Articoli

Smart working e formazione per la trasformazione al digitale: le nuove regole secondo il Ministro per la Pubblica Amministrazione

Smart working nella Fase 2: nuova regola per la PA

 

Con l’evolversi della situazione epidemiologica, sono state definite ulteriori misure per lo svolgimento delle attività lavorative nella fase 2 dell’emergenza Covid-19.

Con la Legge n. 27 del 24 aprile 2020, le Pubbliche amministrazioni sono invitate a facilitare la transizione al digitale delle attività amministrative: in particolare, dovranno individuare ogni misura utile per consentire la dematerializzazione dei procedimenti, così da permettere a tutti i dipendenti lo svolgimento della propria prestazione lavorativa.

Per garantire la continuità della prestazione lavorativa, il D.P.C.M. del 26 aprile 2020 ha definito il lavoro agile come modalità ordinaria di svolgimento della prestazione lavorativa nelle pubbliche amministrazioni fino alla cessazione dello stato di emergenza epidemiologica.

Per supportare la transizione al digitale, il Ministro per la pubblica amministrazione ha adottato la direttiva n. 3/2020, con cui vengono fornite indicazioni per lo smart working nel settore pubblico. La direttiva suggerisce, in particolare:

  • Di provvedere, mediante il personale in presenza, alla scansione e all’invio della documentazione al personale in modalità agile;
  • All’utilizzo di cloud, offerti gratuitamente anche in questa fase da provider privati, per l’archiviazione di documentazione.

 

Accanto alla predisposizione di tali misure tecnico – organizzative, il Ministro per la Pubblica amministrazione considera fondamentale il ricorso all’attività formativa come strumento di accompagnamento del proprio personale nel processo di trasformazione digitale dell’amministrazione e di diffusione della capacità di lavorare in modalità agile per il raggiungimento degli obiettivi assegnati.

Le indicazioni recentemente adottate si accompagnano alle precedenti direttive emanate nel contesto emergenziale. Tra queste, si ricorda la direttiva n. 1/2020 del Dipartimento della Funzione Pubblica, che ha previsto l’utilizzabilità dei propri dispositivi per svolgere la prestazione lavorativa, purchè siano garantiti adeguati livelli di sicurezza e protezione della rete secondo le esigenze e le modalità definite dalle singole pubbliche amministrazioni.

Purtuttavia, l’utilizzo di dispositivi personali e non forniti dall’azienda, come visto nel precedente post, tende a far trascurare l’adozione di opportune misure di sicurezza, e si sottovalutano i piccoli rischi normalmente connessi alla navigazione in rete e accettati con ingenuità.

Per supportare i dipendenti pubblici nell’utilizzo più sicuro di pc, tablet e smartphone personali, il CertPA di AgID ha enucleato undici Raccomandazioni per supportare le PA e i lavoratori Pubblici e sostenerli nel contrastare eventuali attacchi informatici con comportamenti responsabili, anche quando utilizzano dotazioni personali. Nello specifico, le Raccomandazioni sono state elaborate sulla base delle misure minime di sicurezza informatica per le pubbliche amministrazioni fissate dalla circolare  17 marzo 2017, n. 1/2017.

 

 

La necessità di formazione in materia di Smart working e Sicurezza: Hedya propone i percorsi formativi innovativi

Il tema cruciale per garantire la transizione al digitale è sicuramente quello legato alle competenze digitali nella PA, che costituisce il fattore abilitante per qualsiasi corretta e adeguata governance dell’innovazione. Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, occorre un’adeguata preparazione in materia di sicurezza, privacy e tutela dei lavoratori. Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

 

 

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Inoltre, Hedya supporta le Pubbliche Amministrazioni attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da

Allerta Covid-19, dopo l’ok del Garante istituita la piattaforma unica nazionale: prioritaria la protezione dati

Sistema di allerta Covid-19 nel D.L. 28/2020: la conformità al GDPR è essenziale

 

Il grave contesto emergenziale ha comportato l’incremento, nel corso dell’ultimo mese, di nuove iniziative e misure proposte per garantire il monitoraggio e la prevenzione dei contagi. Sulla scorta delle esperienze già sperimentate a livello europeo, anche nel nostro paese sono proliferate molteplici proposte per la realizzazione di App che assicurassero il monitoraggio dei contatti.

