Pubblicato il

Garante Privacy : disposti accertamenti anche per mezzo della Guardia di Finanza nel periodo luglio – dicembre 2020

Nella riunione del 1 Ottobre 2020 il Garante per la protezione dei dati personali, ha deliberato che:

1. limitatamente al periodo luglio-dicembre 2020, l’attività ispettiva di iniziativa curata dall’Ufficio del Garante, anche per mezzo della Guardia di finanza, è indirizzata:

a) ad accertamenti in riferimento a profili di interesse generale per categorie di interessati nell’ambito di:

trattamenti dei dati personali effettuati mediante applicativi per la gestione delle segnalazioni di condotte illecite (c.d. whistleblowing);

trattamenti dei dati personali effettuati da intermediari per la fatturazione elettronica;

trattamenti di dati personali effettuati da Enti pubblici in tema di rilascio di certificati anagrafici e di stato civile, attraverso l’accesso ad ANPR;

trattamenti di dati personali effettuati da società private ed Enti pubblici per la gestione e la registrazione delle telefonate nell’ambito del servizio di call center;

trattamenti di dati personali effettuati da società rientranti nel settore denominato “Food Delivery”;

trattamento di dati personali effettuati da società private in tema di banche reputazionali;

data breach.

b) a controlli nei confronti di soggetti, pubblici e privati, appartenenti a categorie omogenee sui presupposti di liceità del trattamento e alle condizioni per il consenso qualora il trattamento sia basato su tale presupposto, sul rispetto dell’obbligo dell’informativa nonché sulla durata della conservazione dei dati. Ciò, prestando anche specifica attenzione a profili sostanziali del trattamento che spiegano significativi effetti sugli interessati;

2. l’attività ispettiva programmata con deliberazione in data odierna riguarderà, relativamente ai punti a), e b) di cui al punto 1), n. 30 accertamenti ispettivi di iniziativa effettuati anche a mezzo della Guardia di finanza.

Resta fermo che, valutata la sussistenza di eventi di particolare rilevanza, il Collegio può disporre ulteriori attività ispettive.

L’Ufficio può comunque svolgere ulteriori attività istruttorie di carattere ispettivo d’ufficio ovvero in relazione a segnalazioni o reclami proposti.

L’Ufficio informerà il Collegio sull’individuazione dei soggetti di cui ai punti a), e b) e riferirà, alla fine del semestre sull’andamento delle attività ispettive e delle attività istruttorie a carattere ispettivo, a qualunque titolo compiute, ai sensi di quanto previsto dall’art. 9, comma 4, lettera e) del Regolamento n. 1/2000 (come modificato dalla deliberazione n. 374 del 25 giugno 2015).

 

Leggi la notizia completa, qui

Pubblicato il

Settembre 2020: le email di phishing del mese

Ecco le email di phishing più curiose, tra quelle ricevute nel mese di settembre 2020; come sempre l’invito, una volta appurato che si tratti realmente di un tentativo di truffarvi o di compromettere il vostro PC, è quello di cancellare tali email senza aprire eventuali allegati.

1.La mail dall’OMS …che in realtà proviene da un dominio non legato all’OMS, primo indizio che svela l’inganno!

Oggetto: Organizzazione Mondiale della Sanit

Il testo recita:

Spett. Azienda

A causa del fatto che nella sua zona sono confermati casi di infezione da Coronavirus, l’Organizzazione Mondiale della Sanità ha messo a disposizione un documento che comprende tutte le prudenze necessarie contro l’infezione da Coronavirus. Le consigliamo quindi di leggere il documento incluso in questa mail.

NB: la mail ovviamente in allegato contiene  un file excel (documento_913.xls ) che non è il caso di aprire.

 

PS: Lista in continuo aggiornamento

Pubblicato il

Modello registro prenotazioni per esercizi riaperti dal 18 Maggio 2020 (DPCM 17 Maggio 2020) e informativa privacy

Dal 18 Maggio 2020 sono state riaperte (come indicato nel DPCM 17 Maggio 2020) diverse tipologie di attività commerciali e produttive. Per alcune di queste (servizi alla persona, ristorazione, attività turistiche, piscine, palestre) sono state indicate le regole da seguire per garantire la sicurezza della clientela e del personale.

