Abbiamo discusso con diversi esperti circa la necessità di progettare i sistemi aziendali secondo il principio della “privacy by design”. Impostare da zero tutte le infrastrutture mettendo al centro la sicurezza e la protezione dei dati. Evitare di “scaricare” sui dipendenti la responsabilità di eventuali violazioni che possono avvenire per un errore umano. Rendere sicuri per gli utenti i servizi digitali su cui l’offerta di molte aziende si basa. Vediamo perché è sempre più urgente adottare le misure necessarie, per le PMI che non lo abbiano ancora fatto. 

Multe del Garante della Privacy in aumento 

Nel 2021, l’Italia è stato uno dei Paesi con il più alto numero di multe, seconda solo alla Spagna. L’ammontare totale delle sanzioni però da noi è molto più alto: 84,5 milioni di euro, contro i 32,4 degli iberici. La violazione delle norme del Gdpr è sotto la lente del Garante già dallo scorso anno, quando si era registrata una crescita del 40% dei procedimenti. Sono diversi anche i casi “celebri” di aziende che hanno pagato caro per la loro disattenzione o negligenza. Deliveroo ha ricevuto ad agosto una multa da 2,5 milioni di euro per trattamento illecito dei dati dei rider. E’ invece di oltre 3,2 milioni di euro la sanzione a Sky Italia “per aver effettuato chiamate promozionali illecite” con liste acquisite da altre società. Per Amazon si è toccata la cifra record di 746 milioni, per violazioni della privacy correlate alle sue pratiche pubblicitarie. E l’elenco include naturalmente anche realtà più piccole, per cui l’attenzione del Garante non accenna a calare.

Nuova normativa sui cookies, nuova ondata di controlli.  

E’ della scorsa estate il provvedimento “Linee guida cookie e altri strumenti di tracciamento”, pubblicato sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021. Secondo il documento, le aziende avevano sei mesi di tempo per adeguarsi, applicando gli interventi tecnici richiesti. Il tempo è scaduto e chi non ha ancora provveduto potrebbe già incorrere in sanzioni. Quali sono le novità? Nonostante le differenze dal punto di vista informatico, le finalità di profilazione non sono cambiate. Tuttavia, mentre i cookies possono essere cancellati dall’utente, perché vengono archiviati sul suo dispositivo, altri strumenti di tracciamento possono sfuggire al suo controllo. Questo perché alcune informazioni raccolte su Internet, rimangono unicamente nella disponibilità del titolare del trattamento. E l’utente non ha la possibilità pratica di rimuovere direttamente questi strumenti dai propri terminali. La conseguenza è un minore controllo sui propri dati e, spesso, anche una minore consapevolezza dell’uso che ne viene fatto. Se fino a pochi mesi fa la “vecchia” normativa era vaga ed in parte in contrapposizione con il Gdpr – elemento che ha contribuito a rendere i controlli più “morbidi” – ora che i regolamenti sono allineati l’autorità si è impegnata ad intensificare l’attività sanzionatoria. Ne ha parlato anche in questo video Guido Scorza, in rappresentanza del Garante.

Allarme Cryptolocker  

Gli attacchi ransomware consistono nel furto di informazioni personali che vengono criptate e utilizzate per richiedere un riscatto. Cryptolocker è solo uno dei più noti – ma non l’unico – malware di questo tipo. Secondo i dati raccolti dal Kaspersky Secure Network, l’Italia è tra i dieci Paesi più colpiti da questi rischi. E’ capitato quasi a tutti di ricevere mail sospette che richiedono l’apertura di un allegato. Una fattura dal prezzo troppo alto, una bolletta inattesa del nostro fornitore di energia e via dicendo. E molti sono caduti nella trappola, mettendo in pericolo l’intero sistema aziendale. Il problema non è nell’errore umano, ma nell’assenza di un approccio Zero Trust in tutta l’infrastruttura informatica dell’impresa. Con gli strumenti di archiviazione e condivisione di Microsoft365, che includono una protezione antivirus avanzata, abbiamo favorito questo tipo di approccio in decine di PMI. Una scelta che serve a proteggere a monte da minacce sempre più accurate e insidiose, imprescindibile nell’era del lavoro remoto.