Privacy , schede di sintesi : #2 la liceità del trattamento di dati personali

Assicurare la liceità del trattamento di dati personali

Il Regolamento, come già il d.lgs 196/2003 Codice in materia di protezione dei dati personali, prevede che ogni trattamento deve trovare fondamento in un’idonea base giuridica. I fondamenti di liceità del trattamento di dati personali sono indicati all’articolo 6 del Regolamento:

consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati.

Categorie particolari di dati personali

Per le “categorie particolari di dati personali” (articolo 9 del Regolamento), il loro trattamento è vietato, in prima battuta, a meno che il titolare possa dimostrare di soddisfare almeno una delle condizioni fissate all’articolo 9, paragrafo 2 del Regolamento, che qui ricordiamo:

l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche;
il trattamento è effettuato da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali;
il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato;
il trattamento è necessario per uno dei seguenti scopi:
- per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale;
- per tutelare un interesse vitale dell’interessato o di un’altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;
- per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;
- per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri;
- per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali;
- per motivi di interesse pubblico nel settore della sanità pubblica;
- per il perseguimento di fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.

Per alcune di tali finalità sono previste limitazioni o prescrizioni ulteriori, anche nel diritto nazionale.

Il consenso

Quando il trattamento si fonda sul consenso dell’interessato, il titolare deve sempre essere in grado di dimostrare (articolo 7.1 del Regolamento) che l’interessato ha prestato il proprio consenso), che è valido se:

all’interessato è stata resa l’informazione sul trattamento dei dati personali (articoli 13 o 14 del Regolamento);
è stato espresso dall’interessato liberamente, in modo inequivocabile e, se il trattamento persegue più finalità, specificamente con riguardo a ciascuna di esse. Il consenso deve essere sempre revocabile.

Occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato (articolo 7.2), per esempio all’interno della modulistica.

Non è ammesso il consenso tacito o presunto (per esempio, presentando caselle già spuntate su un modulo).

Quando il trattamento riguarda le “categorie particolari di dati personali” (articolo 9 Regolamento) il consenso deve essere “esplicito”; lo stesso vale per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione – articolo 22).

Il consenso non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è modalità idonea a configurare l’inequivocabilità del consenso e il suo essere “esplicito” (per le categorie particolari di dati di cui all’articolo 9 Regolamento).

Per approfondimenti:
Linee-guida sul consenso
Linee-guida in materia di profilazione e decisioni automatizzateazione.

Interesse vitale di un terzo

Si può invocare tale base giuridica per il trattamento di dati personali solo se nessuna delle altre condizioni di liceità può trovare applicazione (considerando 46 : Il trattamento di dati personali dovrebbe essere altresì considerato lecito quando è necessario per proteggere un interesse essenziale per la vita dell’interessato o di un’altra persona fisica. Il trattamento di dati personali fondato sull’interesse vitale di un’altra persona fisica dovrebbe avere luogo in principio unicamente quando il trattamento non può essere manifestamente fondato su un’altra base giuridica. Alcuni tipi di trattamento dei dati personali possono rispondere sia a rilevanti motivi di interesse pubblico sia agli interessi vitali dell’interessato, per esempio se il trattamento è necessario a fini umanitari, tra l’altro per tenere sotto controllo l’evoluzione di epidemie e la loro diffusione o in casi di emergenze umanitarie, in particolare in casi di catastrofi di origine naturale e umana.).

Interesse legittimo prevalente di un titolare o di un terzo

Il ricorso a questa base giuridica per il trattamento di dati personali presuppone che il titolare stesso effettui un bilanciamento fra il legittimo interesse suo o del terzo e i diritti e libertà dell’interessato. Dal 25 maggio 2018, dunque, tale bilanciamento non spetta più all’Autorità, in linea di principio.
Si tratta di una delle principali espressioni del principio di “responsabilizzazione” introdotto dal Regolamento 2016/679.

L’interesse legittimo del titolare o del terzo deve risultare prevalente sui diritti e le libertà fondamentali dell’interessato per costituire un valido fondamento di liceità.

Il Regolamento chiarisce espressamente che l’interesse legittimo del titolare non costituisce idonea base giuridica per i trattamenti svolti dalle autorità pubbliche in esecuzione dei rispettivi compiti.

Si ricordi, inoltre, che il legittimo interesse non può essere invocato isolatamente quale base giuridica per il trattamento delle categorie particolari di dati personali (articolo 9, paragrafo 2, del Regolamento).

Fonte
Schede di sintesi redatte dall’Ufficio del Garante per la Protezione dei Dati Personali a mero scopo divulgativo. Per un quadro completo della materia, si rimanda alla legislazione in tema di protezione dei dati personali e ai provvedimenti dell’Autorità

Perche’ non esistono antivirus per IOS ?

