Visualizzazione post con etichetta Privacy. Mostra tutti i post
Visualizzazione post con etichetta Privacy. Mostra tutti i post

martedì 8 settembre 2026

Regole di accreditamento per la nuova ISO/IEC 27701

Accredia ha pubblicato le regole di accreditamento (per gli organismi di certificazione) per la ISO/IEC 27701: https://www.accredia.it/documenti/circolare-tecnica-dc-n-33-2026-accreditamento-degli-odc-che-certificano-privacy-information-management-systems-pims-secondo-la-iso-iec-27701/.

Per le organizzazioni certificate sono interessanti le seguenti indicazioni:

  • non è richiesto obbligatoriamente un audit di transizione dedicato;
  • tutte le certificazioni dovranno essere transitate al nuovo standard entro il 31 marzo 2028. 

Ricordo che, con la nuova versione, la certificazione ISO/IEC 27701 è indipendente da quella ISO/IEC 27001. Nulla vieta però di integrare i due sistemi.

domenica 2 agosto 2026

Tette e gattini

Ho letto, solo dopo un anno dalla pubblicazione, il libro di Matteo Flora "Tette e gattini": https://landing.matteoflora.com/tette-e-gattini.

Si scarica gratuitamente.

Ripercorre con preparazione e intelligenza quanto fatto e non fatto negli anni per controllare la navigazione sul web, spesso con la scusa di voler limitare la navigazione dei minori. La questione, in realtà, non è semplice. Ci sono problemi tecnologici e, soprattutto, filosofici perché coinvolge le libertà di tutti (controllare i minori vuol dire controllare anche tutti gli adulti).

Il libro è breve e val la pena leggerlo (anche per capire quanto sia sbagliato pensare che se non si ha niente da nascondere allora non si deve temere la sorveglianza).

Ringrazio Claudio Sartor per avermi segnalato il libro. Ne avevo sentito parlare, ma temevo che fosse un concentrato di cose risapute o inutilmente polemiche. Invece Claudio mi ha detto che non è così e ha ragione.

mercoledì 29 luglio 2026

Pubblicata la ISO/IEC 29151:2026 con i controlli privacy

E' stata pubblicata la nuova ISO/IEC 29151:2026 "Information security, cybersecurity and privacy protection — Controls, requirements, and guidance for personally identifiable information protection": https://www.iso.org/standard/88151.html.

Questa norma, che in precedenza era destinata ai soli titolari del trattamento e adesso anche ai responsabili, riprende i controlli della ISO/IEC 27002, ne estende le linee guida per l'implementazione e ne aggiunge altri specifici per la privacy.

Mi sembra che in Italia questa norma sia completamente ignorata, mentre in altri Paesi è usata come riferimento dalle PMI che non intendono usare la ISO/IEC 27701.

Personalmente, penso che sarebbe stato più corretto eliminarla perché si sovrappone con la ISO/IEC 27701, visto che nulla impedisce alle PMI di usarla e, nel caso, nulla obbliga a richiedere una certificazione.

lunedì 6 luglio 2026

Sanzione a Lepida per trattamenti scorretti di dati personali

Il Garante ha sanzionato Lepida, fornitore di servizi SPID; https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10263964.

Faccio le seguenti riflessioni e mi chiedo se sono condivise:

  • giusto il censurare l'approccio "tutti possono vedere tutto", soprattutto considerando i grandi numeri di autorizzati e interessati;
  • giusto il dire che i documenti "lavorati" vanno subito tolti dalla circolazione per quanto possibile;
  • vedo come misura faticosa l'uso di viewer per i documenti, perché farla bene non è banale e fatta male non serve a niente;
  • mi fa ridere la proposta di lanciare messaggi per ricordare ogni volta di cancellare i documenti perché già la terza volta verranno ignorati.

lunedì 22 giugno 2026

Il DPO non paga i danni in caso di attacco informatico (aggiornamento)

Avevo scritto di una sentenza del Tribunale di Firenze relativo alle responsabilità del DPO (ma ho cancellato il post!). Rimando alla sentenza n. 3034 del 29 maggio 2026 del Tribunale di Firenze, sezione terza civile, e a un articolo su LinkedIn: https://it.linkedin.com/posts/daniele-gulinatti-b7592a_dpo-non-paga-danni-per-attacco-hacker-activity-7468204590765854720-NZA5.

