Non c’\u00e8 dubbio che la tipica azienda moderna generi grandi quantit\u00e0 di dati che devono essere spostati, analizzati e archiviati in modo sicuro. Poich\u00e9 molti di questi dati riguardano la privacy di utenti e clienti, sono state create diverse leggi e normative per promuovere pratiche di protezione rigorose. Anche se queste normative variano molto da Paese a Paese, il concetto di fondo rimane lo stesso: mantenere i dati al sicuro e renderli disponibili agli utenti autorizzati quando ne hanno bisogno.<\/p>\n
Questo articolo tratter\u00e0 i seguenti argomenti:<\/strong><\/p>\n La protezione dei dati<\/a> \u00e8 il concetto di salvaguardia dei dati importanti da corruzione, compromissione o perdita. Non si limita a una protezione passiva, ma si basa su processi di ripristino e recupero dei dati nel caso in cui si verifichi un evento che li renda inaccessibili o inutilizzabili. La protezione dei dati riguarda anche le questioni di conformit\u00e0 ai requisiti legali o normativi applicabili.<\/p>\n Oltre alla sicurezza, la protezione dei dati riguarda l’accesso autorizzato ai dati. Ovviamente non si pu\u00f2 semplicemente cancellare i dati importanti o chiuderli in una cassaforte impenetrabile. I dati sono destinati a essere utilizzati e i dati protetti devono essere disponibili per gli utenti autorizzati quando sono necessari per lo scopo previsto.<\/p>\n In termini generali, l’idea moderna di protezione dei dati abbraccia tre grandi categorie:\u00a0protezione tradizionale dei dati, come i backup<\/a>; sicurezza dei dati e difesa dalle violazioni; privacy dei dati.<\/p>\n NinjaOne SaaS Backup ti aiuta a rispettare i requisiti normativi per la protezione dei dati.<\/p>\n \ud83d\udcdd Prova NinjaOne SaaS Backup.<\/a><\/span><\/p>\n<\/div>\n Il principio principale della protezione dei dati \u00e8 quello di utilizzare metodologie e tecnologie per proteggere i dati e renderli disponibili agli utenti autorizzati in ogni circostanza.<\/p>\n Oltre a questa massima di base, la protezione dei dati diventa molto granulare a seconda della regione in questione. Varie leggi e regolamenti governativi aggiungono ulteriori livelli e dettagli a questo obiettivo di ampia gamma, prendendo in considerazione una miriade di problemi di sicurezza informatica e di privacy personale.<\/p>\n Nel proseguire, esploreremo la protezione dei dati cos\u00ec come viene definita nelle diverse regioni.<\/p>\n A differenza di alcune regioni, in particolare l’Unione Europea, gli Stati Uniti non hanno una legge federale completa che disciplini la privacy e il trattamento dei dati o delle informazioni personali. Negli Stati Uniti, invece, le organizzazioni devono navigare in un insieme di leggi federali e statali che regolano la raccolta, l’elaborazione, la divulgazione e la sicurezza delle informazioni personali.<\/p>\n Inoltre, alcuni settori, come quello sanitario e finanziario, sono regolamentati in modo specifico per il loro settore.<\/p>\n A causa della natura decentralizzata delle leggi statunitensi sulla protezione dei dati, i responsabili del trattamento dei dati devono tenersi aggiornati su queste diverse leggi e prepararsi a una probabile ulteriore evoluzione della normativa statunitense in materia.<\/p>\n Diamo una rapida occhiata alle principali leggi sulla protezione dei dati attualmente in vigore:<\/p>\n L’Health Insurance Portability and Accountability Act del 1996 (HIPAA)<\/a> \u00e8 una legge federale che stabilisce gli standard per la salvaguardia di alcune informazioni personali relative alla salute dalla divulgazione senza il consenso o la conoscenza del paziente.