Potrebbe sembrare strano che Kaspersky Lab non offra un’app antivirus per iOS, ma c’è una buona ragione: Apple non ammette app ufficiali di antivirus nell’App Store, dichiarando che “Apple ha progettato la piattaforma iOS con la sicurezza al centro” e quindi il sistema operativo non ha bisogno di un’utilità antivirus.

Sembra arrogante, ma non è solo marketing: Apple iOS è infatti progettato per essere molto sicuro.

Le app iOS vengono eseguite nelle proprie sandbox: ambienti sicuri che nascondono le app, tenendole lontane dai dati di altre app, e dalla possibilità di manomettere i file del sistema operativo.
In ambiente iOS, un’app “wanna-be-malicious” non sarà in grado di rubare o compromettere nulla: non sarà consentito l’accesso al di fuori della propria sandbox, dove vengono memorizzati ed elaborati solo i propri dati.
Oltre a questa misura di sicurezza, Apple limita l’installazione sui dispositivi iOS solo a quelle app che provengono dall’App Store ufficiale (a meno che qualcuno che sia l’amministratore della tua azienda o un malfattore, abbia un account sviluppatore aziendale che consente di utilizzare Mobile Device Management [MDM] per installare app da fonti di terze parti).
La società ha un controllo molto stretto su ciò che è consentito nel suo store, controllando il codice di tutte le app prima di approvare qualsiasi cosa.
Ciò significa che qualcuno dovrebbe sviluppare un’app dannosa per iOS e quindi sottoporla a una revisione ufficiale prima di avere la possibilità di installarla su un dispositivo iOS.

Ovviamente, quanto sopra è vero solo per i dispositivi iOS non jailbreak, ma la maggior parte degli iPhone e degli iPad non sono jailbreak, soprattutto perché le versioni moderne di iOS sono molto sicure e non esiste un modo noto per effettuare il jailbreak.
Proprio quelle stesse limitazioni significano che le app antivirus non possono essere create per iOS: qualsiasi soluzione antivirus per funzionare deve essere in grado di vedere cosa stanno facendo le altre app e intervenire se il comportamento di un’applicazione è sospetto, e non puoi farlo in una sandbox.

Cosa sono le app di security che trovo nel App Store ?
Cercando nell’App Store troverai app chiamate “di sicurezza Internet”, ma non sono app antivirus. Una soluzione antivirus corretta non può essere eseguita su iOS. Queste app non sono utility antivirus, anche se hanno motori antivirus incorporati, non sono autorizzati a scansionare altre app e i loro dati.
Cosa fanno davvero quelle app? Sono dei falsi? No e possono avere utili funzioni di sicurezza come i moduli antiphishing e antitracking, VPN, utilità di controllo parentale, gestione password, blocco annunci, soluzioni antifurto o qualsiasi combinazione di questi.

Questa è la ragione per cui Kaspersky Internet Security per iOS non esiste.
Ma tutte le funzionalità di cui sopra sono effettivamente utili, ed è per questo che Kaspersky ha qualcos’altro per il sistema operativo mobile di Apple.

Sono sicuro con iOS ?
Apple ha davvero progettato iOS con la sicurezza al suo interno, ma non è sufficiente definirlo un sistema operativo assolutamente sicuro. Di tanto in tanto, i criminali informatici scoprono nuovi modi per sfruttare le vulnerabilità in iOS o ingannare i tecnici Apple che esaminano le app.
Ad esempio è stato infettato il kit di sviluppo Xcode in modo che app innocenti create con esso possano diventare malevoli; o app che controllando la posizione geografica quando vengono eseguite negli Stati Uniti non attivano la parte malevole del codice e riescono cois’ a bypassare i controlli Apple e vengono pubblicate nell’App Store.

Fortunatamente, il malware per iOS è molto raro al momento, quindi le probabilità di incontrarne uno è molto bassa.
Ribadiamo che è vero a meno che non si installi un profilo MDM, perché in seguito il dispositivo può essere controllato completamente e in remoto dal server dell’organizzazione che ha emesso il profilo.
Pertanto, per gli utenti non-enterprise, evitare i certificati MDM è la prima regola di sicurezza in iOS.

Nessun malware, nessun problema, giusto?
Sfortunatamente, il malware non è l’unica minaccia. Non dimentichiamo che altre minacce sono altrettanto reali per gli utenti iOS come lo sono per tutti gli altri. Tali minacce includono phishing, spam, intercettazione dei dati di rete e così via e così via, per non parlare delle minacce alla privacy.

Rimane quindi importante adottare una soluzione di protezione per iOS per tutte le altre minacce a cui sono esposti anche iPhone e iPad.

Fonte
Kaspersky Daily

Protezione e controllo delle informazioni. Quali soluzioni ?