Si sono pertanto susseguite:

  • Iniziative su base regionale per il monitoraggio del contagio dei cittadini residenti nelle rispettive regioni;
  • Successivamente, si è manifestato l’intento, anche a livello nazionale, di procedere all’ideazione di App per il tracciamento dei contatti sull’intero territorio nazionale, dapprima secondo logiche centralizzate e, successivamente, ispirandosi a logiche decentralizzate.

 

Gli ultimi approdi sono confluiti nel Decreto Legge del 30 aprile 2020 n. 28, pubblicato nella Gazzetta Ufficiale n. 111 del 30 aprile 2020.

La Presidenza del Consiglio dei Ministri aveva già richiesto il parere del Garante per la protezione dei dati personali su una proposta normativa per il tracciamento dei contatti fra soggetti, attuata mediante apposita applicazione su dispositivi di telefonia mobile. A seguito del parere favorevole dell’Autorità Garante, attraverso la decretazione d’urgenza il governo ha disposto all’articolo 6 specifiche misure per l’introduzione del sistema di allerta Covid-19; il Decreto, inoltre, contiene ulteriori misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, l’ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile.

In particolare, il D.L. 28/2020 ha istituito una piattaforma unica nazionale per la gestione del sistema di allerta dei soggetti che, a tal fine, hanno installato, su base volontaria, un’apposita applicazione sui  dispositivi  di  telefonia mobile.

L’introduzione della piattaforma unica non costituisce alcuna deroga alla tutela della protezione dati. Il Ministero per la Salute, in qualità di Titolare del trattamento, sarà tenuto ad osservare tutte le prescrizioni contenute nel GDPR e, come precisamente richiamato dall’articolo 6 del Decreto:

  • All’esito di una valutazione di impatto, effettuata ai sensi dell’art. 35 del GDPR e comunque costantemente aggiornata, adotta misure   tecniche   e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati, sentito il  Garante  per  la  protezione  dei   dati   personali   ai   sensi dell’articolo 36, paragrafo 5, del medesimo Regolamento (UE) 2016/679 e dell’articolo 2-quinquiesdecies del Codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno  2003,  196;
  • Nell’assicurare altresì il rispetto degli articoli 13 e 14 del GDPR, dovranno essere fornite agli utenti, prima dell’attivazione dell’applicazione, informazioni chiare e trasparenti al fine di raggiungere  una  piena consapevolezza, in particolare, sulle finalità e sulle operazioni di trattamento, sulle tecniche di pseudonimizzazione  utilizzate  e  sui tempi di conservazione dei dati;
  • Assicurare per impostazione predefinita, conformemente all’articolo 25 GDPR, che i dati personali raccolti siano esclusivamente quelli necessari ad avvisare gli utenti dell’applicazione di rientrare tra i contatti stretti di altri utenti  accertati  positivi  al  COVID-19;
  • Che il trattamento effettuato per allertare i contatti sia basato sul trattamento di dati di prossimità dei dispositivi, resi  anonimi oppure, ove ciò non sia possibile, pseudonimizzati;
  • Che siano garantite su base   permanente   la riservatezza, l’integrità, la disponibilità e la resilienza dei  sistemi  e  dei servizi di trattamento nonché’ misure adeguate ad evitare il  rischio di reidentificazione degli interessati  cui  si  riferiscono  i  dati pseudonimizzati oggetto di trattamento;
  • Indicare e garantire tanto periodi di considerazione strettamente necessari, quanto l’esercizio dei diritti dell’interessato con modalità semplificate.

In conclusione, la funzionalità della piattaforma è strettamente collegata alla tutela della protezione dati. Pertanto, la protezione dati non costituisce soltanto una necessità, ma nell’attuale contesto emergenziale diventa una vera e propria priorità.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

/da

Vulnerabilità Microsoft Teams: l’inadeguata conoscenza del GDPR espone al rischio cyber

Microsoft Teams nel mirino hacker: quanto è importante il GDPR?