<\/p>\n La HIPAA Privacy Rule, promossa dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti<\/a>, \u00e8 entrata in vigore nel 2003 e regola l’uso e la divulgazione di informazioni personali protette nell’ambito del trattamento, del pagamento e delle operazioni sanitarie.<\/p>\n Nel 2003 \u00e8 entrata in vigore un’ulteriore regola di sicurezza HIPAA che riguarda specificamente le cartelle cliniche elettroniche. Questa norma specifica le salvaguardie amministrative, fisiche e tecnologiche necessarie per la conformit\u00e0.<\/p>\n Il Fair Credit Reporting Act (FCRA)<\/a> \u00e8 una legge federale che disciplina le agenzie di segnalazione dei consumatori e le loro procedure in materia di riservatezza, accuratezza, pertinenza e uso corretto dei dati personali.<\/p>\n Le informazioni personali disciplinate dal FCRA sono specifiche per i rapporti di credito e i rapporti sui consumatori venduti per determinare l’idoneit\u00e0 all’impiego, per la sottoscrizione di crediti o assicurazioni e per alcuni altri scopi descritti nel FCRA.<\/p>\n L’FCRA prevede anche diverse tutele per i consumatori, tra cui il diritto di ottenere il proprio punteggio di credito e il diritto di sapere cosa c’\u00e8 nel file che un’agenzia di segnalazione mantiene sul consumatore.<\/p>\n Il Gramm-Leach-Bliley Act del 2002<\/a> (GLBA) \u00e8 una legge federale che regola principalmente la raccolta, l’uso, la divulgazione e la protezione delle informazioni personali non pubbliche raccolte dagli istituti finanziari.<\/p>\n Il Children’s Online Privacy Protection Act (COPPA)<\/a> \u00e8 una legge federale che impone requisiti ai siti web diretti a bambini di et\u00e0 inferiore ai 13 anni e agli operatori di siti web o servizi online che raccolgono consapevolmente informazioni personali da bambini di et\u00e0 inferiore ai 13 anni. Gli operatori che rientrano nel COPPA devono divulgare alcune informazioni nella loro politica sulla privacy e ottenere il consenso dei genitori prima di raccogliere alcuni tipi di informazioni da bambini di et\u00e0 inferiore ai tredici anni.<\/p>\n Il Family Educational Rights and Privacy Act (FERPA)<\/a> \u00e8 una legge federale che tutela i documenti scolastici degli studenti. Il FERPA si applica a qualsiasi scuola elementare, secondaria o post-secondaria pubblica o privata, nonch\u00e9 alle agenzie educative statali o locali che ricevono fondi nell’ambito di alcuni programmi del Dipartimento dell’Istruzione degli Stati Uniti<\/a>.<\/p>\n Il FERPA offre ai genitori e agli studenti idonei un maggiore controllo sui loro documenti scolastici, oltre a vietare alle istituzioni scolastiche di divulgare informazioni di identificazione personale nei documenti scolastici senza il consenso scritto di una persona autorizzata<\/p>\n Il Telephone Consumer Protection Act (TCPA)<\/a> \u00e8 una legge federale che regolamenta le chiamate di telemarketing, le chiamate a composizione automatica, le chiamate registrate e i messaggi di testo automatizzati e i fax non richiesti. Il TCPA stabilisce anche i requisiti tecnici per gli apparecchi fax, i dispositivi di composizione automatica e i sistemi di messaggistica vocale e le modalit\u00e0 di identificazione degli utenti di tali apparecchiature.