La crittografia è uno dei metodi più sicuri in assoluto per gestire con facilità le politiche di accesso e di condivisione delle informazioni, sia all’interno che all’esterno dell’organizzazione aziendale, riducendone il rischio di furto o di utilizzo non autorizzato.
E’ possibile proteggere documenti, endpoint (come smartphone, tablet, notebook, workstation, in parte o completamente), e-mail, dispositivi esterni (hard e flash drive). Le varie possibilità possono essere tra loro combinate al fine di raggiungere i più elevati standard di protezione da perdite accidentali o dolose.

Presentiamo alcune soluzioni che possono coprire le esigenze più comuni:

Proteggere e controllare sempre e ovunque i tuoi documenti
La soluzione IRM di Sealpath impedisce che informazioni riservate, ovunque esse siano, sulla rete aziendale, sulle reti dei clienti o dei partner, nel cloud (ad es. Box, Dropbox, ecc.) o su un dispositivo mobile, possano essere viste o usate da utenti non autorizzati.
IRM di Sealpath protegge i documenti riservati con crittografia persistente che accompagna i file ovunque essi siano; gestisce e controlla, attraverso una console centralizzata, chi accede ai documenti riservati, quando e con quale permessi (sola lettura, modifica, stampa, copia e incolla, ecc.) e registra i dettagli degli accessi ai documenti.
La soluzione consente inoltre di dimostrare che i documenti con dati personali e/o sensibili sono protetti con sistemi di crittografia e con misure tecniche che assicurano che l’accesso ad essi sia impossibile senza autorizzazione, rispondendo così anche al principio di accountability del GDPR.

Cifratura a livello di file, disco o dispositivo
La crittografia di Kaspersky Endpoint Security for Business Advanced, con certificazione FIPS 140-2 e completamente trasparente per l’utente, protegge i dati riservati sui dispositivi fissi e portatili. La tecnologia integrata consente di applicare in maniera centralizzata le policy di crittografia dei dati aziendali a livello di file, disco o dispositivo removibile.

End to end email encryption
Il modulo di Email Encryption di Libra Esva Email Security Gateway è una funzionalità di crittografia end-to-end che protegge le e-mail direttamente sul tuo gateway di posta.
La crittografia end-to-end garantisce che solo il destinatario previsto possa leggere il contenuto. Neanche gli amministratori possono leggere il messaggio senza la password.
Ogni volta che il destinatario riceve un messaggio crittografato viene informato sui metodi disponibili per leggere e decodificare il messaggio e, attraverso un apposito servizio web sul gateway ESVA del mittente, può accedere al messaggio e ai contenuti.

E-mail crittografate e firmate con certificato personale
I certificati email personali consentono agli utenti di firmare e crittografare le e-mail in modo digitale dimostrandone la paternità, impedendone la manomissione e garantendo la riservatezza attraverso la cifratura. Qualunque sia il sistema di posta utilizzato e’ possibile firmare l’email con il proprio certificato personale e crittografarne il contenuto purché anche il destinatario sia in possesso di un certificato email personale.

Storage criptato
IStorage produce storage portatili (flash drives, hard drive, ssd drive) ad attivazione a mezzo PIN, con crittografia in real time e autenticazione hardware. Non richiedono installazioni di software, driver o utility, e sono indipendenti dal sistema operativo e dalla piattaforma.

Privacy , schede di sintesi : #1 come trattare correttamente i dati

Principi generali del trattamento di dati personali

Ogni trattamento di dati personali deve avvenire nel rispetto dei principi fissati all’articolo 5 del Regolamento (UE) 2016/679, che qui si ricordano brevemente:

liceità, correttezza e trasparenza del trattamento, nei confronti dell’interessato;
limitazione della finalità del trattamento, compreso l’obbligo di assicurare che eventuali trattamenti successivi non siano incompatibili con le finalità della raccolta dei dati;
minimizzazione dei dati: ossia, i dati devono essere adeguati pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento;
esattezza e aggiornamento dei dati, compresa la tempestiva cancellazione dei dati che risultino inesatti rispetto alle finalità del trattamento;
limitazione della conservazione: ossia, è necessario provvedere alla conservazione dei dati per un tempo non superiore a quello necessario rispetto agli scopi per i quali è stato effettuato il trattamento;
integrità e riservatezza: occorre garantire la sicurezza adeguata dei dati personali oggetto del trattamento.

Il Regolamento (articolo 5, paragrafo 2) richiede al titolare di rispettare tutti questi principi e di essere “in grado di comprovarlo”.

Questo è il principio detto di “responsabilizzazione” (o accountability) che viene poi esplicitato ulteriormente dall’articolo 24, paragrafo 1, del Regolamento, dove si afferma che “il titolare mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente Regolamento.”