Tra le varie misure previste dal DPCM 17 Maggio 2020, viene indicato l’obbligo, per alcune attività di predisporre un registro delle prenotazioni, da conservare per 14 giorni, contenente i dati identificativi dei clienti, da mettere a disposizione delle autorità competenti per ricostruire la catena dei contatti di eventuali clienti risultati positivi al covid-19.

In particolare, per quanto riguarda la RISTORAZIONE, negli esercizi che dispongono di posti a sedere, il DPCM  impone di  privilegiare l’accesso tramite prenotazione e  mantenere l’elenco dei soggetti che hanno prenotato, per un periodo di 14 giorni. In tali attività, ricorda il DPCM 17 Maggio 2020,  non possono essere presenti all’interno del locale più clienti di quanti siano i posti a sedere.
Per le ATTIVITA’ TURISTICHE,  occorre privilegiare l’accesso agli stabilimenti tramite prenotazione e mantenere l’elenco delle presenze per un periodo di 14 gg.  Per le STRUTTURE RICETTIVE : il registro delle prenotazioni , ai fini del DPCM 17 Maggio 2020 viene predisposto qualora nella struttura ci siano  attività di ristorazione, si applica quanto previsto nella specifica scheda.
Per esercizi che si occupano di SERVIZI ALLA PERSONA (es:Estetisti e acconciatori) , viene chiesto di  consentire l’accesso dei clienti solo tramite prenotazione e  mantenere l’elenco delle presenze per un periodo di 14 gg.
Per le PISCINE : occorre privilegiare l’accesso agli impianti tramite prenotazione e mantenere l’elenco delle presenze per un periodo di 14 giorni.
Per le PALESTRE: il DPCM impone di  redigere un programma delle attività il più possibile pianificato (es. con prenotazione) e regolamentare gli accessi in modo da evitare condizioni di assembramento e aggregazioni; mantenere l’elenco delle presenze per un periodo di 14 giorni.

In tutti i casi citati sopra, occorre predisporre una adeguata informazione sulle misure di prevenzione, comprensibile anche a clienti stranieri (es: aiutandosi con traduzioni e rappresentazioni grafiche) e ovviamente predisporre una apposita INFORMATIVA PRIVACY che indichi come i dati raccolti (es: dati anagrafici, eventuali dati associati alla rilevazione della temperatura)

A titolo di esempio, ho predisposto un modello di registro prenotazioni ed un modello di informativa , a disposizione dei vari esercizi commerciali per organizzare la propria modulistica (come sempre non ci si assume nessuna responsabilità per l’utilizzo di questo materiale)

Si potrebbe pensare che sia esagerato doversi dedicare a predisporre l’informativa privacy in questi casi, tuttavia occorre ricordare che una corretta applicazione delle procedure riportate nelle normative privacy ( GDPR ), anche in tempi di emergenza si rivela necesario per tutelare la riservatezza delle persone, si pensi ad esempio alle persone contagiate.

Occorre ricordare che la normativa (protocollo 24 Aprile 2020), introduce la possibilità per il datore di lavoro di rilevare la temperatura corporea, ai dipendenti o a terzi (fornitori, clienti) ed impedire l’accesso in caso di temperatura > 37,5 °C . Si tratta chiaramente di informazioni molto delicate che devono essere trattate secondo i regolamenti privacy.

Pensate solamente a cosa potrebbe succedere (agli interessati,ma anche al datore di lavoro e ai dipendenti) qualora i dati di queste persone non venissero trattati in modo da garantire la riservatezza…

 

Pubblicato il

Data breach e GDPR: LulzSecITA dichiara di aver attaccato la rete del San Raffaele di Milano. L’ospedale smentisce. Cosa fare in questi casi?

Tutti ricorderete il misterioso “attacco hacker” che ad inizio Aprile 2020, in piena emergenza Covid,  era stato indicato come causa dei problemi di accesso al sito dell’ INPS. In quell’occasione, i vari team di esperti di sicurezza informatica e di hacking etico, avevano subito dichiarato di essere estranei all’accaduto.

