Fondamenti di Compliance, Privacy e GDPR

Fondamenti di compliance, privacy e GDPR

Compliance, standard e framework

Nel panorama della sicurezza informatica e della gestione dei dati, tre categorie strutturano l'approccio normativo e operativo di qualsiasi organizzazione.

La compliance (aderenza normativa) indica l'obbligo di conformarsi a norme cogenti: leggi come il GDPR, regolamenti di settore, oppure normative internazionali come l'HIPAA (Health Insurance Portability and Accountability Act), la normativa statunitense a protezione delle informazioni sanitarie.

Gli standard (es. la famiglia ISO 27001) rappresentano insiemi di best practice riconosciute a livello internazionale. Non hanno forza di legge, ma vengono adottati volontariamente per garantire qualità, sicurezza e interoperabilità dei processi.

Un framework (es. NIST Cybersecurity Framework) è invece uno strumento operativo: una guida strutturata che aiuta le organizzazioni a implementare controlli e processi di sicurezza in modo coerente e misurabile.

Il GDPR: regolamento europeo sulla protezione dei dati

Il GDPR (General Data Protection Regulation), in italiano RGPD (Regolamento Generale sulla Protezione dei Dati), è il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio. È stato pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il **4 maggio 2016 **ed è divenuto applicabile in tutti gli Stati membri a partire dal 25 maggio 2018.

Una caratteristica fondamentale del GDPR è che, in quanto regolamento europeo, è direttamente applicabile senza necessità di recepimento nella legislazione nazionale, a differenza delle direttive UE che richiedono una norma di attuazione interna.

Il GDPR disciplina il trattamento dei dati personali delle persone fisiche, indipendentemente dalle modalità con cui tali dati vengono raccolti o trattati.

Le figure chiave del GDPR

Il titolare del trattamento

Ai sensi del GDPR, il titolare del trattamento (Data Controller) è la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.

In pratica: l'azienda o l'ente che decide perché raccogliere un dato e come trattarlo è il titolare. Su di esso ricade la responsabilità primaria di compliance.

Il responsabile del trattamento

Il responsabile del trattamento (Data Processor) è la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che tratta dati personali per conto del titolare del trattamento, sulla base di istruzioni contrattuali formalizzate in un Data Processing Agreement (DPA).

In pratica: un provider cloud, una piattaforma di email marketing o un sistema di analytics esterno che elabora dati per conto di un'azienda cliente agisce da Processor.

I diritti dell'interessato

L'interessato (Data Subject) è la persona fisica i cui dati personali vengono trattati. Il GDPR gli attribuisce una serie di diritti fondamentali, che il titolare è tenuto a garantire in modo semplice, sempre accessibile e con esecuzione rapida:

• Diritto di accesso (Art. 15): conoscere se e quali dati vengono trattati e ottenerne copia.
• Diritto di rettifica (Art. 16): correggere dati inesatti o incompleti.
• Diritto alla cancellazione / "diritto all'oblio" (Art. 17): ottenere l'eliminazione dei propri dati al venir meno delle basi giuridiche del trattamento.
• Diritto alla portabilità (Art. 20): ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di opposizione (Art. 21): opporsi al trattamento in determinati contesti, come il marketing diretto.

Dati personali e dati sensibili

Il GDPR distingue tra dati personali comuni e categorie particolari di dati (comunemente detti dati sensibili), elencate all'Art. 9, il cui trattamento è soggetto a restrizioni più severe.

Rientrano nelle categorie particolari:

• Origine razziale o etnica
• Opinioni politiche
• Credenze religiose o filosofiche
• Appartenenza sindacale
• Dati genetici
• Dati biometrici (quando usati per identificazione univoca)
• Dati relativi alla salute
• Vita sessuale e orientamento sessuale

Immagini e video che ritraggono una persona costituiscono dati personali in quanto possono identificare un individuo, ma non rientrano automaticamente nelle categorie particolari ai sensi dell'Art. 9. Fanno eccezione i casi in cui vengano utilizzati per il riconoscimento biometrico o rivelino attributi sensibili della persona.

L'informativa privacy (Art. 13 GDPR)

Quando i dati personali sono raccolti direttamente presso l'interessato, il titolare è obbligato a fornire un'informativa completa ai sensi dell'Art. 13 del GDPR, che deve includere almeno:

• Identità e dati di contatto del titolare e dell'eventuale rappresentante
• Dati di contatto del DPO (Data Protection Officer), se nominato
• Finalità del trattamento e relativa base giuridica
• Eventuali interessi legittimi perseguiti dal titolare
• Destinatari o categorie di destinatari dei dati
• Trasferimenti verso Paesi terzi e relative garanzie
• Periodo di conservazione dei dati (o criteri per determinarlo)
• Diritti dell'interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione
• Diritto di revocare il consenso in qualsiasi momento
• Diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali
• Natura obbligatoria o facoltativa del conferimento dei dati e conseguenze del rifiuto

Il consenso valido al trattamento

Per raccogliere un consenso valido ai sensi del GDPR, non è sufficiente una generica accettazione. Il titolare deve:

• Specificare le finalità per le quali il dato viene richiesto.
• Identificare chiaramente il titolare del trattamento.
• Descrivere le modalità di trattamento e la durata della conservazione.
• Ottenere un consenso che sia libero, specifico, informato e inequivocabile.
• Garantire che il rifiuto del consenso non comporti conseguenze negative per l'interessato.