Nicola Manzi mi ha risposto su LinkedIn dicendomi, in sintesi, che non avevo approfondito a dovere. E infatti l'ha fatto lui: https://www.linkedin.com/posts/nicolamanzi_dpo-gdpr-compliance-activity-7468665788628127744-65CW.

Vale la pena leggere il post, con anche il link alla sentenza.

Mi scuso con tutti e ringrazio Nicola Manzi.

Data broker e sanzione del Garante

Il Garante ha sanzionato due aziende che avevano acquistato dati da un data broker senza aver verificato tutte le condizioni per trattare i dati personali.

Devo dire che ho avuto modo di vedere le condizioni di altri data broker e mi hanno lasciato molto perplesso, per non dire che mi sono sembrati discutibili.

Faccio prima a rimandare all'articolo di Christian Bernieri, forse un po' troppo sopra le righe, ma istruttivo: https://garantepiracy.it/blog/lusha/.

lunedì 8 giugno 2026

D. Lgs. 96 del 2026: Trasparenza retributiva

E' stato approvato e pubblicato il D. Lgs. 96 del 2026 sulla trasparenza retributiva: https://www.altalex.com/documents/2026/06/05/trasparenza-retributiva-d-lgs-96-2026-attua-direttiva-ue-2023-970

Molti articoli si soffermano su alcune difficoltà attuative, ma non riguardano né la sicurezza delle informazioni né la privacy.

Per quanto riguarda la privacy, segnalo le seguenti:

- art. 5 comma 2: "Ai candidati a un impiego non possono essere chieste informazioni sulle retribuzioni percepite negli attuali o nei precedenti rapporti di lavoro";

- art. 7 comma 1: [...] "è riconosciuto ai lavoratori il diritto di richiedere e ricevere per iscritto [...] le informazioni sui livelli retributivi medi, ripartiti per sesso, delle categorie di lavoratori che svolgono lo stesso lavoro o un lavoro di pari valore"; però, al comma 8, è indicato che "Al fine di evitare l'identificazione diretta o indiretta dei singoli lavoratori in conformità al [GDPR...], per i datori di lavoro che occupano fino a quarantanove dipendenti, le informazioni di cui al comma 1 possono essere fornite con le modalità previste dall'articolo 9, comma 4";

- art. 9, comma 4: dice che saranno pubblicati uno o più decreti del Ministro del lavoro e delle politiche sociali, sentito il Garante per la privacy, per fornire indicazioni per "le modalità di raccolta ed esposizione dei dati";

- art. 11 comma 2: "l'accesso alle informazioni di cui agli articoli 7, 9 e 10 è riservato esclusivamente ai rappresentanti dei lavoratori, all'Ispettorato del lavoro e agli organismi per la parità territorialmente competenti ove comporti la divulgazione, diretta o indiretta, della retribuzione di un lavoratore identificabile. I rappresentanti dei lavoratori o l'organismo per la parità forniscono consulenza ai lavoratori in merito a eventuali ricorsi connessi al principio della parità di retribuzione senza divulgare i livelli retributivi effettivi dei singoli lavoratori che svolgono lo stesso lavoro o un lavoro di pari valore".

- art. 11 comma 3: "I dati trattati ai sensi degli articoli 7, 9 e 10 non sono utilizzabili per scopi diversi dall'applicazione del principio della parità di retribuzione. La trasmissione dei dati personali è consentita nei casi, nelle forme e nei limiti previsti dalla normativa vigente".