Stavolta invece è stato proprio il team di hacktivisti  LulzSecITA  ad aver dichiarato di aver attaccato nelle scorse settimane, il sistema informatico dell’ ospedale San Raffaele di Milano (struttura nota a livello internazionale) tramite i propri social.

Sul proprio  profilo twitter, LulzSecITA     pubblica numerose foto, come questa per dimostrare di essere effettivamente in possesso di informazioni (tra cui dati pesonali e dati particolari, o “sensibili” per usare la definizione usata nella normativa privacy del 2003), contenute nei database del sistema ed addirittura di essere in possesso di informazioni sulla rete LAN della struttura vittima del data breach.

L’ Ospedale San Raffaele, secondo quanto riportato da alcune testate, ha smentito l’attacco, precisando che quei dati diffusi sui social si riferiscono ad un tentativo di intrusione avvenuto nei mesi scorsi, che non ha comportato l’accesso a dati sensibili.

Al di là dell’episodio riportato, alla luce del regolamento UE 679/2016 (GDPR) , quello che è avvenuto un data breach, cioè una violazione del sistema di sicurezza che comporta ,accidentalmente o in modo illecito, la distruzione, la modifica,la perdita,, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Questa situazione , che si può verificare anche nel sistema informatico più moderno ed aggironato, nel glossario del GDPR viene appunto indicata come Data Breach e viene gestita seguendo una procedura specifica.

Cosa fare in caso di data breach?

Secondo il GDPR (art 33) , in caso di data breach, il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.)  senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Si può facilmente intuire che la segnalazione in questi casi non è facoltativa ma obbligatoria e non si può far finta di nulla. Oltre all’art 33 del GDPR, in caso di data breach che potrebbero comportare rischi  per i diritti e le libertà delle persone fisiche ,il titolare comunica senza ritardo agli interessati quanto è accaduto (rispettando i criteri indicati nell’art 34 del GDPR). Anche questa operazione non è facoltativa e deve essere svolta in tempi rapidi. Non occorre temere una perdita d’immagine, anzi.  La comunicazione al Garante ed agli interessati, permette di evitare consegnuenze futuri ben peggiori.

In queste operazioni di notifica, chiaramente vengono coinvolti anche i  responsabili della sicurezza informatica della struttura e il DPO, che potranno dare un contributo importante per quantificare l’entità dei danni subiti ed individuare le contromisure da adottare.

 

 

Pubblicato il

Programmi Password Manager gratuiti: quali scegliere ?

Memorizzare la password di tutti i siti a cui siamo iscritti non è semplice e spesso viene la tentazione di usare a rotazione le stesse due o tre password: soluzione che ovviamente sconsiglio, dato che espone al pericolo di una violazione multipla di account qualora venisse individuata la password di un servizio (evento non così raro come si potrebbe pensare)

L’ipotesi di scrivere le password su un file da tenere nel PC ovviamente non è il caso di prenderla in considerazione visti i rischi che presenta (perdita del file in caso di attacco informatico o rottura del disco, cancellazioni accidentali, accesso a terzi non autorizzati nel caso di salvataggio su supporti usb o aree dati condivise ) . A questo punto l’unica soluzione possibile è quella di affidarsi ad un software con funzionalità di Password Manager, una sorta di cassaforte disponibile sia in formato APP che in forrmato desktop o web, in grado di conservare le credenziali in maniera  crittografata (ad esempio usando AES Advanced Encryption Standard a 256bit, che garantisce elevati livelli di sicurezza), rendendole disponibili solo dopo aver inserito una “master password” (che chiaramente dovrete conoscere solo voi e che deve avere opportuni criteri di lunghezza e complessità, per garantirne l’inviolabilità).

La soluzione più comoda è quella di usare un Password Manager multipiattaforma, che consenta di sincronizzare tramite cloud il file contenente le password su vari dispositivi e che , come consentono di fare alcuni software di password manager, permette il completamento automatico del campo password dei siti, in maniera tale da non dover fare copia e incolla della password memorizzata.

