Questo è quanto disponeva Il Decreto Legislativo 10 agosto 2018, n. 101 - Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), all’art. 22, comma 13.
In realtà si è trattato di una interpretazione che andava oltre le disposizioni citate in quanto sia le norme che i profili sanzionatori sono in vigore da maggio 2018 e non dal 19 maggio 2019.
Ciò comporta che dal 19 maggio 2019 non possiamo più sperare in sconti riguardo le sanzioni amministrative irrogabili. Quindi, per chi non avesse ancora adempiuto agli obblighi previsti dal GDPR, siamo oltre i termini massimi per interrogarsi, e mettere mano, agli adempimenti ai quali si è già adempiuto e quali necessitano di implementazione.
Ricordiamo che le sanzioni previste dal Regolamento n. 679/2016, nei casi più gravi, possono arrivare fino a 20 milioni di euro. Ad ogni modo, quello che dovrebbe far riflettere maggiormente non è solo il rischio d'spezione, quindi l’applicazione delle sanzioni amministrative o penali (ricordiamo il Codice privacy come aggiornato dal D. Lgs. n. 101/2018 prevede anche condotte penalmente rilevanti), quanto la possibilità, questa si concreta, di segnalazioni, reclami o azioni giudiziarie da parte di clienti, dipendenti o terzi delusi da un trattamento o da un comportamento dell’organizzazione; queste azioni avviano contenziosi e potrebbero portare a richieste di risarcimenti.
Concludendo, chi fino ad ora ha ritenuto di poter sottovalutare le disposizioni del GDPR o ha preso tempo per adeguarsi, deve essere consapevole che il tempo è scaduto. Sarebbe veramente opportuno, oltre che vivamente consigliato, intraprendere un percorso di adeguamento e cambiare il modo di gestire i dati nell'ambito dell'organizzazione o azienda.
Ricapitoliamo allora quali sono le sanzioni amministrative, suddivise per i loro massimi, e penali previste.
Fino a 10 milioni di euro, o in caso di un'impresa, fino al 2% del fatturato totale annuo mondiale.
Sono soggette a tali sanzioni amministrative le violazioni delle disposizioni relative agli obblighi del Titolare o del Responsabile di cui ai seguenti articoli:
art. 8 (consenso dei minori),
art. 10 (trattamenti che non richiedono l’identificazione degli interessati),
art. 23 (privacy by design e privacy by default),
art. 24 (contitolarità del trattamento),
art. 25 (nomina rappresentante del Titolare non stabilito nell’Unione Europea),
art. 26 (Responsabili del trattamento),
art. 27 (istruzioni e autorità del Titolare),
art. 28 (documentazione relativa a ciascun trattamento di dati personali),
art. 29 (cooperazione con l’Autorità di vigilanza),
art. 30 (sicurezza del trattamento),
art. 31 (notificazione dei data breach all’Autorità),
art. 32 (comunicazione dei data breach agli interessati),
art. 33 (DPIA – Data Protection Impact Assessment),
art. 34 (consultazione preventiva dell’Autorità di vigilanza),
artt. 35, 36 e 37 (designazione, posizione e compiti del DPO – Data Protection Officer),
art. 39 (compiti del Responsabile della protezione dei dati)
art. 40 (processi di certificazione).
Fino a 20 milioni di euro, o in caso di un'impresa, fino al 4% del fatturato totale annuo mondiale.
Sono soggette a tali sanzioni amministrative le violazioni delle disposizioni relative agli obblighi del Titolare o del Responsabile di cui ai seguenti articoli:
artt. 5 e ss. (principi base del trattamento),
artt. 7 e ss. (condizioni per il consenso),
artt. 12 e ss. (diritti degli interessati),
artt. 44 e ss (trasferimento di dati personali all’estero),
art. 58 (mancata ottemperanza a un ordine o a una limitazione temporanea o definitiva del trattamento disposti dall'Autorità di vigilanza)
Le sanzioni penali sono di competenza di ogni singolo Stato. La situazione italiana è la seguente:
art. 167 del Codice, “Trattamento illecito di dati”
- le violazione riguardanti la materia del trattamento dei dati personali attraverso le comunicazioni elettroniche sono punite con la reclusione da sei mesi a un anno e sei mesi.
- le violazioni che riguardano: a) il trattamento di categorie particolari di dati (artt. 9 e 10 GDPR); b) il trasferimento di dati personali verso un Paese terzo (cioè al di fuori della UE/SEE) o una organizzazione internazionale, sono punite con la reclusione da uno a tre anni.
art. 167 – bis del Codice, “Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala”
- la comunicazione/diffusione, senza consenso, di un archivio automatizzato o di una parte sostanziale di esso, contenente dati personali, è punita con la reclusione da un anno a sei anni.
art. 167 – ter del Codice, “Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala”
- chi acquisisce con mezzi fraudolenti un archivio automatizzato o una parte sostanziale di esso contenente dati personali è punito con la reclusione da un anno e quattro anni.
art. 168 del Codice, “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”
- chi dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi è punito con la reclusione da sei mesi a tre anni.
- chi cagiona intenzionalmente una interruzione o turba la regolarità di un procedimento dinanzi al garante o degli accertamenti dallo stesso svolti, è punito con la reclusione sino ad un anno.
art. 170 del Codice, “Inosservanza di provvedimenti del Garante”
- chi, essendovi tenuto, non osserva i provvedimenti del Garante è punito con la reclusione da tre mesi a due anni.