La direttiva NIS2

Cos'è la NIS2 e perché nasce

La Direttiva (UE) 2022/2555, comunemente nota come NIS2 (Network and Information Security 2), rappresenta il principale strumento normativo europeo in materia di cybersicurezza delle infrastrutture digitali e dei servizi essenziali.
Pubblicata nella Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, ha sostituito la precedente Direttiva NIS del 2016, il cui ambito di applicazione si era rivelato troppo limitato rispetto all'evoluzione del panorama delle minacce informatiche.

A differenza del GDPR, che è un regolamento direttamente applicabile in tutti gli Stati membri senza necessità di recepimento, la NIS2 è una direttiva: ciascuno Stato membro è tenuto a trasporla nel proprio ordinamento nazionale entro la scadenza stabilita. In Italia il recepimento è avvenuto con la pubblicazione del Decreto Legislativo 138/2024, entrato in vigore il 18 ottobre 2024.

Al momento della scadenza del 17 ottobre 2024, soltanto quattro Paesi (Belgio, Croazia, Italia e Lituania) avevano completato pienamente il recepimento, portando la Commissione europea ad avviare procedure d'infrazione contro ventitré Stati membri. A maggio 2026, 22 dei 27 Stati membri hanno adottato la legge di recepimento, mentre cinque (Francia, Irlanda, Lussemburgo, Paesi Bassi e Spagna) sono ancora in iter legislativo.

NIS1 vs NIS2

Soggetti essenziali e soggetti importanti

La NIS2 introduce una classificazione binaria delle organizzazioni in perimetro, con obblighi e regimi di vigilanza differenziati.

I soggetti essenziali operano in settori ad alta criticità come energia, trasporti, sanità, banche, infrastrutture dei mercati finanziari, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio.

I soggetti importanti comprendono altri settori critici come servizi postali, gestione dei rifiuti, produzione e distribuzione alimentare, fabbricazione di sostanze chimiche, produzione di dispositivi medici, servizi digitali e organizzazioni di ricerca.

Le entità essenziali sono soggette a requisiti più rigorosi, inclusi controlli proattivi, mentre le entità importanti sono sottoposte a un regime di vigilanza meno intenso, principalmente reattivo.

Obblighi principali per le organizzazioni in perimetro

Le organizzazioni classificate come soggetti essenziali o importanti devono adottare un insieme strutturato di misure tecniche, operative e organizzative. Gli obblighi principali previsti dal D.Lgs. 138/2024 includono:

• Gestione del rischio informatico: esecuzione di valutazioni periodiche del rischio, con identificazione degli asset critici IT e OT (sistemi operativi industriali), servizi cloud e software di terzi.
• Piani di continuità operativa: definizione di procedure di risposta agli incidenti, disaster recovery e business continuity.
• Sicurezza della supply chain: mappatura e classificazione dei fornitori ICT rilevanti, inserimento nei contratti di requisiti minimi di sicurezza, clausole su gestione incidenti, obblighi di notifica, diritto di audit, exit strategy e monitoraggio periodico dello stato di sicurezza.
• Formazione del personale: programmi continuativi di sensibilizzazione su procedure di sicurezza e segnalazione degli incidenti.
• Responsabilità dei vertici aziendali: i dirigenti rispondono personalmente dell'adeguatezza delle misure adottate e devono approvare e supervisionare i piani di gestione del rischio.

Notifica degli incidenti significativi

La notifica degli incidenti alla sicurezza informatica segue un processo a fasi: pre-notifica entro 24 ore dall'accaduto. Segue una notifica completa entro 72 ore e un rapporto finale entro un mese. Tutte le notifiche vanno indirizzate al CSIRT Italia, che opera presso l'ACN (Agenzia per la Cybersicurezza Nazionale), autorità nazionale competente NIS.

Scadenze operative per i soggetti italiani

Il D.Lgs. 138/2024 ha introdotto scadenze concrete per l'adeguamento: entro gennaio 2025 i soggetti interessati dovevano registrarsi sulla piattaforma digitale dell'ACN, con autovalutazione per determinare l'appartenenza alle categorie di soggetti essenziali o importanti. Entro aprile 2025 l'ACN avrebbe pubblicato l'elenco ufficiale dei soggetti essenziali e importanti. Dalla data di ricezione della comunicazione di inserimento nell'elenco, decorrono 18 mesi per adottare le misure di sicurezza di base e 9 mesi per adempiere all'obbligo di notifica degli incidenti significativi.

GDPR e NIS2

Un equivoco comune è considerare GDPR e NIS2 come normative alternative o ridondanti. In realtà operano su piani distinti e si integrano a vicenda.

Il GDPR tutela i diritti delle persone fisiche in relazione al trattamento dei loro dati personali: definisce chi può raccogliere dati, con quale base giuridica e per quali finalità.

La NIS2 si occupa invece della resilienza delle infrastrutture digitali e della continuità dei servizi essenziali: impone alle organizzazioni di mettere in sicurezza i propri sistemi informativi indipendentemente dal tipo di dato trattato.

Per un'organizzazione che rientra in entrambi i perimetri, ad esempio un ospedale, una banca o un fornitore di servizi cloud, la conformità a entrambe le normative non è opzionale. Un incidente di sicurezza informatica può violare simultaneamente obblighi NIS2 (mancata notifica al CSIRT) e obblighi GDPR (violazione dei dati personali con conseguente data breach notification al Garante entro 72 ore ai sensi dell'Art. 33 GDPR).