Riassunto esame Informatica giuridica, Prof. Ricciardi Mario, libro consigliato Tecnologia e diritto. Informatica Giuridica, Volume II (2019), Giuffrè, Milano, 2019. , P. Perri, G. Ziccardi

DPIA

Una DPIA devo farla quando il rischio è elevato. La prospettiva della valutazione del titolare richiesta dal GDPR deve essere improntata su rischi per i soggetti interessati, diversamente dalle attività di valutazione del rischio praticate in altri ambiti (per esempio, la sicurezza delle informazioni) ove essa è focalizzata sui rischi per l’ente o azienda stessa.

Anche se il titolare non ha l’obbligo di condurre una DPIA, dovrebbe ugualmente effettuare una costante valutazione del rischio, nel rispetto del principio di accountability. La valutazione del rischio deve riguardare non solo la sicurezza del trattamento, ma anche gli effetti complessivi.

Il “rischio elevato”

Ci deve essere un rischio elevato per i diritti e le libertà fondamentali dell’interessato, ed entrano in gioco due articoli fondamentali del GDPR:

• l’articolo 35, che è quello della valutazione d’impatto (DPIA)
• l’articolo 34, che è...

1. quando viene eseguita una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente suddette persone fisiche;
2. quando il trattamento è eseguito su larga scala e interessa categorie particolari di dati personali (vale a dire dati sensibili, biometrici, genetici, etc.);
3. quando si procede ad una sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Notifica di data breach agli interessati

Ai sensi dell'art. 34, il titolare deve notificare, senza ingiustificato ritardo, di aver subito una violazione di dati personali agli interessati (oltre che

All'Autorità Garante) quando la stessa è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche".

Come facciamo a capire se un rischio elevato?

Tale rischio sussiste quando la violazione può comportare un danno fisico, materiale o immateriale per le persone fisiche i cui dati sono stati violati.

Es.: discriminazione, furto o usurpazione d'identità, perdite finanziarie, pregiudizio alla reputazione.

Il verificarsi di tale danno dovrebbe essere considerato probabile quando la violazione riguarda dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, oppure che includono dati genetici, dati relativi alla salute o dati relativi alla vita sessuale o a condanne penali e a reato alle relative misure di sicurezza (categorie particolari di dati).

Come valutare il rischio elevato?

I Considerando 75 e 76

Del regolamento suggeriscono che, di norma, nella valutazione del rischio si dovrebbero prendere in considerazione tanto la probabilità quanto la gravità del rischio per i diritti e le libertà degli interessati. Inoltre il Regolamento afferma che il rischio dovrebbe essere valutato in base a una valutazione oggettiva.

Ci sono due differenze del rischio elevato nella DPIA e nella notifica di data breach:

Nella DPIA:

• Il titolare deve considerare tanto i rischi del trattamento svolto come pianificato, tanto quelli in caso di violazione.
• Nel valutare una potenziale violazione, esamina in termini generali la probabilità che la stessa si verifichi e il danno all'interessato che potrebbe derivarne.

Si tratta, quindi, di una valutazione di un evento ipotetico.

Nella notifica data breach:

• Nel caso di una violazione effettiva, l'evento si è già verificato, quindi l'attenzione si concentra esclusivamente sul rischio risultante.

interessate. Questi sono tutti dei parametri per capire quando siamo di fronte ad un rischio elevato. Questi ci vengono incontro soprattutto quando siamo nella notifica del data breach, perché qui l'avvento è già successo.

Le misure di sicurezza

Le misure sono esposte nell'articolo 32 del GDPR, e si tratta dell'unico articolo sulle misure di sicurezza. Prima con i codici privacy avevamo diversi articoli, ma anche l'Allegato B, che era un disciplinare tecnico con tutte le misure di sicurezza, era un elenco standard uguale per tutti. Secondo GDPR bisogna scegliere le misure di sicurezza adeguate.

L'articolo 32 del GDPR spiega inoltre che nell'attuare misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio, si dovrebbe prendere in considerazione, tra le altre cose, "la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei

Il tuo compito è formattare il testo fornito utilizzando tag html.

ATTENZIONE: non modificare il testo in altro modo, NON aggiungere commenti, NON utilizzare tag h1;

sistemi e dei servizi di trattamento” e “la capacità diripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidentefisico o tecnico”.Se una di queste tre basi viene meno si ha un data breach.