Con l’introduzione generalizzata dello smart working, il ricorso a numerose piattaforme online, per implementare il lavoro da remoto, si è reso ormai sempre più frequente e necessario. Non sorprende, dunque, che la recente popolarità acquisita da molte piattaforme e software di video conferenza abbiano costituito un immediato e facile bersaglio da parte degli hackers.

Dopo il caso che ha riguardato la piattaforma Zoom – a causa della pubblicazione, sul Dark Web, di un database contente le credenziali di accesso di numerosi utenti – , anche la piattaforma Microsoft Teams è stata posta sotto attacco. Microsoft Teams è una piattaforma di comunicazione che include molteplici funzionalità di chat, videoconferenza, archiviazione di file e integrazione delle applicazioni, ed è una delle piattaforme più utilizzate per la didattica da remoto.

I ricercatori di CyberArk avevano individuato una vulnerabilità nascosta. In particolare, essi avevano rilevato che vulnerabilità poteva essere sfruttata creando un collegamento o un file GIF predisposti ad-hoc. Nello specifico, per realizzare l’attacco si sfruttava un token Web JSON (“authtoken”), nonché un secondo “token skype”, adoperati per consentire agli utenti Teams e Skype di poter ricevere file immagine durante le chat.

Sebbene la vulnerabilità sia stata subito individuata ed opportunamente corretta dagli operatori di Microsoft Teams, il caso dimostra l’importanza del rispetto del GDPR e della cybersecurity.

L’impiego di tali risorse richiede comunque, da parte del Titolare del trattamento, il rispetto dei principi e delle regole imposte dal GDPR, in particolare:

  • La sicurezza del trattamento, come previsto dall’art. 32 GDPR;
  • L’implementazione di misure che garantiscano la privacy by default e by design;
  • Il rispetto dei diritti dell’interessato;

 

Inoltre, ogniqualvolta tali piattaforme vengano utilizzate dai dipendenti pubblici o privati, un’adeguata conoscenza e formazione in materia di sicurezza informatica risulta essenziale: in effetti, il primo fattore di vulnerabilità dei sistemi – ivi compreso quello relativo alla data protection – è costituito dall’errore umano, causato da un’errata valutazione o da una scarsa percezione del problema e delle criticità conseguibili.

Tra questi, rientra anche il download di installer che, fraudolentemente, si spacciano per applicazioni molto conosciute come Zoom, Webex e Slack: questi, in realtà, contengono minacce adware “advertising supported software” (software sovvenzionato da pubblicità).  Si tratta software che adoperano metodologie subdole, che possono determinare il trasferimento su un altro programma, al fine di provocarne con l’inganno l’installazione su PC, tablet o dispositivo mobile.

 

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya presenta gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

 

/da

La sicurezza sul lavoro ai tempi dello smart working: il pericolo è cyber

Smart working e rischio cyber: quali tutele?

Con l’inizio della Seconda Fase dell’emergenza sanitaria dal prossimo 4 maggio, le modalità previste dalla legge n. 81/2017 sullo smart working costituiranno la regola, per garantire la tutela della salute e la sicurezza dei lavoratori.

Ai tempi del Coronavirus, la sicurezza dei lavoratori si sposta dunque sul campo informatico: l’impiego di dispositivi personali, spesso non protetti, può essere veicolo di contagio cyber.  L’utilizzo di dispositivi personali e non forniti dall’azienda, come visto nel precedente post, tende a far trascurare l’adozione di opportune misure di sicurezza, e si sottovalutano i piccoli rischi normalmente connessi alla navigazione in rete e accettati con ingenuità.

Come sottolineato dalla indagine condotta da Check Point Software Technologies, fornitore di soluzioni di cybersecurity a livello globale, il 71% ha segnalato un aumento delle minacce o degli attacchi dall’inizio dell’epidemia: tra questi, i tentativi di phishing sono stati identificati come la principale minaccia.