Temo ci siano informative da aggiornare.

giovedì 7 maggio 2026

Modello di relazione privacy

La CNIL ha pubblicato il "Modèle de rapport d’activité du délégué / de la déléguée à la protection des données proposé par la CNIL": https://www.cnil.fr/fr/rapport-activite-dpo.

Lo chiama modello di rapporto delle attività del DPO, ma a mio parere potrebbe anche essere esteso alle attività privacy in generale.

Mi sembra un po' troppo verboso, ma anche un buon riferimento da tenere in considerazione (è in francese, ma gli strumenti per tradurlo sono numerosi).

Ringrazio Andrea Solimeno di Selexi per avermelo segnalato.

venerdì 17 aprile 2026

Privacy: Modello di DPIA dell'EDPB

L'EDPB (ossia il consesso dei Garanti privacy europei) ha pubblicato il suo "EDPB DPIA Template": https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/edpb-dpia-template_en.

L'ho guardato e non l'ho ancora usato. Però mi sembra molto meglio di quello proposto tempo fa dalla CNIL. 

Ringrazio Chiara Ponti (Idraulica della privacy) per avermelo segnalato.

 

giovedì 16 aprile 2026

CNIL e tempi di conservazione dei dati del personale

La CNIL ha pubblicato il "Référentiel: Les durées de conservation des données à caractère personnel - Gestion des ressources humaines": https://cnil.fr/fr/referentiel-durees-conservation-donnees-rh.  

E' chiaro che la legislazione francese è leggermente diversa dalla nostra, quindi il provvedimento va letto soprattutto per capire le scelte fatte dalla CNIL ed eventualmente tradurle per le nostre esigenze (confrontandosi anche con i consulenti del lavoro, per chi non lo è).  

Segnalo alcuni tempi:

- per i log degli accessi (p.e. con badge): 3 mesi, ma per quelli biometrici 6 mesi;

- videosorveglianza: 1 mese, tranne ovviamente se in uso per provvedimenti disciplinari. 

Ringrazio la newsletter di Project:IN Avvocati per aver riportato la notizia.

lunedì 23 marzo 2026

Conservazione dei dati: i 7 errori comuni sanzionati dal garante

Chiara Ponti (degli Idraulici della privacy) mi ha segnalato questo post su LinkedIn: https://www.linkedin.com/feed/update/urn:li:activity:7441050068780003328/.

Mi ha segnalato in particolare l'immagine (non so se generata dall'autore del post), che trovo decisamente utile. Infatti riporta le cose più importanti da osservare quando si parla di tempi di conservazione dei dati personali: vanno identificati i criteri con cui determinare i tempi di conservazione, non bisogna essere vaghi nell'informativa, non si possono conservare i dati "fino alla revoca", i tempi non devono essere "eccessivi", vanno differenziati i tempi in base alle categorie di dati personali, bisogna prestare attenzione ai dati temporanei e agli archivi storici. 

Non solo: sono anche riportati i riferimenti ai Provvedimenti. Cosa molto utile.

sabato 21 marzo 2026

Il tribunale di Roma annulla la multa del Garante e ChatGPT

Segnalo l'articolo "Tribunale Roma blocca maxi sanzione Garante Privacy contro OpenAI e ridisegna i confini del trattamento dati": https://assodigitale.it/tribunale-roma-blocca-maxi-sanzione-garante-privacy-contro-openai-e-ridisegna-i-confini-del-trattamento-dati/.

La notizia interessa sia per i suoi impatti sull'intelligenza artificiale, ma bisognerà leggere le motivazioni prima di dire alcunché.

Interesse ulteriore è l'annullamento da parte della giustizia ordinaria. In altre parole: il Garante può sanzionare, ma può anche essere contestato. Ovviamente, è bene ricordare che conviene sempre seguire le indicazioni del Garante per evitare lunghi e costosi procedimenti giudiziari, anche se poi si vincono. E' quando non conviene più seguirle che nascono i problemi (per il Garante, sembrerebbe in questo caso).