<\/p>\n IlPrivacy Act del 1974<\/a> \u00e8 una legge federale che si applica principalmente alle agenzie governative federali, agli appaltatori e ai dipendenti. La legge sulla privacy limita la divulgazione delle informazioni personali conservate dalle agenzie governative e concede agli individui maggiori diritti di accesso ai documenti dell’agenzia conservati su di loro. Questa legge stabilisce anche un codice di pratiche informative corrette con requisiti di legge per la raccolta, la sicurezza e la diffusione dei dati personali.<\/p>\n Le leggi sulla protezione dei dati in Canada sono simili a quelle degli Stati Uniti, in quanto consistono in un complesso insieme di leggi federali e provinciali. Come negli Stati Uniti, alcune di queste leggi impongono regolamenti su settori specifici. Alcuni statuti prevedono obblighi di notifica e segnalazione in caso di violazione dei dati personali.<\/p>\n Le principali leggi sulla protezione dei dati in Canada includono:<\/p>\n Anche il Canada ha emanato una legge anti-spam, la Canada’s Anti-Spam Legislation (CASL)<\/a>, che riguarda le attivit\u00e0 di marketing elettronico come la raccolta di dati e l’invio di e-mail in massa.<\/p>\n L’Unione Europea vanta attualmente il quadro di protezione dei dati pi\u00f9 completo al mondo. Il Regolamento generale sulla protezione dei dati (GDPR),<\/a> emanato nel 2018, costituisce il quadro giuridico per la protezione dei dati e della privacy in tutti gli Stati membri.<\/p>\n Questa complessa legislazione riguarda anche tutte le imprese che effettuano scambi commerciali con l’UE e comporta multe e sanzioni severe per garantire la conformit\u00e0. Il GDPR \u00e8 stato concepito per proteggere i dati sensibili dei cittadini dell’UE e dare loro un maggiore controllo sulle modalit\u00e0 di accesso e utilizzo. I requisiti includono il controllo dei trasferimenti internazionali di dati e il diritto dei cittadini alla cancellazione dei dati.<\/p>\n Analizzeremo il GDPR in modo pi\u00f9 dettagliato nella prossima sezione.<\/p>\n Articolo 5, paragrafo 1, lettera a), del GDPR:<\/a> “I dati personali devono essere trattati in modo lecito, equo e trasparente nei confronti dell’interessato (‘lawfulness, fairness, transparency’)”<\/p>\n Specifica che le organizzazioni devono garantire che i loro metodi di raccolta dei dati non compromettano la legge e che il loro uso dei dati sia trasparente per coloro i cui dati vengono raccolti.<\/p>\n Articolo 5, paragrafo 1, lettera b), del GDPR: “I dati personali devono essere raccolti per finalit\u00e0 determinate, esplicite e legittime, e non devono essere ulteriormente trattati in modo incompatibile con tali finalit\u00e0; l’ulteriore trattamento per finalit\u00e0 di archiviazione nel pubblico interesse, per finalit\u00e0 di ricerca scientifica o storica o per finalit\u00e0 statistiche non deve essere considerato incompatibile con le finalit\u00e0 iniziali”<\/p>\n Le organizzazioni devono raccogliere dati personali solo per uno scopo definito e dichiarato. Devono delineare lo scopo e l’obiettivo e raccogliere i dati solo per il tempo necessario a raggiungere questi scopi.<\/p>\n La raccolta e l’elaborazione dei dati a fini di ricerca storica, scientifica o statistica, o per motivi di interesse pubblico, godono di una maggiore libert\u00e0.<\/p>\n Articolo 5, paragrafo 1, lettera c): “I dati personali devono essere adeguati, pertinenti e limitati a quanto necessario in relazione alle finalit\u00e0 per cui sono trattati (minimizzazione dei dati).”<\/p>\n Le organizzazioni dovrebbero conservare solo la minima quantit\u00e0 di dati necessaria per le loro esigenze. Non \u00e8 consentito raccogliere dati “extra” nella speranza che siano utili in seguito.