Per fornire utili informazioni a tutti gli operatori pubblici e privati, al fine di ridurre il rischio di contagio cyber, l’Inail ha diramato un documento dal titolo “Informativa sulla salute e sicurezza nel lavoro agile ai sensi dell’art. 22, comma 1, L. 81/2017”.

Il Protocollo suggerisce i comportamenti di prevenzione generale che lo smart worker deve realizzare. In particolare:

  • Il datore di lavoro è tenuto a garantire la salute e la sicurezza del lavoratore, che svolge la prestazione in modalità di lavoro agile: a tal fine consegna al lavoratore e al rappresentante dei lavoratori per la sicurezza, con cadenza almeno annuale, un’informativa scritta, nella quale sono individuati i rischi generali e i rischi specifici connessi alla particolare modalità di esecuzione del rapporto di lavoro.
  • Il lavoratore, di converso, è tenuto a cooperare all’attuazione delle misure di prevenzione predisposte dal datore di lavoro per fronteggiare i rischi connessi all’esecuzione della prestazione all’esterno dei locali aziendali.

Parallelamente, lo scorso 24 aprile è stato inoltre aggiornato il Protocollo condiviso di “regolamentazione delle misure per il contrasto e il contenimento della diffusione del  coronavirus negli ambienti di lavoro”: tale documento, che aggiorna il precedente del 14 marzo, intende garantire la tutela della salute e le condizioni di sicurezza dei lavoratori che ritorneranno sui luoghi di lavoro, sulla base delle indicazioni del Ministero della Salute.

Il Protocollo si sofferma anche sul rapporto tra tutela della privacy dei lavoratori e contenimento del contagio.

In particolare, il datore di lavoro potrà rilevare la temperatura dei propri dipendenti, segnalando all’autorità sanitaria le eventuali anomalie riscontrate. Ciò pone la necessità di:

  • Identificare la corretta base giuridica;
  • Predisporre idonea informativa;
  • Valutare di procedere a valutazione d’impatto.

 

La necessità di formazione in materia di Smart working e Sicurezza: Hedya propone i percorsi formativi innovativi

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, occorre un’adeguata preparazione in materia di sicurezza, privacy e tutela dei lavoratori. Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Al via le App di Contact Tracing Covid: in Olanda è già Data breach

App anti-Covid e rischio Data breach

 

La recente epidemia di Coronavirus ha gradualmente conquistato lo scenario internazionale.  Tutti gli Stati membri dell’Unione europea, hanno predisposto nuove misure per il monitoraggio dei contagi, basati software di contact tracing o tracciatura dei contatti, che costituisce una delle azioni di sanità pubblica utilizzate per la prevenzione e contenimento della diffusione di molte malattie infettive.

L’impiego delle App, anche se gestite da autorità pubbliche, richiede comunque il rispetto degli standard previsti dal GDPR in tema di protezione dei dati personali e di sicurezza del trattamento.

Come chiarito anche dal Comitato dei Garanti (EDPB) con le recenti Guidelines 3/2020, anche il trattamento di dati relativi alla salute attraverso app deve essere conforme al GDPR. In particolare, dovranno essere garantiti:

  • La sussistenza di una base giuridica legittimante le operazioni di trattamento;
  • La trasparenza e la correttezza del trattamento, anche attraverso la predisposizione dell’informativa ai sensi degli artt. 13 – 14 GDPR;
  • La predisposizione di misure che garantiscano la sicurezza del trattamento;
  • L’esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR.

 

Tra le misure necessarie, occorre predisporre adeguate misure di sicurezza per evitare la compromissione dei dati. Nel corso dell’ultima settimana, infatti, si è già verificata un primo attacco all’applicazione predisposta in Olanda, Covid19 Alert!, che ha così subito un data breach.

L’app olandese consente di conoscere, similmente a quanto previsto per la app italiana Immuni, se vi è stata la registrazione del telefono di un contagiato positivo al coronavirus in prossimità.

A causa di un errore umano, sono stati resi accessibili e resi pubblici i dati personali relativi a molteplici utenti, come il nome e cognome, l’indirizzo email, nonché password criptate. Tali dati, in particolare, erano accessibili da una diversa app degli sviluppatori.

