Happy 2023 Data Privacy Week!
Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!
2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.
L’obiettivo alla base delle imminenti modifiche è quello di rafforzare e migliorare la sicurezza informatica delle varie organizzazioni e gestire in modo più efficace i rischi informatici in continua evoluzione.
Ecco una panoramica generale di alcuni sviluppi giuridici in tutto il mondo:
- EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
- EU – Regulation on digital operational resilience for the financial sector (DORA)
- US – State & Federal privacy laws
- India – Digital Personal Data Protection Bill (DPDPB)
- Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988
NIS2
According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.
La direttiva NIS2 è stata pubblicata poco prima della fine dell’anno e gli Stati membri dell’UE hanno ora 21 mesi di tempo per recepire nella legislazione nazionale i requisiti e i meccanismi in essa descritti. La direttiva NIS del 2016 – nonostante alcune lacune – ha costituito una pietra miliare per il potenziamento delle capacità degli Stati membri in materia di sicurezza informatica. Ora, la NIS2 amplierà l’ambito di applicazione e l’elenco delle organizzazioni interessate. Si prevede che ben 160 000 organizzazioni saranno soggette a questa nuova normativa, tra cui i fornitori di servizi digitali (piattaforme e servizi di data center), i fornitori di reti e servizi di comunicazione elettronica, il settore manifatturiero, quello alimentare e il settore pubblico.
NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.
Cosa puoi fare in questo momento?
- First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
- Successivamente, verifica se è possibile creare sinergie e sfruttare le misure tecniche e organizzative già implementate nel corso di precedenti iniziative di conformità (ad esempio, GDPR, NIS1, ecc.)
- Iniziate a cercare i partner giusti in grado di supportare adeguatamente i vostri sforzi di conformità. Coinvolgete i vostri fornitori nella discussione dell’approccio più adatto alla vostra organizzazione.
- Infine, ma non meno importante, iniziate a pianificare un aumento della spesa per colmare eventuali lacune residue. La mancata conformità potrebbe comportare sanzioni amministrative fino a 10 milioni di euro o fino al 2% del fatturato annuo globale totale dell’organizzazione.
DORA
DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.
I nuovi requisiti imposti dal DORA si tradurranno, in sostanza, nella revisione e nell’aggiornamento delle pratiche di gestione del rischio. I clienti del settore finanziario dovranno trasferire il maggior numero possibile di rischi normativi ai fornitori di ICT oppure adottare diverse strategie di mitigazione del rischio. In ogni caso, i fornitori di ICT dovranno essere in grado di garantire il rispetto dei requisiti del DORA. L’intero settore dovrà inoltre rivalutare i rapporti contrattuali con i fornitori. Il DORA introdurrà requisiti per i contratti tra le società finanziarie e i loro fornitori di ICT critici, tra cui l’ubicazione in cui vengono trattati i dati, le descrizioni degli accordi sul livello di servizio, gli obblighi di rendicontazione, i diritti di accesso e le circostanze che potrebbero portare alla risoluzione del contratto.
In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).
US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.
2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.
India – DPDPB
Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.
Australia – Privacy Penalty Bill & overhaul of the Privacy Act
Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”
Nel frattempo, sempre nel 2022, l’Australia ha approvato il “Privacy Penalty Bill”, che ha inasprito le sanzioni in materia di privacy portandole a livelli paragonabili a quelli introdotti dal GDPR (fino a 50 milioni di AUD) e ha ampliato i poteri normativi dell’Ufficio del Commissario australiano per l’informazione (OAIC) e dell’Autorità australiana per le comunicazioni e i media (ACMA).
Summary
Il tempo che scorre inesorabile per la conformità ha appena ricominciato a ticchettare. I team interfunzionali, composti da professionisti dei settori IT, conformità, privacy, legale e da analisti aziendali, dedicheranno molto tempo all’analisi dell’impatto della valanga di novità legislative emerse alla fine dello scorso anno e che si concretizzeranno nel corso del 2023.
Tenete presente che gli sviluppi legislativi qui presentati potrebbero essere più esaustivi. Potete stare certi, tuttavia, che diventeranno argomenti di discussione ricorrenti non solo nel 2023, ma anche negli anni a venire.