Grazie (ancora!) a Christian Bernieri per la segnalazione agli Idraulici della privacy.

Applicazioni che indicano la posizione

Segnalo questo articolo "U.S. soldiers are revealing sensitive and dangerous information by jogging": https://www.washingtonpost.com/world/a-map-showing-the-users-of-fitness-devices-lets-the-world-see-where-us-soldiers-are-and-what-they-are-doing/2018/01/28/86915662-0441-11e8-aa61-f3391373867e_story.html.

Mi chiedo perché attivare la geolocalizzazione e lo so già: non la si disattiva mai e le app che, per i motivi più strani, la vogliono usare, la usano. Non capisco neanche perché Strava registri la posizione dei suoi utilizzatori. Forse capisco perché gli utilizzatori non disabilitino questa funzionalità: perché si avvia di default ed è scomodo disabilitarla, oppure perché fa parte dei mille "sì" che bisogna fornire per avviarla.

E così gran parte degli incidenti nascono da produttori a cui non importa né della privacy né della sicurezza e da utilizzatori pigri.

Ringrazio Christian Bernieri per averlo segnalato agli Idraulici della privacy.

lunedì 12 gennaio 2026

Guida EDPS per la gestione del rischio per i sistemi IA

Andrea Solimeno di Selexi mi ha segnalato il documento "Guidance for Risk Management of Artificial Intelligence systems": https://www.edps.europa.eu/data-protection/our-work/publications/guidelines/2025-11-11-guidance-risk-management-artificial-intelligence-systems_en.

E' estremamente interessante perché mette insieme, in modo chiaro, i rischi "propri" dell'IA, ossia quelli di spiegabilità, di bias, di inaccuratezza, di raccolta dei dati, di riservatezza e privacy (ovviamente).

lunedì 1 dicembre 2025

Techsonar 2025-2026

L'EDPS ha messo a disposizione il "TechSonar Report 2025-2026": https://www.edps.europa.eu/data-protection/our-work/publications/reports/2025-11-24-techsonar-2025-2026_en.

Si tratta di un'analisi delle tendenze tecnologiche più significative e dei loro potenziali impatti sui dati personali e sulla sicurezza delle informazioni. Questa edizione si concentra su IA agentica, AI companions, supervisione automatica delle prove d'esame, apprendimento personalizzato con l'IA, codifica assistista di software e confidential computing.

sabato 22 novembre 2025

Solo due parole per il caso Garante

Giusto per non sembrare fuori dal mondo, scrivo due parole sul caso che sta infangando l'immagine del Garante.

La storia posso farla iniziare con questo articolo (che a sua volta ne richiama uno precedente): https://www.ilpost.it/2025/11/03/report-garante-privacy-ghiglia/. 

Poi è chiaro che, se la macchina mediatica si mette in moto, il fango (o, elegantemente, lo shitstorm) colpisce anche per cose minori: https://roma.corriere.it/notizie/politica/25_novembre_12/cerrina-feroni-libro-sangiuliano-querela-report-ac75004d-22cb-4493-82b6-997e2f787xlk_amp.shtml.

Queste cose minori però dimostrano la caduta di autorevolezza (capii quanto Renzi fosse caduto in disgrazia politica quando un tassista di Firenze mi disse, come accusa all'allora Presidente del Consiglio, che sua moglie guidava male). E infatti l'assemblea del personale ha richiesto le dimissioni del collegio: https://www.wired.it/article/garante-della-privacy-dimissioni-assemblea-lavoratori/. 

Per poi arrivare alla perla del segretario generale del Garante che non solo cerca di violare la privacy del personale, rinnegando anni e anni di sanzioni proprio su questi punti, ma si comporta come il peggior manager di un'azienda privata: https://www.ilfattoquotidiano.it/2025/11/20/spionaggio-garante-privacy-documento-dimissioni-news/8202607/.