 

 

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

App e Contact Tracing Covid nel mirino del Comitato europeo per la protezione dati: la privacy deve essere rispettata

App sul tracciamento anti-Covid: quali requisiti?

 

Con l’ordinanza n. 10/2020 del 16 aprile 2020, il Commissario straordinario per l’emergenza ha disposto di di procedere alla stipula del contratto di concessione gratuita della licenza d’uso sul software di contact tracing e di appalto di servizio gratuito con la società Bending Spoons S.p.a. per la realizzazione dell’App “Immuni”.

Secondo il Commissario straordinario, il contact tracing o tracciatura dei contatti è una delle azioni di sanità pubblica utilizzate per la prevenzione e contenimento della diffusione di molte malattie infettive.

In particolare, le funzioni sviluppate dalla software house sono due:

  • La prima consiste nel sistema di tracciamento dei contatti posti a un metro di distanza, attraverso la tecnologia Bluetooth. L’ app scaricata, infatti, permette la generazione di codici identificativi di tutti i dispositivi con i quali si è venuti in contatto, conservandoli sul dispositivo di ciascun cittadino – utente, così da poter rintracciare e isolare i potenziali contagiati ripercorrendo a ritroso tutti gli incontri di una persona risultata positiva al virus.
  • La seconda funzione consiste nella redazione di un diario clinico, contenente tutte le informazioni più rilevanti del singolo utente, come ad esempio il genere, l’età, eventuali patologie pregresse ed assunzione di farmaci. Sarà cura dello stesso utente procedere all’aggiornamento del diario clinico, soprattutto in caso di eventuali sintomi riscontrati.

 

L’impiego delle App, anche se gestite da autorità pubbliche, richiede comunque il rispetto degli standard previsti dal GDPR in tema di protezione dei dati personali e di sicurezza del trattamento.

Come chiarito anche dal Comitato dei Garanti (EDPB) con le recenti Guidelines 3/2020, anche il trattamento di dati relativi alla salute attraverso app deve essere conforme al GDPR. In particolare, dovranno essere garantiti:

  • La sussistenza di una base giuridica legittimante le operazioni di trattamento;
  • La trasparenza e la correttezza del trattamento, anche attraverso la predisposizione dell’informativa ai sensi degli artt. 13 – 14 GDPR;
  • La predisposizione di misure che garantiscano la sicurezza del trattamento;
  • L’esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Contact Tracing: Regione che vai, App che trovi. Stop del Garante

App sul tracciamento anti-Covid: quali requisiti?

 

La permanenza di un elevato numero dei contagi a distanza da oltre un mese dal lockdown, assieme alla contestuale programmazione della fase di riapertura delle attività su tutto il territorio nazionale, ha spinto il governo a ricercare le più idonee misure per garantire il distanziamento sociale e il contenimento del contagio.

Per attuare tale politica di prevenzione, si è ritenuto di procedere al contact tracing: la tracciatura dei contatti è considerata una delle azioni di sanità pubblica utilizzate per la prevenzione e contenimento della diffusione di molte malattie infettive.

Con l’ordinanza n. 10/2020 del 16 aprile 2020, il Commissario straordinario per l’emergenza ha disposto di di procedere alla stipula del contratto di concessione gratuita della licenza d’uso sul software di contact tracing e di appalto di servizio gratuito con la società Bending Spoons S.p.a. per la realizzazione dell’App “Immuni”, utilizzabile su tutto il territorio nazionale.

La misura disposta dal Commissario rappresenta soltanto l’ultima delle molteplici iniziative consolidatesi a livello regionale: nell’inerzia statuale, infatti, varie regioni hanno provveduto alla realizzazione ovvero sperimentazione di App in grado di monitorare gli spostamenti nel territorio regionale, specialmente nel caso di soggetti sottoposti a quarantena obbligatoria.