Le misure di sicurezza adeguate

L’articolo 32 ci parla di misure di sicurezza idonee, non abbiamo un elenco ma unavalutazione caso per caso e dobbiamo scegliere la misura in base:

• allo stato dell’arte
• i costi di attuazione
• la natura del trattamento
• l’oggetto del trattamento
• il contesto
• la finalità
• la gravità dei rischi per i diritti e le libertà delle persone fisiche stimato.

Si parla poi di misure di sicurezza tecniche e misure di sicurezza organizzative.

Misure di sicurezza tecniche

Il GDPR fornisce un elenco non esaustivo, che comprende:

1. la pseudonimizzazione —> scomposizione del dato in più parti in modo che non sipuò risalire a chi si riferisce,

Il dato non è anonimo perché io ho la chiave per risalire all'interessato del dato.

La cifratura -> scomporre i dati in modo che non vengano compresi.

Misure per garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.

Misure atte a garantire il tempestivo ripristino della disponibilità dei dati (ad es. procedure di disaster recovery).

Procedure per verificare e valutare regolarmente l'efficacia delle misure di sicurezza adottate (ad es. procedure di testing periodico).

Non esiste un obbligo generalizzato di adozione di misure "minime" di sicurezza, poiché la valutazione delle misure che risultano le più adeguate è rimessa, caso per caso, al titolare e al responsabile, in rapporto ai rischi specificamente individuati e analizzati.

Misure di sicurezza organizzative

Definire e implementare un Modello organizzativo data protection

coerente con l'organizzazione aziendale e i trattamenti svolti, che identifichi in maniera chiara ruoli e responsabilità; avvalersi di meccanismi di distribuzione e ripartizione dei compiti e delle funzioni per aree funzionali, al fine di far fronte concretamente alla molteplicità delle attività e degli adempimenti derivanti dal ruolo di titolare del trattamento; implementare una effettiva segregazione dei ruoli interni nelle organizzazioni più complesse, costituendo ciò uno dei modi con cui il titolare può assolvere ai propri obblighi di controllo effettivo e di garanzia sostanziale. Le misure organizzative includono anche l'impianto documentale predisposto dal titolare (ad esempio il registro dei trattamenti, le informative sul trattamento) e l'attuazione di politiche, possibilmente formalizzate in policies e procedure, in materia di protezione dei dati personali nell'ambito dello specifico contesto di riferimento.cui il titolare si trova ad operare trattamenti.
Le misure di sicurezza adeguate
Quanto alla finalità delle misure di sicurezza, sia organizzative sia tecniche, le stesse
dovranno essere efficaci al raggiungimento di un "livello di sicurezza adeguato".
Nello specifico, le misure che il titolare deciderà di adottare dovranno tutte tendere al
raggiungimento dell'obiettivo di contrastare i rischi di distruzione, perdita, modifica,
divulgazione non autorizzata o accesso, accidentale o illegale, a dati personali trasmessi,
conservati o comunque trattati dal titolare stesso.
Fattori di variazione nell'entità del rischio
Tutti i trattamenti le cui caratteristiche attuative (ambito, finalità, dati personali raccolti,
identità di titolari o destinatari, periodi di conservazione dei dati, misure tecniche e
organizzative) sono mutate dovrebbero essere oggetto di una rivalutazione.
In particolare, la necessità di operare una nuova valutazionedei rischi, nonché del livello di adeguatazza delle misure di sicurezza adottate, insorge al modificarsi dei rischi target di riferimento presi in considerazione nella prima analisi condotta derivanti dai trattamenti eseguiti in un dato momento/contesto specifico. Fattori di variazione nell'entità del rischio Le variazioni da monitorare possono riguardare: - il contesto, - il numero di dati raccolti, - le finalità, - le funzionalità di un sistema, - il tipo di dati personali oggetto di trattamento che può evolvere ricomprendendo anche dati appartenenti a categorie particolari, - i destinatari, nuovi incroci di dati, - trasferimenti internazionali di dati originariamente non attivati. Inoltre, i rischi possono mutare la loro entità al variare, ad esempio, delle fonti di rischio, degli impatti potenziali, delle minacce. 18/11/21 BLOCKCHAIN E REGISTRI DISTRIBUITI Bitcoin e DLT Perché