Visualizzazione post con etichetta Privacy. Mostra tutti i post
Visualizzazione post con etichetta Privacy. Mostra tutti i post

lunedì 6 luglio 2026

Sanzione a Lepida per trattamenti scorretti di dati personali

Il Garante ha sanzionato Lepida, fornitore di servizi SPID; https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10263964.

Faccio le seguenti riflessioni e mi chiedo se sono condivise:

  • giusto il censurare l'approccio "tutti possono vedere tutto", soprattutto considerando i grandi numeri di autorizzati e interessati;
  • giusto il dire che i documenti "lavorati" vanno subito tolti dalla circolazione per quanto possibile;
  • vedo come misura faticosa l'uso di viewer per i documenti, perché farla bene non è banale e fatta male non serve a niente;
  • mi fa ridere la proposta di lanciare messaggi per ricordare ogni volta di cancellare i documenti perché già la terza volta verranno ignorati.

lunedì 22 giugno 2026

Il DPO non paga i danni in caso di attacco informatico (aggiornamento)

Avevo scritto di una sentenza del Tribunale di Firenze relativo alle responsabilità del DPO (ma ho cancellato il post!). Rimando alla sentenza n. 3034 del 29 maggio 2026 del Tribunale di Firenze, sezione terza civile, e a un articolo su LinkedIn: https://it.linkedin.com/posts/daniele-gulinatti-b7592a_dpo-non-paga-danni-per-attacco-hacker-activity-7468204590765854720-NZA5.

Nicola Manzi mi ha risposto su LinkedIn dicendomi, in sintesi, che non avevo approfondito a dovere. E infatti l'ha fatto lui: https://www.linkedin.com/posts/nicolamanzi_dpo-gdpr-compliance-activity-7468665788628127744-65CW.

Vale la pena leggere il post, con anche il link alla sentenza.

Mi scuso con tutti e ringrazio Nicola Manzi.

Data broker e sanzione del Garante

Il Garante ha sanzionato due aziende che avevano acquistato dati da un data broker senza aver verificato tutte le condizioni per trattare i dati personali.

Devo dire che ho avuto modo di vedere le condizioni di altri data broker e mi hanno lasciato molto perplesso, per non dire che mi sono sembrati discutibili.

Faccio prima a rimandare all'articolo di Christian Bernieri, forse un po' troppo sopra le righe, ma istruttivo: https://garantepiracy.it/blog/lusha/.

lunedì 8 giugno 2026

D. Lgs. 96 del 2026: Trasparenza retributiva

E' stato approvato e pubblicato il D. Lgs. 96 del 2026 sulla trasparenza retributiva: https://www.altalex.com/documents/2026/06/05/trasparenza-retributiva-d-lgs-96-2026-attua-direttiva-ue-2023-970

Molti articoli si soffermano su alcune difficoltà attuative, ma non riguardano né la sicurezza delle informazioni né la privacy.

Per quanto riguarda la privacy, segnalo le seguenti:

- art. 5 comma 2: "Ai candidati a un impiego non possono essere chieste informazioni sulle retribuzioni percepite negli attuali o nei precedenti rapporti di lavoro";

- art. 7 comma 1: [...] "è riconosciuto ai lavoratori il diritto di richiedere e ricevere per iscritto [...] le informazioni sui livelli retributivi medi, ripartiti per sesso, delle categorie di lavoratori che svolgono lo stesso lavoro o un lavoro di pari valore"; però, al comma 8, è indicato che "Al fine di evitare l'identificazione diretta o indiretta dei singoli lavoratori in conformità al [GDPR...], per i datori di lavoro che occupano fino a quarantanove dipendenti, le informazioni di cui al comma 1 possono essere fornite con le modalità previste dall'articolo 9, comma 4";

- art. 9, comma 4: dice che saranno pubblicati uno o più decreti del Ministro del lavoro e delle politiche sociali, sentito il Garante per la privacy, per fornire indicazioni per "le modalità di raccolta ed esposizione dei dati";

- art. 11 comma 2: "l'accesso alle informazioni di cui agli articoli 7, 9 e 10 è riservato esclusivamente ai rappresentanti dei lavoratori, all'Ispettorato del lavoro e agli organismi per la parità territorialmente competenti ove comporti la divulgazione, diretta o indiretta, della retribuzione di un lavoratore identificabile. I rappresentanti dei lavoratori o l'organismo per la parità forniscono consulenza ai lavoratori in merito a eventuali ricorsi connessi al principio della parità di retribuzione senza divulgare i livelli retributivi effettivi dei singoli lavoratori che svolgono lo stesso lavoro o un lavoro di pari valore".