Chiaramente la master password del software usato per gestire le password deve essere conservata (consiglio di stamparla e conservarla in luogo sicuro!) dato che,in caso di smarrimento, sarebbe impossibile poter decriptare l’elenco delle password.

LastPass

Consente di gestire tramite interfaccia web il proprio archivio di password, con la possibilità di accedere da più dispositivi. La versione gratuita consente di avere un utente.

1Password

Altro sistema che consente di memorizzare password su uno storage online e di poter accedere da più dispositivi, in questo caso non c’è però un piano gratuito da poter utilizzare.

KeePass

Keepass è un progetto open (rilasciato sotto GPL) , gratuitamente disponibile (anche in versione portable) , usa algoritmi AES 256 bit e ChaCha20 sempre a 256 bit. Sono disponibili diversi port (ufficiali e non ufficiali) per varie piattaforme.

Per gli utenti MAc è disponibile MacPass: un password manager free ed open, compatibile con KeePass .

La versione utilizzabile dal browser web,  che tra le altre cose, consente anche la sincronizzazione tramite Dropbox, si chiama KeeWeb

Insomma, le possibilità di scegliere sono diverse, tocca a voi sperimentarle 🙂

PS: Personalmente mi sono orientato verso KeePass , vista anche la possibilità di utilizzarlo su smartphone (grazie ai porting)

 

Pubblicato il

Videoconferenza lenta? Prova con Jitsi su server italiani

Nel corso di queste settimane di  distanziamento sociale, necessarie per   fronteggiare la diffusione di Covid-19 ; molti di noi hanno dovuto fare i conti con la necessità di organizzare,in tempi molto brevi,   videolezioni con i propri studenti o riunioni aziendali online con clienti, soci  e collaborari .

Quando si parla di videoconferenza, sicuramente il primo strumento che viene in mente è Skype , software che per molti era rimasto inutilizzato negli ultimi anni, soppiantato da messaggini Whatsapp e social, ma che improvvisamente viene riscoperto essere un prezioso alleato che, anche nella configurazione base (gratuita) permette di effettuare chiamate e videochiamate di gruppo in maniera semplice, con limitazioni che comunque permettono a qualsiasi PMI o piccolo gruppo classe di poter svolgere tranquillamente lezione, consentendo anche di visualizzare ciò che avviene sul desktop del relatore.

Zoom è una piattaforma web che permette di svolgere videoconferenze fino a 100 partecipanti nella versione gratuita, con durata massima di 40 minuti. Anche in questo caso si tratta di uno strumento professionale, molto comodo per gestire meeting di lavoro anche con decine di partecipanti.

E allora dove sono i problemi?

Apparentemente nessuno, almeno in teoria. Sicuramente tutti questi strumenti sono ottimi, garantiscono alti standardi di sicurezza e sono affidabili.

Nella pratica invece, a causa dell’aumento del traffico dati sulla rete di queste ultime settimane, dovuto all’incremento delle attività di smart working  (con conseguente aumento del traffico sulle  utenze internet domestiche,anche in orari d’ufficio) e dell’utilizzo massiccio di piattaforme online di intrattenimento da parte di chi è costretto a rimanere in casa, spesso le videoconferenze diventano un vero e proprio incubo: disconnessioni ed interruzioni o rallentamenti nel flusso audio/video provocano stress e rischio di calo dell’attenzione  nei partecipanti .

Se poi aggiungiamo il fatto che diversi Paesi nel mondo stanno iniziando ad applciare misure di lockdown (e quindi si prevede un massiccio aumento dello smart working e del carico sui server di queste piattaforme internazionali di comunicazione ) allora forse conviene iniziare a pensare ad un piano B

Per risolvere questa situazione, sono nati diversi progetti su base volontaria, come https://iorestoacasa.work/  : il sito propone una lista di server Jitsi e Multiparty Meeting (due soluzioni web based, Open Source, per videoconferenze)  a cui è possibile accedere gratuitamente per poter realizzare videoconferenze.

La cosa davvero interessante di questo progetto è il fatto che chiunque abbia a disposizione un server con alcune caratteristiche minime può contribuire.

