Cos’è-ra il Privacy Shield
Il Privacy Shield è stato fino ad ora la base giuridica di numerosi trattamenti che comportavano il trasferimento di dati verso gli Stati Uniti o altre nazioni al di fuori dei confini europei. L’invalidazione di tale accordo si è basata sul fatto che gli Stati Uniti hanno leggi e programmi di sorveglianza di massa che non forniscono, ad esempio, sufficienti diritti di opposizione al trattamento. I Garanti europei, in conseguenza di tale sentenza, hanno l’obbligo di interrompere il trattamento svolto tramite responsabili del trattamento statunitensi e che comporti un trasferimento dei dati personali.
Qual è la situazione attuale?
I titolari del trattamento potrebbero, se incapaci di implementare alternative, continuare ad utilizzare dei responsabili del trattamento non conformi ma dovranno notificarlo al Garante (articolo 145 C-311/18) e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.
In breve, questa è la situazione attuale:
I titolari del trattamento non possono utilizzare il Privacy Shield come base giuridica per il trattamento e/o trasferimento dei dati o responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano il Privacy Shield come base legale dell’accordo per il trattamento dei dati.
I titolari del trattamento non possono neanche utilizzare responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano Standard Contractual Clauses come base legale per il trattamento e/o trasferimento dei dati
I titolari del trattamento potranno utilizzare responsabili del trattamento statunitensi verificando che il responsabile del trattamento si idoneo e conforme al GDPR.
Cerco di semplificare al massimo: i seguenti provider (l’ordine è solo alfabetico) non dovrebbero essere utilizzati: Amazon (AWS), Apple, Cloudflare, Dropbox, Facebook, Google, Microsoft, Verizon e Verizon Media (Oath e Yahoo).
Questo significa che dovremmo smettere di utilizzare una lunga serie servizi ed applicazioni, non permesse dall’articolo 49 del GDPR; possiamo invece prenotare un albergo o un volo con entità statunitensi e consentire il trattamento ed il trasferimento dei nostri dati personali in quanto necessari per completare la transazione commerciale. Il trattamento dei dati personali tramite l’articolo 49 è infatti permesso solo se non continuativo e se ogni interessato è stato messo al corrente e cosciente (informato) del fatto che i propri dati personali ”saranno soggetti a programmi di sorveglianza di massa da parte del Governo statunitense e che in molti casi verranno utilizzati singolarmente ed in forma aggregata per supportare modelli di business che monetizzano le informazioni in modi più o meno etici”.
Di seguito alcuni esempi di quando voi come individui, dirigenti aziendali, impiegati pubblici potreste privare altri cittadini del loro diritto fondamentale alla privacy e rendervi non conformi al GDPR:
quando installate applicazioni come Facebook, WhatsApp, LinkedIn, Instagram, ecc… o attivate un account Google sul vostro telefono generalmente la prima cosa che fanno è di caricare i dati sul vostro telefono sui loro server per correlare i vostri dati con quelli dei vostri familiari, amici e colleghi senza ottenere il consenso dalle terze parti coinvolte;
quando utilizzate Microsoft Office, Microsoft 365, Google Docs o servizi e prodotti similari; Se scrivete documenti e fogli di calcolo o create presentazioni contenenti dati personali, condividerete quei dati in formato leggibile o li trasferirete una parola o frase per volta tramite i “Connected Services” senza consenso o basi legali. Questo purtroppo avviene tutti i giorni nella maggior parte delle organizzazioni pubbliche o private dove la maggior parte degli utenti non è a conoscenza del fatto che stanno trattando dati personali in modo illegale;
quando implementate servizi come Google Analytics, CloudFlare, Amazon AWS, Facebook, ecc. in quanto trattano e trasferiscono dati personali.
Cosa fare ora?
Se siete titolari del trattamento, questo potrebbe essere un grosso problema. I titolari del trattamento quindi, se non riescono a trovare alternative, potrebbero, in linea teorica, continuare ad utilizzare dei responsabili del trattamento non conformi, ma dovranno notificarlo al Garante e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.
Al momento sembra che non vi siano soluzioni semplici e veloci, soprattutto in un mondo in cui pochi giganti non solo operano in regime di quasi monopolio, ma sono in grado di condizionare le scelte dei governi che, a loro volta, non sono in grado di trovare o creare una valida alternativa.
Se questo articolo ti è piaciuto o pensi che possa esserti utile, condividilo sui tuoi social preferiti ed iscriviti alla nostra newsletter: è gratis e puoi cancellarti quando vuoi!
Dopo i mesi di febbraio e marzo in quarta posizione, ad aprile l’Italia vede impennarsi ulteriormente il dato relativo agli attacchi malware Fonte: Trend Micro Milano, 31 maggio 2021 Nel 2021, l’Italia si conferma nelle prime posizioni della classifica mondiale dei Paesi maggiormente presi di mira dai malware. A gennaio era il quinto Paese più colpito, a febbraio e marzo il quarto, mentre ad aprile sale sul podio di questa speciale classifica come terza nazione maggiormente afflitta dal fenomeno malware. Il dato emerge...