- art. 11 comma 3: "I dati trattati ai sensi degli articoli 7, 9 e 10 non sono utilizzabili per scopi diversi dall'applicazione del principio della parità di retribuzione. La trasmissione dei dati personali è consentita nei casi, nelle forme e nei limiti previsti dalla normativa vigente".

Temo ci siano informative da aggiornare.

giovedì 7 maggio 2026

Modello di relazione privacy

La CNIL ha pubblicato il "Modèle de rapport d’activité du délégué / de la déléguée à la protection des données proposé par la CNIL": https://www.cnil.fr/fr/rapport-activite-dpo.

Lo chiama modello di rapporto delle attività del DPO, ma a mio parere potrebbe anche essere esteso alle attività privacy in generale.

Mi sembra un po' troppo verboso, ma anche un buon riferimento da tenere in considerazione (è in francese, ma gli strumenti per tradurlo sono numerosi).

Ringrazio Andrea Solimeno di Selexi per avermelo segnalato.

venerdì 17 aprile 2026

Privacy: Modello di DPIA dell'EDPB

L'EDPB (ossia il consesso dei Garanti privacy europei) ha pubblicato il suo "EDPB DPIA Template": https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/edpb-dpia-template_en.

L'ho guardato e non l'ho ancora usato. Però mi sembra molto meglio di quello proposto tempo fa dalla CNIL. 

Ringrazio Chiara Ponti (Idraulica della privacy) per avermelo segnalato.

 

giovedì 16 aprile 2026

CNIL e tempi di conservazione dei dati del personale

La CNIL ha pubblicato il "Référentiel: Les durées de conservation des données à caractère personnel - Gestion des ressources humaines": https://cnil.fr/fr/referentiel-durees-conservation-donnees-rh.  

E' chiaro che la legislazione francese è leggermente diversa dalla nostra, quindi il provvedimento va letto soprattutto per capire le scelte fatte dalla CNIL ed eventualmente tradurle per le nostre esigenze (confrontandosi anche con i consulenti del lavoro, per chi non lo è).  

Segnalo alcuni tempi:

- per i log degli accessi (p.e. con badge): 3 mesi, ma per quelli biometrici 6 mesi;

- videosorveglianza: 1 mese, tranne ovviamente se in uso per provvedimenti disciplinari. 

Ringrazio la newsletter di Project:IN Avvocati per aver riportato la notizia.

lunedì 23 marzo 2026

Conservazione dei dati: i 7 errori comuni sanzionati dal garante

Chiara Ponti (degli Idraulici della privacy) mi ha segnalato questo post su LinkedIn: https://www.linkedin.com/feed/update/urn:li:activity:7441050068780003328/.

Mi ha segnalato in particolare l'immagine (non so se generata dall'autore del post), che trovo decisamente utile. Infatti riporta le cose più importanti da osservare quando si parla di tempi di conservazione dei dati personali: vanno identificati i criteri con cui determinare i tempi di conservazione, non bisogna essere vaghi nell'informativa, non si possono conservare i dati "fino alla revoca", i tempi non devono essere "eccessivi", vanno differenziati i tempi in base alle categorie di dati personali, bisogna prestare attenzione ai dati temporanei e agli archivi storici. 

Non solo: sono anche riportati i riferimenti ai Provvedimenti. Cosa molto utile.

sabato 21 marzo 2026

Il tribunale di Roma annulla la multa del Garante e ChatGPT

Segnalo l'articolo "Tribunale Roma blocca maxi sanzione Garante Privacy contro OpenAI e ridisegna i confini del trattamento dati": https://assodigitale.it/tribunale-roma-blocca-maxi-sanzione-garante-privacy-contro-openai-e-ridisegna-i-confini-del-trattamento-dati/.

