Nell’ambito di accertamenti condotti dal Garante con riguardo ai trattamenti di dati personali effettuati nel contesto lavorativo è emerso il rischio che programmi  e servizi informatici per la gestione della posta elettronica, anche qualora commercializzati da fornitori in modalità cloud, possano raccogliere per impostazione predefinita, in modo preventivo e generalizzato, i metadati relativi all’utilizzo degli account di posta elettronica in uso ai dipendenti, conservando gli stessi per un esteso arco temporale. 

Il 06 giugno scorso il Garante per la protezione dei dati personali ha pubblicato sul suo sito web istituzionale un provvedimento in materia di programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati.

Occorre subito osservare che sebbene il nuovo provvedimento “non reca prescrizioni né introduce nuovi adempimenti a carico dei titolari del trattamento” contiene tutti gli elementi per consentire ai Titolari del  Trattamento - datori di lavoro - di orientarsi sugli adempimenti da porre in essere per porre scelte responsabili.

Lo schema di decreto legislativo di recepimento della direttiva UE 2022/2555 (nota con l’acronimo NIS 2) licenziato, in via preliminare, del consiglio dei ministri del 10/6/2024 prevede, in caso di data breach, di effettuare una prima comunicazione non oltre le 24 ore e di completare la notifico entro le 72 ore. La direttiva 2022/2555 dovrà essere recepita entro il 17/10/2024, e le disposizioni del d.lgs. attuativo si applicheranno a partire dal 18/10/2024.

Le novità interesseranno imprese e pubbliche amministrazioni, diversamente clusterizzate. Alcuni soggetti operano in aree classificate “altamente critiche” (energia, trasporti, banche e mercati finanziari, sanità, infrastrutture digitali), altri in aree “critiche” (servizi postali, gestione rifiuti, imprese del settore alimentare, fabbricazione dispositivi medici, apparecchiature elettriche, macchinari, computer, fornitura servizi digitali, organizzazioni di ricerca). Negli altri gruppi si trovano pubbliche amministrazioni, servizi di trasporto pubblico locale, istituti di ricerca, esercenti attività di interesse culturale, società in house, società partecipate e società a controllo pubblico.

Tutti questi soggetti, pubblici e privati, saranno tenuti a segnalare tempestivamente gli incidenti informatici allo CSIRT Italia (gruppo di gestione degli incidenti di sicurezza informatica, presso l’agenzia per la cybersicurezza nazionale). Questa è la procedura prescritta nello schema di d.lgs.:

• una pre-notifica senza ingiustificato ritardo, e comunque entro 24 ore dalla conoscenza dell'incidente significativo;
• la notifica entro 72 ore, con una valutazione della gravità e dell’impatto dell’attacco.
• Valutazione di come e se debbano essere avvisati anche gli utenti dei servizi interessati dall’incidente.

L’obbligo della segnalazione non va confuso con l’analogo obbligo di notificazione previsto dal Regolamento Ue sulla privacy n. 2016/679 (Gdpr) al quale si sovrappone. Al riguardo lo schema di d.lgs. prevede una procedura di raccordo: se l’incidente riguarda anche dati personali, dovrà essere informato subito il Garante della privacy nelle tempistiche già note. Sul versante sanzioni non si applicherà il cumulo: se il garante applicherà una sanzione non potrà essere applicata la sanzioni previste dal d.lgs. in esame. In ogni caso imprese ed enti dovranno adempiere sia agli obblighi previsti dal Gdpr sia a quelli previsti dal provvedimento in esame. Imprese e Pubbliche amministrazioni sono quindi chiamate ad aggiornate i propri modelli Organizzativi con particolare riferimento alla pianificazione ed attuazione delle misure di sicurezza tecniche ed organizzative, ivi comprese la formazione dei soggetti coinvolti e a rivedere i rapporti con i fornitori per migliorare la cd filiera della sicurezza dei dati.

Potrebbe interessarti: adeguamento GDPR

A seguito alla pubblicazione di nuove versioni degli standard ETSI REM e della pubblicazione del regolamento eIDAS 2.0, il gruppo di Lavoro coordinato da AgID, con la partecipazione attiva dei Gestori PEC, Uninfo e Assocertificatori, ha aggiornato nella versione 2.0 il documento “REM SERVICES - Criteri di adozione degli standard ETSI - Policy IT” recependone i contenuti.

L’IT Wallet, introdotto dal decreto Pnrr, è un sistema di portafoglio digitale che consente di conservare documenti digitali. Con l’IT wallet - il portafoglio digitale - l’identità digitale, così come la conosciamo oggi, è stata ridisegnata all’insegna della trasparenza e della sicurezza percorrendo la strada della semplificazione della esperienza di navigazione degli utenti nella fruizione dei servizi online.

Nella seduta del 18 aprile 2024, è stato approvato il disegno di legge n. 1110 di conversione, con modificazioni, del decreto 2 marzo 2024, n. 19, recante “ulteriori disposizioni urgenti per l’attuazione del Piano nazionale di ripresa e resilienza (Pnrr)” (di seguito anche “Decreto PNRR” e “Legge di Conversione”). Rilevano due principali modifiche che la Legge di Conversione apporta al Decreto e, a cascata, agli articoli 2-sexies e 110 del d.lgs. n. 196/2003, recante il c.d. Codice Privacy. Il testo barrato è stato abrogato, o sostituito, dalla legge di conversione. Il testo in grassetto è stato aggiunto dalla legge di conversione.

Una ricerca condotta da salesforce.com rivela che solo il 28% del tempo dei responsabili vendite viene dedicato alla vendita effettiva ed il restante tempo è assorbito dalle attività amministrative, i task di servizio, le riunioni interne e gli spostamenti trascinandoli lontano dal focus necessario.

È come se ogni passo contribuisse a farli affondare sempre più, togliendo tempo a ciò che è realmente valore: dedicare tempo ai clienti. Non si tratta solo di vendere, ma di farlo con precisione e strategia. Consideriamo la regola dell'80/20: il 20% dei clienti porta all'80% delle vendite.

Questo assunto guida i top performer nella scelta di quali opportunità perseguire, mirando al successo concreto.