Scritto da: Luigi DuraccioUno degli attacchi hacker più riusciti di questi ultimi tempi è dovuto al furto di una sola password. Certo che scoprire che tutto è stato causato da una sola password non solo fa rabbia ma fa salire, o almeno dovrebbe far salire la preoccupazione. Sì, avete capito bene, una sola password ha messo in crisi la fornitura di petrolio di mezza America. Storia di un disastro annunciato. Ma analizziamo quanto successo alla multinazionale statunitense cercando di coglierne un insegnamento. L'attacco ransomware subito da Colonial...
Scritto da: Luigi DuraccioI crimini informatici sono in costante aumento. Prestare attenzione alla protezione dei dati e rispettare le prescrizioni del gdpr, lungi dall’essere un un costo o un inutile dispendio di attività, diventa per le aziende una potente arma di difesa e uno strumento protezione nella prevenzione dei rischi. I crimini informatici sono in costante aumento. E' una affermazione che non necessità di nessuno sforzo di immaginazione: è una realtà sotto gli occhi di tutti! E lo sono perchè le occasioni di fare profitti illeciti si...
Scritto da:Il Movimento 5S e l’Associazione Rousseau risultano essere, rispettivamente, titolare e responsabile del trattamento dei dati degli iscritti al Movimento. Il Garante per la protezione dei dati personali ha ordinato all’Associazione Rousseau di consegnare al Movimento 5 Stelle tutti i dati personali degli iscritti. Il Movimento 5 Stelle aveva presentato reclamo al Garante che ha avviato una istruttoria d’urgenza. In base alla documentazione acquisita, il Movimento 5S e l’Associazione Rousseau risultano essere, rispettivamente, Titolare e Responsabile del trattamento dei dati degli iscritti al...
Scritto da: Luigi DuraccioSuperano i 292 milioni di euro le sanzioni per violazioni della privacy applicate in Europa. L'Italia è prima per importi delle sanzioni irrogate (oltre 76 milioni). Fonte: Italia Oggi del 31 maggio 2021 Superano i 292 milioni di euro le sanzioni per violazioni della privacy applicate in Europa. Sono state, secondo Privacy Affairs, 73 in Italia, che è al secondo posto per provvedimenti sanzionatori emanati. Secondo Enforcement Tracker, che fino a maggio 2021 conta un totale di 283 milioni di euro spalmati in 638 sanzioni. L'Italia però è...
Scritto da: Luigi DuraccioIl cybercrime non si ferma mai. Ecco un esempio di un diverso modo di veicolare malware e ransomware. Da diverse settimane ricevo personalmente, e ricevono anche molti dei miei clienti, delle mail di notifica provenienti dai moduli di contatto del sito web. Queste mail contengono virus e sono molto pericolose proprio perché provengono da fonte conosciuta, il proprio sito. Come sempre il successo di un attacco di questo tipo dipende dal grado di consapevolezza degli utenti, dalla capacità di riconoscere una mail fake e dall’attenzione che si pone di fronte alle comunicazioni...
Scritto da: Luigi DuraccioL’informativa è uno dei pilastri su cui si basa il GDPR che garantisce la tutale dell’esercizio dei diritti dei proprietari dei dati, gli interessati. E' anche il primo atto che deve compiere il titolare nei confronti degli interessati prima di iniziare un qualsiasi trattamento. E non è un mero adempimento formale: attraverso l’informativa gli interessati vengono a conoscenza di tutti gli elementi necessari per poter esercitare i propri diritti sulle informazioni possedute dal titolare. L’informativa non è esaustiva degli adempimenti da svolgere ai...
Scritto da:La gestione dell’attacco ransomware da parte di Bose può essere un’utile lezione per tutte le aziende vittime di un incidente informatico. Bose ha rivelato qualche giorno fa di aver subito un attacco ransomware. I criminali sono riusciti ad accedere ai dati di alcuni ex dipendenti senza conferma che fossero stati anche esfiltrati. L’azienda è stata però in grado di recuperare la piena funzionalità dei sistemi senza pagare alcun riscatto. Come ha reagito Bose Nella nota dell’azienda si legge: “Bose ha avviato protocolli di risposta agli incidenti, ha...
Scritto da: Luigi DuraccioE’ il primo caso di codice di condotta, ai sensi del GDPR, adottato in ambito privato. Il Codice di condotta è stato elaborato dall’Associazione nazionale tra le imprese di informazioni commerciali e di gestione del credito (Ancic). Con la pubblicazione sulla Gazzetta Ufficiale n. 124 del 26 maggio 2021 diventa operativo il Codice di condotta per il trattamento dei dati personali a fini di informazione commerciale. Si tratta delle informazioni e delle valutazioni che vengono fornite da soggetti privati, attraverso apposito servizio,...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.