La notizia interessa sia per i suoi impatti sull'intelligenza artificiale, ma bisognerà leggere le motivazioni prima di dire alcunché.

Interesse ulteriore è l'annullamento da parte della giustizia ordinaria. In altre parole: il Garante può sanzionare, ma può anche essere contestato. Ovviamente, è bene ricordare che conviene sempre seguire le indicazioni del Garante per evitare lunghi e costosi procedimenti giudiziari, anche se poi si vincono. E' quando non conviene più seguirle che nascono i problemi (per il Garante, sembrerebbe in questo caso).

Grazie (ancora!) a Christian Bernieri per la segnalazione agli Idraulici della privacy.

Applicazioni che indicano la posizione

Segnalo questo articolo "U.S. soldiers are revealing sensitive and dangerous information by jogging": https://www.washingtonpost.com/world/a-map-showing-the-users-of-fitness-devices-lets-the-world-see-where-us-soldiers-are-and-what-they-are-doing/2018/01/28/86915662-0441-11e8-aa61-f3391373867e_story.html.

Mi chiedo perché attivare la geolocalizzazione e lo so già: non la si disattiva mai e le app che, per i motivi più strani, la vogliono usare, la usano. Non capisco neanche perché Strava registri la posizione dei suoi utilizzatori. Forse capisco perché gli utilizzatori non disabilitino questa funzionalità: perché si avvia di default ed è scomodo disabilitarla, oppure perché fa parte dei mille "sì" che bisogna fornire per avviarla.

E così gran parte degli incidenti nascono da produttori a cui non importa né della privacy né della sicurezza e da utilizzatori pigri.

Ringrazio Christian Bernieri per averlo segnalato agli Idraulici della privacy.

lunedì 12 gennaio 2026

Guida EDPS per la gestione del rischio per i sistemi IA

Andrea Solimeno di Selexi mi ha segnalato il documento "Guidance for Risk Management of Artificial Intelligence systems": https://www.edps.europa.eu/data-protection/our-work/publications/guidelines/2025-11-11-guidance-risk-management-artificial-intelligence-systems_en.

E' estremamente interessante perché mette insieme, in modo chiaro, i rischi "propri" dell'IA, ossia quelli di spiegabilità, di bias, di inaccuratezza, di raccolta dei dati, di riservatezza e privacy (ovviamente).

lunedì 1 dicembre 2025

Techsonar 2025-2026

L'EDPS ha messo a disposizione il "TechSonar Report 2025-2026": https://www.edps.europa.eu/data-protection/our-work/publications/reports/2025-11-24-techsonar-2025-2026_en.

Si tratta di un'analisi delle tendenze tecnologiche più significative e dei loro potenziali impatti sui dati personali e sulla sicurezza delle informazioni. Questa edizione si concentra su IA agentica, AI companions, supervisione automatica delle prove d'esame, apprendimento personalizzato con l'IA, codifica assistista di software e confidential computing.

sabato 22 novembre 2025

Solo due parole per il caso Garante

Giusto per non sembrare fuori dal mondo, scrivo due parole sul caso che sta infangando l'immagine del Garante.

La storia posso farla iniziare con questo articolo (che a sua volta ne richiama uno precedente): https://www.ilpost.it/2025/11/03/report-garante-privacy-ghiglia/. 

Poi è chiaro che, se la macchina mediatica si mette in moto, il fango (o, elegantemente, lo shitstorm) colpisce anche per cose minori: https://roma.corriere.it/notizie/politica/25_novembre_12/cerrina-feroni-libro-sangiuliano-querela-report-ac75004d-22cb-4493-82b6-997e2f787xlk_amp.shtml.

Queste cose minori però dimostrano la caduta di autorevolezza (capii quanto Renzi fosse caduto in disgrazia politica quando un tassista di Firenze mi disse, come accusa all'allora Presidente del Consiglio, che sua moglie guidava male). E infatti l'assemblea del personale ha richiesto le dimissioni del collegio: https://www.wired.it/article/garante-della-privacy-dimissioni-assemblea-lavoratori/. 