Tra le varie Regioni, la Sardegna è stata una delle prime che ha deciso di ricorrere alle app di contact tracing. Pertanto, è stata predisposta l’app Covid 19 Regione Sardegna: si tratta di un’app scaricabile sia su dispositivi Android, sia su dispositivi ios, che completa le misure già adottate per tracciare gli spostamenti dei soggetti di recente sbarcati sull’isola. Ispirandosi al modello coreano, l’app mira a tracciare in tempo reale gli spostamenti delle persone, sfruttando i loro smartphone e tecniche avanzate di geolocalizzazione.

In particolare, il sistema si prefiggeva un obiettivo ambizioso, consistente nel monitoraggio della posizione degli utenti ogni 60 secondi, comune per comune, con approssimazione fino al numero civico.

L’impiego delle App, anche se gestite da autorità pubbliche, richiede comunque il rispetto degli standard previsti dal GDPR in tema di protezione dei dati personali e di sicurezza del trattamento.

Come chiarito anche dal Comitato dei Garanti (EDPB) con le recenti Guidelines 3/2020, anche il trattamento di dati relativi alla salute attraverso app deve essere conforme al GDPR. In particolare, dovranno essere garantiti:

  • La sussistenza di una base giuridica legittimante le operazioni di trattamento;
  • La trasparenza e la correttezza del trattamento, anche attraverso la predisposizione dell’informativa ai sensi degli artt. 13 – 14 GDPR;
  • La predisposizione di misure che garantiscano la sicurezza del trattamento;
  • L’esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR.

 

Tali linee sono state ribadite dal Garante privacy, che nel rammentare le regole fissate dall’Europa per il tracciamento, ha confermato l’impossibilità di ricorrere alla geolocalizzazione, optando al contrario per la tecnologia bluetooth, garantendo anonimato e volontarietà.

Per quanto riguarda la differenziazione regionale, il Garante privacy ha consigliato l’arresto di ogni iniziativa regionale a contenuto tecnologico. Occorrerebbe, invece, uniformare al massimo i comportamenti per inserire il data tracing in una strategia più generale che consenta di scongiurare nuovi focolai. Pertanto, se ogni regione adottasse la sua app ed effettua il suo tracciamento, il potere persuasivo viene meno e il rischio di trattamento scorretto dei dati aumenta a dismisura.

 

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Smart working, da AgID le Raccomandazioni per garantire la cybersecurity

Smart working e cybersecurity: quali regole?

L’emergenza sanitaria ha indotto molti datori di lavoro ad introdurre forme di lavoro a distanza, secondo le modalità previste dalla legge n. 81/2017 sullo smart working. Per i dipendenti pubblici, in particolare, la direttiva n. 1/2020  del Dipartimento della Funzione Pubblica ha previsto l’utilizzabilità dei propri dispositivi per svolgere la prestazione lavorativa, purchè siano garantiti adeguati livelli di sicurezza e protezione della rete secondo le esigenze e le modalità definite dalle singole pubbliche amministrazioni.

Purtuttavia, l’utilizzo di dispositivi personali e non forniti dall’azienda, come visto nel precedente post, tende a far trascurare l’adozione di opportune misure di sicurezza, e si sottovalutano i piccoli rischi normalmente connessi alla navigazione in rete e accettati con ingenuità.

Per supportare i dipendenti pubblici nell’utilizzo più sicuro di pc, tablet e smartphone personali, il CertPA di AgID ha enucleato undici Raccomandazioni per supportare le PA e i lavoratori Pubblici e sostenerli nel contrastare eventuali attacchi informatici con comportamenti responsabili, anche quando utilizzano dotazioni personali.

Nello specifico, le Raccomandazioni sono state elaborate sulla base delle misure minime di sicurezza informatica per le pubbliche amministrazioni fissate dalla circolare  17 marzo 2017, n. 1/2017.

