utilizzabilità, autenticità e reperibilità dei documenti stessi. La conservazione digitale può avere per oggetto documenti "nativi" in formato digitale, ossia prodotti utilizzando applicativi di editing di documenti installati sui computer dell'azienda, oppure documenti analogici oggetto di "conversione" in formato digitale mediante scansione. Tuttavia,la gestione documentale digitale consente di reperire e consultare i documenti con grande velocità, impattando più che positivamente sui processi aziendali e migliorando la produttività e l’efficienza generale. Esistono essenzialmente due modalità di archiviazione e conservazione dei documenti in formato digitale: gli archivi elettronici detti “on-site”, perché collocati sul server dell’azienda, e quelli “on cloud” che utilizzano invece piattaforme esterne accessibili anche da periferiche personali (smartphone,tablet,...). La creazione di un archivio digitale non può prescindere da una serie di regole imprescindibili: digitalizzare a norma i documenti cartacei originali, definire una procedura di archiviazione per i documenti nativi digitali (Pec, fatture elettroniche, dichiarazioni dei redditi, etc),creare degli archivi tematici (per esempio “fatture”, “ordini approvati”, etc),creare un sistema di nomenclatura logico e univoco per nominare i singoli file, impostare e usare maschere di imputazione, idonee a descrivere il contenuto del file.
Per legge tutti i documenti validi ai fini fiscali, cartacei o digitali che siano, devono possedere e mantenere nel tempo alcuni requisiti (integrità, autenticità e leggibilità) che ne garantiscano la paternità e non modificabilità.
Infine,dal punto di vista normativo, l’archiviazione digitale dei documenti validi ai fini fiscali, cartacei o digitali che siano, devono possedere e mantenere nel tempo alcuni requisiti (integrità, autenticità e leggibilità) che ne garantiscano la paternità e non modificabilità, ossia rispondere a procedure definite dalla legge sulla conservazione sostitutiva (AGID, Agenzia per l'Italia Digitale); nonchè devono rispondere agli obblighi delle normative europee sul corretto trattamento dei dati personali (GDPR, General Data Protection Regulation).
L'insieme di questi elementi che caratterizzano gli aspetti operativi e legali della gestione documentale, sia essa cartacea che digitale, richiede l'intervento di operatori competenti e dotati di pluriennale esperienza nell'organizzazione dei criteri di archiviazione documentale integrata con i processi di generale operatività aziendale e professionale.

CONTATTACI

CONTATTACI