Per poi arrivare alla perla del segretario generale del Garante che non solo cerca di violare la privacy del personale, rinnegando anni e anni di sanzioni proprio su questi punti, ma si comporta come il peggior manager di un'azienda privata: https://www.ilfattoquotidiano.it/2025/11/20/spionaggio-garante-privacy-documento-dimissioni-news/8202607/.

Qui si tratta di psicologia, non più di sicurezza delle informazioni, privacy o qualità. O forse di una lezione di gestione aziendale sui rischi se si gestisce il potere in un certo modo. 

Però purtroppo questo mette a rischio la credibilità del nostro stesso lavoro e questo è un grande male: https://www.ilfattoquotidiano.it/2025/11/18/garante-privacy-inchiesta-esposti-sanzioni-dubbie-news/8199271/.

Traiamone uno spunto positivo. Possiamo sperare che tutto ciò riporti con i piedi per terra alcune iniziative, ci costringa a parlare di privacy in modo più sereno e attento, lasciar perdere le troppe iniziative mediatiche e riprendere in mano le questioni tecniche, tra cui quella sugli Amministratori di sistema (che da 16 anni ci ricorda come può essere scritto male un Provvedimento) e quella dei "metadati".

martedì 28 ottobre 2025

ISO/IEC 27706 per le certificazioni ISO/IEC 27701 (privacy)

Pubblicata la  ISO/IEC 27706:2025 "Requirements for bodies providing audit and certification of privacy information management systems": https://www.iso.org/standard/27706.

Importante per gli organismi di certificazione, non per le altre organizzazioni.

Però è importante sapere che è stata pubblicata perché questo rappresenta il primo passo per avere le certificazioni secondo la nuova ISO/IEC 27701, ossia indipendenti dalla ISO/IEC 27001.

I prossimi passi prevedono che:

- gli organismi di accreditamento aggiornino gli schemi di accreditamento;

- gli organismi di certificazione si accreditino o aggiornino il proprio accreditamento secondo i tempi di transizione previsti;

- le organizzazioni si certifichino (o rinnovino i certificati secondo i tempi di transizione previsti).

Non mi sembra siano stati ancora stabiliti dei tempi.

martedì 14 ottobre 2025

Pubblicata la ISO/IEC 27701

Pubblicata la ISO/IEC 27701:2025 "Privacy information management systems — Requirements and guidance": https://www.iso.org/standard/27701.

Di questa norma ne avevo già scritto e quello rimane ancora valido: https://www.agendadigitale.eu/sicurezza/iso-iec-27701-sui-sistemi-di-gestione-per-la-privacy-come-e-come-sara/

Ulteriore riflessione riguarda i tempi di audit (che, ricordiamolo, non hanno solo un costo diretto per pagare l'organismo, ma hanno anche costi legati all'assistenza di un consulente e al tempo richiesto al personale interno per partecipare). Un piccolo fornitore di servizi informatici di 20 persone, per la ISO/IEC 27001 deve prevedere almeno 5 giorni per il primo audit, 2,5 giorni negli anni successivi e 4 giorni ogni 3 anni. Se vuole aggiungere la ISO/IEC 27701 e solo per la certificazione come responsabile, deve aggiungere almeno 3 giornate per il primo audit, 1 giornata gli anni successivi e 2 giornate ogni 3 anni.

Le cifre le sto dando sulla base della ISO/IEC 27006:2024 e della bozza finale della ISO/IEC 27706.

Ringrazio Chiara Ponti per avermi avvisato.

sabato 27 settembre 2025

Check list per il Codice di condotta privacy per il software gestionale

Qualche tempo fa avevo scritto della pubblicazione del "Codice di condotta per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale": https://blog.cesaregallotti.it/2024/12/codice-di-condotta-privacy-per-le.html.

Ricordo che il Codice è stato approvato ai sensi dell'articolo 40 del GDPR.

Avevo scritto il mio apprezzamento in un post che avevo scritto malissimo e me ne scuso con i miei lettori.

Ne ho fatto una check list da utilizzare da chi sviluppa e mantiene il software e da chi lo acquisisce: https://www.cesaregallotti.it/Pubblicazioni.html.

venerdì 19 settembre 2025

Stato standard ISO/IEC 270xx

A metà settembre 2025 si è tenuto l'incontro semestrale dell'ISO/IEC JTC 1 SC 27 che si occupa della redazione di molti standard importanti per la sicurezza delle informazioni. Io non ho partecipato perché era a Kunming, in China, e gli standard discussi non erano di mio particolare interesse.