<\/p>\n Articolo 5, paragrafo 1, lettera d): “I dati personali devono essere esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare senza indugio i dati personali inesatti, tenuto conto delle finalit\u00e0 per le quali sono trattati (‘accuratezza’)”<\/p>\n I dati personali raccolti devono essere adatti allo scopo dichiarato, nonch\u00e9 accurati e aggiornati. Le informazioni di identificazione personale devono essere riviste regolarmente e le informazioni inesatte devono essere corrette o eliminate.<\/p>\n Articolo 5, paragrafo 1, lettera e): “I dati personali sono conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalit\u00e0 per le quali sono trattati; i dati personali possono essere conservati per periodi pi\u00f9 lunghi nella misura in cui saranno trattati esclusivamente per finalit\u00e0 di archiviazione nel pubblico interesse, per finalit\u00e0 di ricerca scientifica o storica o per finalit\u00e0 statistiche, fatta salva l’attuazione delle misure tecniche e organizzative adeguate richieste dal GDPR per salvaguardare i diritti e le libert\u00e0 delle persone fisiche (‘limitazione della conservazione’)”<\/p>\n Una volta raggiunto l’obiettivo della raccolta dei dati, questi devono essere cancellati. Se esiste un motivo accettabile per conservare le informazioni, ad esempio perch\u00e9 possono essere utilizzate per ricerche di interesse pubblico o storico, l’organizzazione deve stabilire e giustificare un periodo di conservazione.<\/p>\n Articolo 5, paragrafo 1, lettera f): “I dati personali devono essere trattati in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione da trattamenti non autorizzati o illegali e da perdite, distruzioni o danni accidentali, utilizzando misure tecniche o organizzative adeguate (‘integrit\u00e0 e riservatezza’).”<\/p>\n Tutte le informazioni conservate devono essere custodite in modo sicuro. La vostra organizzazione deve assicurarsi che vengano adottate misure adeguate di protezione dei dati per salvaguardare le informazioni personali. L’impegno per la sicurezza informatica \u00e8 essenziale.<\/p>\n Articolo 5, paragrafo 2: “Il responsabile del trattamento deve essere responsabile e in grado di dimostrare la conformit\u00e0 a [the other data protection principles]”<\/p>\n Ci\u00f2 significa che le organizzazioni devono assumersi la responsabilit\u00e0 dei dati che conservano e dimostrare di essere conformi a tutti gli altri principi. Le organizzazioni devono essere in grado di documentare e dimostrare la loro adesione a queste pratiche.<\/p>\n Ci\u00f2 pu\u00f2 comportare:<\/p>\n Mantenersi aggiornati sulle pratiche di protezione dei dati<\/p>\n\n
Che cos’\u00e8 la protezione dei dati?<\/h2>\n
Il primo principio della protezione dei dati<\/strong><\/h3>\n
Principi di protezione dei dati negli Stati Uniti<\/strong><\/h2>\n
HIPAA<\/strong><\/h3>\n
FCRA<\/strong><\/h3>\n
GLBA<\/strong><\/h3>\n
COPPA<\/strong><\/h3>\n
FERPA<\/strong><\/h3>\n
TCPA<\/strong><\/h3>\n
Legge sulla privacy<\/strong><\/h3>\n
Principi di protezione dei dati in Canada<\/strong><\/h2>\n
\n
Principi di protezione dei dati nell’Unione europea<\/strong><\/h2>\n
I 7 principi della protezione dei dati (GDPR)<\/strong><\/h2>\n
\n
Legalit\u00e0, equit\u00e0 e trasparenza<\/h3>\n<\/li>\n<\/ol>\n
\n
Limitazione delle finalit\u00e0<\/h3>\n<\/li>\n<\/ol>\n
\n
Minimizzazione dei dati<\/h3>\n<\/li>\n<\/ol>\n
\n
Accuratezza<\/h3>\n<\/li>\n<\/ol>\n
\n
Limiti di conservazione<\/h3>\n<\/li>\n<\/ol>\n
\n
Integrit\u00e0 e riservatezza<\/h3>\n<\/li>\n<\/ol>\n
\n
Responsabilit\u00e0<\/h3>\n<\/li>\n<\/ol>\n