Per l’installazione di  un server Jiits Meet, le caratteristiche richieste sono:

• IPv4 statico (possibilmente in un datacenter italiano, in modo da limitare il traffico dati su reti internazionali e quindi ridurre possibili rallentamenti)

• connessione 100 Mbps simmetrica (meglio 1 Gbps, ogni utente occupa circa 4 Mbps)

• 4 CPU server grade (Xeon o analogo)

• 4GB di RAM

Per quanto riguarda gli utenti , viene invece consigliato , per avere il servizio migliore, di attenersi alle seguenti indicazioni:

  • preferire la connessione via cavo al WiFi
  • ogni utente deve assicurarsi di avere a disposizione almeno 4Mbps in upload e download
  • dotarsi di cuffie
  • spegnere la webcam se non si sta parlando (in modo da limitare il consumo di banda )
  • accendere il microfono solo quando si parla (in Jitsi la barra spaziatrice funge comodamente da “push to talk”)
  • abbassare la qualità video nelle impostazioni (per ridurre il traffico dati)

E ovviamente, visto che la lista dei server che volontariamente hanno aderito al progetto è davvero lunga, il mio consiglio è quello di scegliere un server italiano (nella numerosa lista dei server disponibili) in modo da ridurre al minimo il tragitto dei pacchetti dati, con un miglioramento del servizio.

Buon SMART WORKING e buona videoconferenza a tutti!

 

 

 

Pubblicato il

Protocollo di Regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro :esempio bozza Informativa lavoratori e lettera di incarico

A titolo di esempio, propongo una possibile bozza di Informativa per il trattamento dati personali relativi alla rilevazione temperatura corporea  delle  persone   che entrano in azienda e trattamento dichiarazioni attestanti la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19,secondo quanto indicato nel Protocollo di Regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro.

NOTA: I seguenti documenti hanno esclusivamente carattere informativo e possono cambiare senza preavviso. Salvo errori e/o omissioni. In nessun caso il titolare, i suoi fornitori o altre terze parti saranno responsabili per qualsiasi danno, diretto o indiretto, che dovesse derivare dall’uso delle informazioni contenute nel presente sito, dai contenuti del sito stesso o dall’impossibiltà del suo utilizzo. Il titolare non è responsabile del contenuto di ogni altro sito che possa essere raggiunto da questo sito.

Procedendo con il download dei seguenti documenti si dichiara di aver preso visione e di aver accettato la nota precedente.

DOCUMENTI:

Informativa lavoratori dipendenti – rilevamento temperatura COVID19

 

 

Pubblicato il

La privacy sotto l’albero: i consigli del Garante Privacy per un Natale sicuro

Tempo di Natale: momento di feste, regali e ..privacy.

E’ uscita da pochi giorni, sul sito del Garante Privacy, una guida  con raccomandazioni varie per evitare che durante le feste i nostri dati personali (foto e video che ritraggono noi o i nostri piccoli, messaggi di auguri, etc) possano essere trattati in modo inadeguato, rovinandoci la festa  o quantomeno creando situazioni imbarazzanti.

Anche a Natale occorre prestare attenzione a phishing, virus e malware vari; tra i vari messaggi di auguri arrivati sui nostri pc o sui nostri smartphone si potrebbero infatti nascondere link a virus o software spyware. Occorre quindi stare attenti prima di aprire link sospetti; allo stesso modo occorre prestare attenzione alle truffe online che in occasione delle festività, si nascondono sotto le spoglie di offerte strepitose su siti di acquisti online in realtà truffaldini Come sempre è bene diffidare di siti con URL strane; guardate sempre il link che appare nella barra degli indirizzi del browser prima di fornire i vostri dati. Attenzione anche ad un corretto uso dei social: prima di postare foto natalizie in cui compaiono minori (o comunque altri soggetti) è sempre bene chiedere il permesso. E’ sempre bene inoltre non indicare sui social troppi dettagli delle proprie vacanze; per evitare che durante la nostra assenza qualche malintenzionato possa far visita alla nostra casa.  C’è sempre tempo per taggare amici e luoghi nei giorni successivi, magari a vacanze finite, in modo da poter avere anche maggior tempo per selezionare le foto migliori! 😉

Molto interessante è infine la guida del Garante ad un corretto uso dei giocattoli smart, in grado cioè di rapportarsi con persone e di connettersi ad Internet. Gli smart toys utilizzano microfoni,sensori , sistemi GPS e telecamere per interagire con grandi e piccini;proprio per questo occorre prestare attenzione al modo in cui i dati personali (es: una foto che ritrae una persona) vengono memorizzati e gestiti dalle aziende produttrici. Bambole ,macchinine, peluche e robot “smart” ,per quanto divertenti ed educativi, sono infatti veri e propri strumenti che raccolgono ed elaborano dati, con possibili rischi per la privacy, sopratutto dei minori.