Però, con i rapporti prodotti, fornisco una sintesi delle decisioni più significative:

  • ISO/IEC 27000, di panoramica delle norme della famiglia ISO/IEC 27000: aggiornamento previsto per febbraio 2027; le definizioni saranno però riportate nelle singole norme;
  • ISO/IEC 27003, di guida alla ISO/IEC 27001: aggiornamento previsto per aprile 2027 (le bozze attuali hanno un testo migliore rispetto al precedente, ma senza nuove indicazioni tecniche particolarmente significative);
  • ISO/IEC 27004, di guida alle misurazioni per i sistemi di gestione per la sicurezza delle informazioni: aggiornamento previsto per ottobre 2027 (le bozze attuali prevedono qualche esempio ulteriore, su cui ho qualche perplessità, rispetto alla passata edizione);
  • ISO/IEC 27017, con controlli e linee guida per l'implementazione da aggiungere alla ISO/IEC 27002 per i fornitori di servizi cloud: aggiornamento previsto per luglio 2026 (l'importanza di questa norma è chiara perché è richiesta da ACN e in alcuni bandi);
  • ISO/IEC 27701, con i requisiti per i sistemi di gestione per la privacy: pubblicazione prevista per fine settembre 2025 (ne ho già parlato in precedenza e ho già esposto le mie critiche);
  • ISO/IEC 27706, con le regole per gli organismi di certificazione ISO/IEC 27701: pubblicazione prevista per fine settembre 2025;
  • ISO/IEC 29151, con controlli e linee guida per la privacy: pubblicazione prevista per luglio 2026 (questa norma è più di interesse didattico che pratico, almeno in Italia).

In vigore il Data Act

Dal 12 settembre è applicabile il Data Act, ossia il Regolamento UE 2023/2854.

La questione è complessa, anche perché la norma è di difficile lettura. Indicativamente permette di potenziare l’economia dei dati e favorire un mercato più competitivo, rendendo i dati più accessibili e utilizzabili. Sono stabilite quindi responsabilità e misure per lo scambio di dati, incluse quelle contrattuali per evitare abusi e la portabilità tra fornitori di servizi cloud.

Cito dalla newsletter di Project:IN Avvocati: "la sua integrazione con le altre norme, come GDPR e AI Act, è chiara a livello teorico - la Commissione ha un piano globale - ma complessa a livello pratico: vedremo come, nella realtà del business dei dati, questa norma avrà un impatto". 

Le FAQ della Commissione: https://digital-strategy.ec.europa.eu/it/library/commission-publishes-frequently-asked-questions-about-data-act.

mercoledì 17 settembre 2025

Privacy: necessario cancellare le e-mail dopo la cessazione del rapporto

Franco Vincenzo Ferrari mi ha segnalato il Provvedimento del 10 luglio 2025 [10162267]: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10162267.

Il Provvedimento ricorda, in sostanza, le "Linee Guida del Garante per posta elettronica ed internet" (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1387522) e quindi che è opportuno procedere alla disattivazione dell’account di email e alla notifica ai mittenti di tale disattivazione e di indirizzi email alternativi.

Il Provvedimento non dice espressamente che la casella doveva essere cancellata immediatamente, ma lo sottintende dicendo, in sostanza, che le motivazioni addotte per non farlo non sono fondate. Infatti è interessante osservare che il titolare aveva detto di voler conservare le caselle di email per la possibile necessità di recuperare informazioni perché i documenti vanno posti in appositi archivi mentre "i messaggi di posta elettronica scambiati tramite le caselle di posta elettronica assegnate ai dipendenti, come noto, sono invece considerati, a tutti gli effetti, corrispondenza costituzionalmente tutelata".

Questo dell'uso dell'email come archivio aziendale è, lo sappiamo, ormai assodato, ma non posso che concordare con il Garante. Lo dico per questioni organizzative, posto che lasciare dati importanti nelle caselle di email personali vuol dire non averne il controllo.