I dipendenti sono dunque tenuti ad osservare le seguenti Raccomandazioni:

  • Segui prioritariamente le policy e le raccomandazioni dettate dalla tua Amministrazione;
  • Utilizza i sistemi operativi per i quali attualmente è garantito il supporto;
  • Effettua costantemente gli aggiornamenti di sicurezza del tuo sistema operativo;
  • Assicurati che i software di protezione del tuo sistema operativo (Firewall, Antivirus, ecc) siano abilitati e costantemente aggiornati;
  • Assicurati che gli accessi al sistema operativo siano protetti da una password sicura e comunque conforme alle password policy emanate dalla tua Amministrazione;
  • Non installare software proveniente da fonti/repository non ufficiali;
  • Blocca l’accesso al sistema e/o configura la modalità di blocco automatico quando ti allontani dalla postazione di lavoro;
  • Non cliccare su link o allegati contenuti in email sospette;
  • Utilizza l’accesso a connessioni Wi-Fi adeguatamente protette;
  • Collegati a dispositivi mobili (pen-drive, hdd-esterno, etc) di cui conosci la provenienza (nuovi, già utilizzati, forniti dalla tua Amministrazione) ;
  • Effettua sempre il log-out dai servizi/portali utilizzati dopo che hai concluso la tua sessione lavorativa.

 

 

La necessità di formazione in materia di Smart working e Sicurezza: Hedya propone i percorsi formativi innovativi

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, occorre un’adeguata preparazione in materia di sicurezza, privacy e tutela dei lavoratori. Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Data Breach Inps, per il Garante è segno di un’insufficiente cultura della protezione dati nel nostro Paese

Il Data Breach Inps: ancora criticità per le PA?

Il caso di Data breach che ha colpito il portale dell’Inps rappresenta soltanto l’ultima delle molteplici violazioni che hanno interessato le Pubbliche Amministrazioni. Come dichiarato dal Garante per la protezione dei dati personali, infatti, l’assenza di adeguate misure di sicurezza per la tutela delle banche dati e dei siti delle amministrazioni pubbliche rappresenta una questione critica costante.

Le amministrazioni pubbliche, infatti, trattano quotidianamente ingenti moli di dati personali, per lo svolgimento delle proprie funzioni e l’erogazione di servizi pubblici online.

Le Pubbliche amministrazioni, in particolare, devono garantire:

  • La sicurezza del trattamento, come previsto dall’art. 32 GDPR;
  • L’implementazione di misure che garantiscano la privacy by default e by design;
  • Il rispetto dei diritti dell’interessato;
  • La nomina del Data protection Officer (DPO)

 

Il data breach dell’Istituto ha messo in luce una serie di criticità. Per consentire l’erogazione di sussidi economici, l’Inps aveva istituito sul proprio sito, dal 1 aprile 2020, una pagina dedicata a tale richiesta, previa registrazione del richiedente. Sin dai primi utilizzi del portale, tuttavia, è stato possibile accedere in modo incontrollato ai dati personali di un numero elevatissimo di contribuenti: in particolare, sono stati visibili in chiaro milioni di dati personali relativi ai dati inseriti nella registrazione, tra cui anche gli Iban personali e gli indirizzi di residenza. L’episodio ha dimostrato tutta la vulnerabilità delle misure di sicurezza precedentemente predisposte, violando l’art. 32 GDPR e richiedendo l’intervento del Garante che ha avviato un’istruttoria allo scopo di effettuare opportune verifiche e valutare l’adeguatezza delle contromisure adottate dall’Ente e gli interventi necessari a tutelare i diritti e le libertà degli interessati.

Nel complesso, la violazione ha permesso l’emergere di ulteriori criticità, che non incidono sulle misure di sicurezza. In particolare:

  • L’assenza di un Responsabile della protezione dati al momento della verificazione della violazione;
  • La possibile condizione di conflitto di interessi del Resposabile per la protezione dati, per tutto il periodo di esercizio della funzione.

 

Come assicurare la collaborazione tra le varie figure professionali? Hedya propone un percorso formativo innovativo sulle “Nuove Professioni Digitali”

 

Le posizioni del Garante evidenziano la necessità, per le Pubbliche Amministrazioni, di percorsi formativi:

  • integrati, che coinvolgano le varie figure professionali;
  • mirati ad assicurare la sicurezza del trattamento;
  • aggiornati su tutte le principali questioni connesse al GDPR.