Qualora sia necessario registrarsi online fornendo informazioni personali (es: nome ed età del bambino o dei genitori, indirizzo ,etc) sul sito del produttore del giocattolo, è necessario leggere attentamente l’informativa al trattamento dati personali che deve essere presente sul sito (o sui documenti allegati al giocattolo ); allo stesso tempo occorre capire quali informazioni vengono elaborate dal giocattolo e appurare per quali finalità vengono utilizzate (in particolare occorre capire se vengono utilizzate solo ai fini del funzionamento del gioco oppure anche per altre finalità).

In ogni caso è bene non “parlare troppo” con il giocattolo smart toy: evitiamo quindi di fornire informazioni non necessarie per farlo funzionare,utilizzando pseudonimi a posto di uno username che contenga nome e cognome reali del minore. E’ bene inoltre, navigare tra le opzioni di configurazione del giocattolo o della sua APP, per disattivare strumenti di raccolta dati che non sono indispensabili per il funzionamento (es: il sensore GPS per la geolocalizzazione o il microfono, quando non è necessario ).

Se si tratta di giocattoli in grado di comprendere le parole dei presenti ,è bene utilizzare un linguaggio privo di espressioni violente, parolacce o frasi offensive, che magari potrebbero essere poi ripetute dallo smart toy in presenza dei minori. Attenzione infine a come i vari smart toy dialogano tra loro: si tratta infatti di dispositivi IOT (Internet delle cose), noti per poter interagire tra loro : questa capacità,se da un lato li rende ancora più divertenti da utilizzare grazie ad una elevata interazione con il mondo che li circonda, dall’altra potrebbe presentare rischi legati all’incrocio dei dati tra i dispositivi. Vale la pena quindi  affiancare i bimbi nell’utilizzo di questi giochi,per sensibilizzarli ad un utilizzo davvero sicuro di questi giocattoli,anche dal punto di vista della privacy.

Pubblicato il

” Il tuo account è temporaneamente sospesa ” : arriva l’ennesimo tentativo di phishing

Per la serie “dolcetto o scherzetto”, arriva l’ennesimo tentativo di phishing.

Il tentato phishing via email  stavolta prende di mira gli utenti di una nota piattaforma di commercio elettronico , la metodologia usata per cercare di spingere l’utente a comunicare ai malintenzionati le proprie credenziali è sempre la solita: email proveniente apparentemente dal servizio di assistenza di un noto portale di e-commerce , che  avverte l’utente che il proprio account  è stato temporaneamente disattivato e quindi occorre effettuare login per sbloccarlo.

Stavolta la mail riporta il seguente oggetto: “Il tuo account è temporaneamente sospesa,Situazione aggiornata al 03/11/2019”  , da notare che in questo caso la data riportata è addirittura successiva a quella attuale ed è presente il verbo  è  coniugato al femminile .

La mail ricevuta , presenta il seguente testo:

Gentile Cliente

La sua utenza sul sito di ********.it è stata temporaneamente sospesa perché non ha ancora effettuato l’aggiornamento obbligatorio del suo profilo, come richiesto in precedenza dal nostro servizio di assistenza.

La informiamo con la preѕеnte email, che non può più effettuare alcun tipo di operazione online.

Per riattivare la sua utenza, la invitiamo ad effettuare l’aggiornamento in questione tramite il seguente link:

Chiaramente cliccando sul link si viene reindirizzati su un server che nulla ha a che vedere con la piattaforma di **********.

Si raccomanda di prestare attenzione e ovviamente di non cliccare sul link 😉