Qui si tratta di psicologia, non più di sicurezza delle informazioni, privacy o qualità. O forse di una lezione di gestione aziendale sui rischi se si gestisce il potere in un certo modo. 

Però purtroppo questo mette a rischio la credibilità del nostro stesso lavoro e questo è un grande male: https://www.ilfattoquotidiano.it/2025/11/18/garante-privacy-inchiesta-esposti-sanzioni-dubbie-news/8199271/.

Traiamone uno spunto positivo. Possiamo sperare che tutto ciò riporti con i piedi per terra alcune iniziative, ci costringa a parlare di privacy in modo più sereno e attento, lasciar perdere le troppe iniziative mediatiche e riprendere in mano le questioni tecniche, tra cui quella sugli Amministratori di sistema (che da 16 anni ci ricorda come può essere scritto male un Provvedimento) e quella dei "metadati".

martedì 28 ottobre 2025

ISO/IEC 27706 per le certificazioni ISO/IEC 27701 (privacy)

Pubblicata la  ISO/IEC 27706:2025 "Requirements for bodies providing audit and certification of privacy information management systems": https://www.iso.org/standard/27706.

Importante per gli organismi di certificazione, non per le altre organizzazioni.

Però è importante sapere che è stata pubblicata perché questo rappresenta il primo passo per avere le certificazioni secondo la nuova ISO/IEC 27701, ossia indipendenti dalla ISO/IEC 27001.

I prossimi passi prevedono che:

- gli organismi di accreditamento aggiornino gli schemi di accreditamento;

- gli organismi di certificazione si accreditino o aggiornino il proprio accreditamento secondo i tempi di transizione previsti;

- le organizzazioni si certifichino (o rinnovino i certificati secondo i tempi di transizione previsti).

Non mi sembra siano stati ancora stabiliti dei tempi.

martedì 14 ottobre 2025

Pubblicata la ISO/IEC 27701

Pubblicata la ISO/IEC 27701:2025 "Privacy information management systems — Requirements and guidance": https://www.iso.org/standard/27701.

Di questa norma ne avevo già scritto e quello rimane ancora valido: https://www.agendadigitale.eu/sicurezza/iso-iec-27701-sui-sistemi-di-gestione-per-la-privacy-come-e-come-sara/. 

Ulteriore riflessione riguarda i tempi di audit (che, ricordiamolo, non hanno solo un costo diretto per pagare l'organismo, ma hanno anche costi legati all'assistenza di un consulente e al tempo richiesto al personale interno per partecipare). Un piccolo fornitore di servizi informatici di 20 persone, per la ISO/IEC 27001 deve prevedere almeno 5 giorni per il primo audit, 2,5 giorni negli anni successivi e 4 giorni ogni 3 anni. Se vuole aggiungere la ISO/IEC 27701 e solo per la certificazione come responsabile, deve aggiungere almeno 3 giornate per il primo audit, 1 giornata gli anni successivi e 2 giornate ogni 3 anni.

Le cifre le sto dando sulla base della ISO/IEC 27006:2024 e della bozza finale della ISO/IEC 27706.

Ringrazio Chiara Ponti per avermi avvisato.

sabato 27 settembre 2025

Check list per il Codice di condotta privacy per il software gestionale

Qualche tempo fa avevo scritto della pubblicazione del "Codice di condotta per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale": https://blog.cesaregallotti.it/2024/12/codice-di-condotta-privacy-per-le.html.

Ricordo che il Codice è stato approvato ai sensi dell'articolo 40 del GDPR.

Avevo scritto il mio apprezzamento in un post che avevo scritto malissimo e me ne scuso con i miei lettori.

Ne ho fatto una check list da utilizzare da chi sviluppa e mantiene il software e da chi lo acquisisce: https://www.cesaregallotti.it/Pubblicazioni.html.