Non c’è dubbio che la tipica azienda moderna generi grandi quantità di dati che devono essere spostati, analizzati e archiviati in modo sicuro. Poiché molti di questi dati riguardano la privacy di utenti e clienti, sono state create diverse leggi e normative per promuovere pratiche di protezione rigorose. Anche se queste normative variano molto da Paese a Paese, il concetto di fondo rimane lo stesso: mantenere i dati al sicuro e renderli disponibili agli utenti autorizzati quando ne hanno bisogno.
Questo articolo tratterà i seguenti argomenti:
- Che cos’è la protezione dei dati?
- Protezione dei dati negli Stati Uniti
- Protezione dei dati in Canada
- Protezione dei dati nell’UE
- I 7 principi della protezione dei dati (GDPR)
- Soluzioni per la protezione dei dati
Che cos’è la protezione dei dati?
La protezione dei dati è il concetto di salvaguardia dei dati importanti da corruzione, compromissione o perdita. Non si limita a una protezione passiva, ma si basa su processi di ripristino e recupero dei dati nel caso in cui si verifichi un evento che li renda inaccessibili o inutilizzabili. La protezione dei dati riguarda anche le questioni di conformità ai requisiti legali o normativi applicabili.
Oltre alla sicurezza, la protezione dei dati riguarda l’accesso autorizzato ai dati. Ovviamente non si può semplicemente cancellare i dati importanti o chiuderli in una cassaforte impenetrabile. I dati sono destinati a essere utilizzati e i dati protetti devono essere disponibili per gli utenti autorizzati quando sono necessari per lo scopo previsto.
In termini generali, l’idea moderna di protezione dei dati abbraccia tre grandi categorie: protezione tradizionale dei dati, come i backup; sicurezza dei dati e difesa dalle violazioni; privacy dei dati.
Il primo principio della protezione dei dati
Il principio principale della protezione dei dati è quello di utilizzare metodologie e tecnologie per proteggere i dati e renderli disponibili agli utenti autorizzati in ogni circostanza.
Oltre a questa massima di base, la protezione dei dati diventa molto granulare a seconda della regione in questione. Varie leggi e regolamenti governativi aggiungono ulteriori livelli e dettagli a questo obiettivo di ampia gamma, prendendo in considerazione una miriade di problemi di sicurezza informatica e di privacy personale.
Nel proseguire, esploreremo la protezione dei dati così come viene definita nelle diverse regioni.
Principi di protezione dei dati negli Stati Uniti
A differenza di alcune regioni, in particolare l’Unione Europea, gli Stati Uniti non hanno una legge federale completa che disciplini la privacy e il trattamento dei dati o delle informazioni personali. Negli Stati Uniti, invece, le organizzazioni devono navigare in un insieme di leggi federali e statali che regolano la raccolta, l’elaborazione, la divulgazione e la sicurezza delle informazioni personali.
Inoltre, alcuni settori, come quello sanitario e finanziario, sono regolamentati in modo specifico per il loro settore.
A causa della natura decentralizzata delle leggi statunitensi sulla protezione dei dati, i responsabili del trattamento dei dati devono tenersi aggiornati su queste diverse leggi e prepararsi a una probabile ulteriore evoluzione della normativa statunitense in materia.
Diamo una rapida occhiata alle principali leggi sulla protezione dei dati attualmente in vigore:
HIPAA
L’Health Insurance Portability and Accountability Act del 1996 (HIPAA) è una legge federale che stabilisce gli standard per la salvaguardia di alcune informazioni personali relative alla salute dalla divulgazione senza il consenso o la conoscenza del paziente.
La HIPAA Privacy Rule, promossa dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, è entrata in vigore nel 2003 e regola l’uso e la divulgazione di informazioni personali protette nell’ambito del trattamento, del pagamento e delle operazioni sanitarie.
Nel 2003 è entrata in vigore un’ulteriore regola di sicurezza HIPAA che riguarda specificamente le cartelle cliniche elettroniche. Questa norma specifica le salvaguardie amministrative, fisiche e tecnologiche necessarie per la conformità.
FCRA
Il Fair Credit Reporting Act (FCRA) è una legge federale che disciplina le agenzie di segnalazione dei consumatori e le loro procedure in materia di riservatezza, accuratezza, pertinenza e uso corretto dei dati personali.
Le informazioni personali disciplinate dal FCRA sono specifiche per i rapporti di credito e i rapporti sui consumatori venduti per determinare l’idoneità all’impiego, per la sottoscrizione di crediti o assicurazioni e per alcuni altri scopi descritti nel FCRA.
L’FCRA prevede anche diverse tutele per i consumatori, tra cui il diritto di ottenere il proprio punteggio di credito e il diritto di sapere cosa c’è nel file che un’agenzia di segnalazione mantiene sul consumatore.