 

Per tali ragioni, Hedya propone il percorso formativo innovativo “Le Nuove Professioni Digitali”. Se il Codice dell’Amministrazione Digitale (D.Lgs. 82/2005 o semplicemente CAD) e la normativa collegata (Linee Guida AgID) ci presentano il Responsabile Transizione al Digitale e Responsabile della Conservazione Documentale, il Regolamento Europeo 2016/679 (GDPR) schiera in campo il Responsabile per la protezione dei dati personali e l’Amministratore di sistema.  Si tratta di nuove figure professionali, la cui formazione deve necessariamente essere di natura trasversale, che convivono della nuova P.A. Digitale e che ne guidano il cambiamento.

 

Hedya propone inoltre un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

  1. Formazione e consulenza in materia di Digitalizzazione

Hedya supporta le Pubbliche Amministrazioni anche attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

 

 

/da

Tutela del whistleblowing a prova di GDPR: il Consiglio di Stato si pronuncia sulle Linee guida Anac

Anticorruzione a prova di GDPR: quali requisiti?

 

Con il parere del 4 marzo 2020, il Consiglio di Stato si è pronunciato in materia di whistleblowing, fornendo precise indicazioni sulla tutela del dipendente che denuncia gli illeciti.

Come è noto, con l’introduzione della legge n. 179/2017, è stata potenziata l’applicazione on line per le segnalazioni di illeciti o irregolarità e comunicazioni di misure ritorsive, ai sensi dell’art. 54-bis, d.lgs. 165/2001: le Pubbliche Amministrazioni, pertanto, sono tenute a predisporre una piattaforma interna, affinché possano essere effettuate le segnalazioni nel più completo rispetto delle regole sull’anonimato.

Per tutelare effettivamente il dipendente che segnala gli illeciti, l’art. 1 della legge n. 179 ha sostituito in toto l’art. 54-bis del Testo unico del pubblico impiego di cui al d.lgs. 165/2001 e, al comma 5, ha stabilito che:

  • L’ANAC, sentito il Garante per la protezione dei dati personali, deve adottare apposite linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni;
  • Le linee guida devono prevedere l’utilizzo di modalità anche informatiche;
  • Le linee guida devono promuovere il ricorso a strumenti di crittografia per garantire la riservatezza dell’identità del segnalante e per il contenuto delle segnalazioni e della relativa documentazione.

Le Linee guida emanate dall’Autorità anticorruzione (Anac) in materia di whistleblowing, pertanto sono, volte a consentire alle amministrazioni e agli altri soggetti destinatari delle stesse di adempiere correttamente agli obblighi derivanti dalla disciplina di protezione dei dati personali (Regolamento (UE) 2016/679 del Parlamento europeo e d.lgs. 30 giugno 2003, n. 19, adeguato alle disposizioni del Regolamento (UE) 2016/679 tramite il d.lgs. 10 agosto 2018, n. 101).

Come ribadito anche dal Consiglio di stato, il rispetto del GDPR implica che al soggetto segnalato, presunto autore dell’illecito, non è preclusa in termini assoluti la possibilità di esercitare i diritti previsti dagli artt. da 15 a 22 del Regolamento (UE) 2016/679, sulla base di quanto previsto dall’art. 160 del Codice in materia di protezione dei dati personali.

 

La necessità di percorsi formativi integrati in Anticorruzione e Privacy: Hedya propone il percorso innovativo “Anticorruzione, trasparenza e privacy: un rapporto inscindibile”

 

Le recenti pronunce del Consiglio di stato confermano che per poter operare correttamente, una conoscenza integrata dei principi e delle novità introdotte dal GDPR, nonché in materia di anticorruzione e trasparenza.

Per tali ragioni, Hedya propone l’innovativo percorso formativo “Anticorruzione, trasparenza e privacy: un rapporto inscindibile”. Il corso che si propone ha una durata di 8 ore, e consente ai partecipanti di ottenere un’adeguata formazione trasversale sul rapporto che sussiste tra i concetti di anticorruzione, trasparenza e privacy e tra le rispettive discipline di riferimento.

 

Hedya propone inoltre un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

  1. Formazione e consulenza in materia di Digitalizzazione

Hedya supporta le Pubbliche Amministrazioni anche attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da