Per tutti i delitti di cui sopra, come pena accessoria, è prevista la pubblicazione della sentenza.
Protocollo di regolamentazione per il contrasto e il contenimento della diffusione del virus COVID 19 negli ambienti di lavoro è stato realizzato per agevolare gli enti e le imprese nell’adozione di protocolli di sicurezza anti-contagio, ma contiene importanti disposizioni anche in materia di privacy. Non tutti se ne sono accorti o hanno dato la giusto valore alle indicazioni del documento che, oltre alle disposizioni per mettersi in regola con le misure anti Covid-19, contiene importanti indicazioni e disposizioni in materia di...
Scritto da: Luigi DuraccioIncredibile! Solo un terzo degli utenti ha cambiato la propria password a seguito di una violazione dei dati. Quasi tutti con password più deboli o ricilando gli stessi caratteri delle password violate! Fonte: Informatore Informatico. E' il risultato di un recente studio pubblicato da accademici del Security and Privacy Institute (CyLab) della Carnegie Mellon University. Lo studio, presentato all'inizio di questo mese al seminario IEEE 2020 sulla tecnologia e la protezione dei consumatori, non si basava sui dati di indagine o sondaggio, ma sull'effettivo traffico...
Scritto da: Luigi Duraccio“Immuni” fa il suo esordio sugli store di Apple e Google, e subito una campagna malevola prova a sfruttare questo evento, ma la password si trova nei log di rete. Lo comunica Agid-Cert, la struttura del governo che si occupa di cybersicurezza. Grazie alla condivisione del sample da parte del ricercatore @JAMESWT_MHT, il CERT-AgID ha avuto evidenza della campagna di hacking che è stata diffusa per diffondere il ransomware denominato “FuckUnicorn”. Sffruttando la notizia del rilascio del codice dell’App Immuni, i criminali hanno creato un dominio ad arte per ospitare il...
Scritto da: Luigi DuraccioCampagna di GitLab che ha testato i propri collaboratori in remoto (remote-working) con una campagna di auto-phishing. L’obiettivo di ottenere le credenziali di accesso dei dipendenti è stato centrato in pieno. Una premessa è doverosa e tanto per essere chiari: il business del phishing è nell’ordine di miliardi di dollari amercani ogni anno. L'attuale situazione di pandemia ha incoraggiato, a volte costretto, le aziende ad estendere il proprio ecosistema ben oltre le mura dell'azienda con il c.d. "remote working". La prima conseguenza diretta è che il lavoratore diventa...
Scritto da: Luigi DuraccioDal 25 maggio 2018 sono passati due anni e, come previsto al momento della entrata in vigore del nuovo regolamento, è giunto il momento del primo tagliando. Giunti a questo punto era prevista una revisione della normativa ed era attesa la presentazione di proposte di semplificazioni per PMI ed enti no profit. Per gli sviluppi attendiamo ma, in questa sede, vorremmo fare un breve bilancio. Tra chiaro scuri, e con opportuni distinguo, il trend sembrerebbe positivo; da diversi sondaggi sembra si possano...
Scritto da: Luigi DuraccioMolti gli aspetti critici. Attenzione a fare le cose per bene o potrebbe arrivare una batosta! Oggi era in programma un post con contenuto e tenore diversi, ma, gli ultimi sviluppi della fase 2, mi hanno fatto cambiare programma. Questo articolo può essere considerato come una comunicazione di servizio, un alert per mettere tutti in guardia sulle procedure e sulle modalità con cui ci apprestiamo ad affrontare la fase 2, la cosidetta "ripartenza". La normativa e le circolari, commenti, chiarimenti, interventi, ecc. hanno già...
Scritto da: Luigi DuraccioLa "conservazione a norma" delle PEC è un aspetto quasi sconosciuto ma di rilevanza fondamentale. Se non conservate a norma, non hanno alcun valore! Molto probabilmente, per conservare le tue PEC stai utilizzando uno dei seguenti tre modi: 1. Nel computer o nel server. 2. Sono salvate nei server del gestore di posta, il tuo fornitore del servizio (es. Aruba). 3. Sono stampate su carta e conservate in archivio insieme a tutti gli altri documenti rilevanti. Se rientri in una di queste categorie ti devo...
Scritto da: Luigi DuraccioRelativamente alla protezione dei dati, introdurre azioni di prevenzione significa introdurre un nuovo trattamento. Questo porta numerosi problemi, operativi e concreti, sollevati dalla rilevazione della temperatura all'ingresso in azienda su dipendenti e clienti. Sono numerose le richieste di chiarimenti che pervengono al Garante in merito al trattamento di dati in periodo di coronavirus; e sono molte le informazioni, in rete e non, a chiarimento degli aspetti problematici sollevati dalla questione della rilevazione della temperatura. Ma è difficile capire bene come comportarsi, soprattutto per il...
Scritto da: Luigi DuraccioI criminali del web non si fanno scrupoli ad approfittare del rischio di epidemia in corso per architettare nuove ed insidiose frodi informatiche. Mentre siamo tutti confinati in casa nel tentativo di limitare la diffusione del corona virus, gli spammer e i phisher (il phishing è un tipo di frode informatica), sono in piena attività. Approfittano della richiesta di informazioni sulla pandemia, dell’allarme sociale, della scarsa dimestichezza degli utenti con gli strumenti informatici, per moltiplicare i loro attacchi. Nelle ultime settimane più di...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.