GLBA
Il Gramm-Leach-Bliley Act del 2002 (GLBA) è una legge federale che regola principalmente la raccolta, l’uso, la divulgazione e la protezione delle informazioni personali non pubbliche raccolte dagli istituti finanziari.
COPPA
Il Children’s Online Privacy Protection Act (COPPA) è una legge federale che impone requisiti ai siti web diretti a bambini di età inferiore ai 13 anni e agli operatori di siti web o servizi online che raccolgono consapevolmente informazioni personali da bambini di età inferiore ai 13 anni. Gli operatori che rientrano nel COPPA devono divulgare alcune informazioni nella loro politica sulla privacy e ottenere il consenso dei genitori prima di raccogliere alcuni tipi di informazioni da bambini di età inferiore ai tredici anni.
FERPA
Il Family Educational Rights and Privacy Act (FERPA) è una legge federale che tutela i documenti scolastici degli studenti. Il FERPA si applica a qualsiasi scuola elementare, secondaria o post-secondaria pubblica o privata, nonché alle agenzie educative statali o locali che ricevono fondi nell’ambito di alcuni programmi del Dipartimento dell’Istruzione degli Stati Uniti.
Il FERPA offre ai genitori e agli studenti idonei un maggiore controllo sui loro documenti scolastici, oltre a vietare alle istituzioni scolastiche di divulgare informazioni di identificazione personale nei documenti scolastici senza il consenso scritto di una persona autorizzata
TCPA
Il Telephone Consumer Protection Act (TCPA) è una legge federale che regolamenta le chiamate di telemarketing, le chiamate a composizione automatica, le chiamate registrate e i messaggi di testo automatizzati e i fax non richiesti. Il TCPA stabilisce anche i requisiti tecnici per gli apparecchi fax, i dispositivi di composizione automatica e i sistemi di messaggistica vocale e le modalità di identificazione degli utenti di tali apparecchiature.
Legge sulla privacy
IlPrivacy Act del 1974 è una legge federale che si applica principalmente alle agenzie governative federali, agli appaltatori e ai dipendenti. La legge sulla privacy limita la divulgazione delle informazioni personali conservate dalle agenzie governative e concede agli individui maggiori diritti di accesso ai documenti dell’agenzia conservati su di loro. Questa legge stabilisce anche un codice di pratiche informative corrette con requisiti di legge per la raccolta, la sicurezza e la diffusione dei dati personali.
Principi di protezione dei dati in Canada
Le leggi sulla protezione dei dati in Canada sono simili a quelle degli Stati Uniti, in quanto consistono in un complesso insieme di leggi federali e provinciali. Come negli Stati Uniti, alcune di queste leggi impongono regolamenti su settori specifici. Alcuni statuti prevedono obblighi di notifica e segnalazione in caso di violazione dei dati personali.
Le principali leggi sulla protezione dei dati in Canada includono:
- Federali: Legge sulla protezione delle informazioni personali e dei documenti elettronici del 2000 (PIPEDA)
- Columbia Britannica: Legge sulla protezione delle informazioni personali (BC PIPA)
- Alberta: Legge sulla protezione delle informazioni personali (AB PIPA)
- Québec: Legge sulla protezione delle informazioni personali nel settore privato (Legge sul settore privato del Quebec)
Anche il Canada ha emanato una legge anti-spam, la Canada’s Anti-Spam Legislation (CASL), che riguarda le attività di marketing elettronico come la raccolta di dati e l’invio di e-mail in massa.
Principi di protezione dei dati nell’Unione europea
L’Unione Europea vanta attualmente il quadro di protezione dei dati più completo al mondo. Il Regolamento generale sulla protezione dei dati (GDPR), emanato nel 2018, costituisce il quadro giuridico per la protezione dei dati e della privacy in tutti gli Stati membri.
Questa complessa legislazione riguarda anche tutte le imprese che effettuano scambi commerciali con l’UE e comporta multe e sanzioni severe per garantire la conformità. Il GDPR è stato concepito per proteggere i dati sensibili dei cittadini dell’UE e dare loro un maggiore controllo sulle modalità di accesso e utilizzo. I requisiti includono il controllo dei trasferimenti internazionali di dati e il diritto dei cittadini alla cancellazione dei dati.
Analizzeremo il GDPR in modo più dettagliato nella prossima sezione.
I 7 principi della protezione dei dati (GDPR)
-
Legalità, equità e trasparenza
Articolo 5, paragrafo 1, lettera a), del GDPR: “I dati personali devono essere trattati in modo lecito, equo e trasparente nei confronti dell’interessato (‘lawfulness, fairness, transparency’)”
Specifica che le organizzazioni devono garantire che i loro metodi di raccolta dei dati non compromettano la legge e che il loro uso dei dati sia trasparente per coloro i cui dati vengono raccolti.
-
Limitazione delle finalità
Articolo 5, paragrafo 1, lettera b), del GDPR: “I dati personali devono essere raccolti per finalità determinate, esplicite e legittime, e non devono essere ulteriormente trattati in modo incompatibile con tali finalità; l’ulteriore trattamento per finalità di archiviazione nel pubblico interesse, per finalità di ricerca scientifica o storica o per finalità statistiche non deve essere considerato incompatibile con le finalità iniziali”
Le organizzazioni devono raccogliere dati personali solo per uno scopo definito e dichiarato. Devono delineare lo scopo e l’obiettivo e raccogliere i dati solo per il tempo necessario a raggiungere questi scopi.
La raccolta e l’elaborazione dei dati a fini di ricerca storica, scientifica o statistica, o per motivi di interesse pubblico, godono di una maggiore libertà.
-
Minimizzazione dei dati
Articolo 5, paragrafo 1, lettera c): “I dati personali devono essere adeguati, pertinenti e limitati a quanto necessario in relazione alle finalità per cui sono trattati (minimizzazione dei dati).”
Le organizzazioni dovrebbero conservare solo la minima quantità di dati necessaria per le loro esigenze. Non è consentito raccogliere dati “extra” nella speranza che siano utili in seguito.
-
Accuratezza
Articolo 5, paragrafo 1, lettera d): “I dati personali devono essere esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare senza indugio i dati personali inesatti, tenuto conto delle finalità per le quali sono trattati (‘accuratezza’)”
I dati personali raccolti devono essere adatti allo scopo dichiarato, nonché accurati e aggiornati. Le informazioni di identificazione personale devono essere riviste regolarmente e le informazioni inesatte devono essere corrette o eliminate.
-
Limiti di conservazione
Articolo 5, paragrafo 1, lettera e): “I dati personali sono conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi nella misura in cui saranno trattati esclusivamente per finalità di archiviazione nel pubblico interesse, per finalità di ricerca scientifica o storica o per finalità statistiche, fatta salva l’attuazione delle misure tecniche e organizzative adeguate richieste dal GDPR per salvaguardare i diritti e le libertà delle persone fisiche (‘limitazione della conservazione’)”
Una volta raggiunto l’obiettivo della raccolta dei dati, questi devono essere cancellati. Se esiste un motivo accettabile per conservare le informazioni, ad esempio perché possono essere utilizzate per ricerche di interesse pubblico o storico, l’organizzazione deve stabilire e giustificare un periodo di conservazione.
-
Integrità e riservatezza
Articolo 5, paragrafo 1, lettera f): “I dati personali devono essere trattati in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione da trattamenti non autorizzati o illegali e da perdite, distruzioni o danni accidentali, utilizzando misure tecniche o organizzative adeguate (‘integrità e riservatezza’).”
Tutte le informazioni conservate devono essere custodite in modo sicuro. La vostra organizzazione deve assicurarsi che vengano adottate misure adeguate di protezione dei dati per salvaguardare le informazioni personali. L’impegno per la sicurezza informatica è essenziale.
-
Responsabilità
Articolo 5, paragrafo 2: “Il responsabile del trattamento deve essere responsabile e in grado di dimostrare la conformità a [the other data protection principles]”
Ciò significa che le organizzazioni devono assumersi la responsabilità dei dati che conservano e dimostrare di essere conformi a tutti gli altri principi. Le organizzazioni devono essere in grado di documentare e dimostrare la loro adesione a queste pratiche.
Ciò può comportare:
Mantenersi aggiornati sulle pratiche di protezione dei dati
Creazione di una posizione di responsabile della protezione dei dati (DPO) o di responsabile della conformità
Creazione di un inventario dei dati personali
Esecuzione di valutazioni d’impatto sulla protezione dei dati e di audit sulla cybersecurity
NinjaOne e la protezione dei dati
Funzioni come Ninja Data Protection sono state progettate per aiutare le organizzazioni e i provider IT ad affrontare le complessità delle normative sulla protezione dei dati.
- Backup completo delle immagini disco
- Backup didocumenti, file e cartelle
- Gestione degli endpoint
- Gestione delle patch
- Bitdefender Advanced Threat Security
- Difesacompleta contro i ransomware
Conclusioni
La protezione dei dati è il processo di protezione delle informazioni contro la compromissione o la corruzione. Può essere una sfida per molte organizzazioni, ma è essenziale nel mondo moderno dei dati ad alto valore e delle crescenti minacce informatiche.
Sia gli utenti finali che i fornitori di servizi informatici devono garantire l’adozione di misure di sicurezza rigorose e il mantenimento della conformità nelle regioni o nei settori in cui è richiesta, e la scelta delle soluzioni e dei partner giusti può essere utile per navigare nelle complesse acque della protezione dei dati.
