Buona Settimana della privacy 2023!
Proprio quando tutti cominciavano a prendere più o meno confidenza con il panorama normativo in materia di privacy e protezione dei dati e sia i privati che le aziende avevano imparato a destreggiarsi tra le acque poco profonde delle richieste degli interessati, della gestione dei rischi e delle valutazioni d’impatto – BOOM – è arrivata un’altra ondata di requisiti normativi e nuove sfide!
Il 2023 è il momento perfetto per iniziare a familiarizzare con i nuovi acronimi (preparatevi a #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) e con gli atti legislativi a cui si riferiscono.
L’obiettivo alla base delle imminenti modifiche è quello di rafforzare e migliorare la sicurezza informatica delle varie organizzazioni e gestire in modo più efficace i rischi informatici in continua evoluzione.
Ecco una panoramica generale di alcuni sviluppi giuridici a livello mondiale:
- UE – Direttiva (UE) 2022/2555 relativa alle misure volte a garantire un elevato livello comune di sicurezza informatica in tutta l’Unione (NIS2)
- UE – Regolamento sulla resilienza operativa digitale per il settore finanziario (DORA)
- Stati Uniti – Leggi statali e federali sulla privacy
- India – Progetto di legge sulla protezione dei dati personali digitali (DPDPB)
- Australia – Progetto di legge sulle sanzioni in materia di privacy e revisione del Privacy Act del 1988
NIS2
Secondo l’ENISA, la spesa complessiva per la sicurezza informatica delle organizzazioni dell’UE è inferiore del 41 % rispetto a quella delle loro controparti statunitensi. Con l’entrata in vigore della direttiva NIS2, si prevede che questo rapporto subisca una variazione tale da colmare, almeno in parte, questo enorme divario. Secondo stime prudenti, l’entrata in vigore della direttiva NIS2 comporterà un aumento di circa il 22 % della spesa nel settore delle TIC nell’arco di un periodo di 3–4 anni.
La direttiva NIS2 è stata pubblicata poco prima della fine dell’anno e gli Stati membri dell’UE hanno ora 21 mesi di tempo per recepire nella legislazione nazionale i requisiti e i meccanismi in essa descritti. La direttiva NIS del 2016 – nonostante alcune lacune – ha costituito una pietra miliare per il potenziamento delle capacità degli Stati membri in materia di sicurezza informatica. Ora, la NIS2 amplierà l’ambito di applicazione e l’elenco delle organizzazioni interessate. Si prevede che ben 160.000 organizzazioni saranno soggette a questa nuova normativa, tra cui i fornitori di servizi digitali (piattaforme e servizi di data center), i fornitori di reti e servizi di comunicazione elettronica, il settore manifatturiero, quello alimentare e il settore pubblico.
La
NIS2 mira a rafforzare le misure di sicurezza informatica, tra l’altro: migliorando la governance in materia di sicurezza informatica, affrontando la questione della sicurezza delle catene di approvvigionamento, semplificando gli obblighi di segnalazione (allarmi tempestivi/periodi di notifica abbreviati) e introducendo misure di vigilanza più rigorose e requisiti di applicazione più severi.
Cosa puoi fare in questo momento?
- Innanzitutto, cerca di capire quali obblighi si applicheranno alla tua organizzazione e in quale categoria di conformità rientrerà: “Entità essenziale”, “Entità importante” o forse “altra”.
- Successivamente, verifica se è possibile creare sinergie e sfruttare le misure tecniche e organizzative già implementate nel corso di precedenti iniziative di conformità (ad esempio, GDPR, NIS1, ecc.)
- Iniziate a cercare i partner giusti in grado di supportare adeguatamente i vostri sforzi di conformità. Coinvolgete i vostri fornitori nella discussione sull’approccio più adatto alla vostra organizzazione.
- Infine, ma non meno importante, iniziate a pianificare un aumento della spesa per colmare eventuali lacune residue. La mancata conformità potrebbe comportare sanzioni amministrative fino a 10 milioni di euro o fino al 2% del fatturato annuo globale totale dell’organizzazione.
DORA
Il regolamento DORA mira a raggiungere «un elevato livello comune di resilienza operativa digitale», mitigando le minacce informatiche e garantendo la resilienza operativa in tutto il settore finanziario dell’UE. Entrerà in vigore con effetto diretto a partire dal 17 gennaio 2025. Avrà un impatto sul settore finanziario (banche, compagnie assicurative, società di investimento) e sui suoi fornitori di servizi ICT (ad esempio, piattaforme cloud), per un totale di circa 22.000 organizzazioni.
I nuovi requisiti imposti dal DORA si tradurranno, in sostanza, nella revisione e nell’aggiornamento delle pratiche di gestione del rischio. I clienti del settore finanziario dovranno trasferire il maggior numero possibile di rischi normativi ai fornitori di ICT oppure adottare diverse strategie di mitigazione del rischio. In ogni caso, i fornitori di ICT dovranno essere in grado di garantire il rispetto dei requisiti del DORA. L’intero settore dovrà inoltre rivalutare i rapporti contrattuali con i fornitori. Il DORA introdurrà requisiti per i contratti tra le società finanziarie e i loro fornitori di ICT critici, tra cui l’ubicazione in cui vengono trattati i dati, le descrizioni degli accordi sul livello di servizio, gli obblighi di rendicontazione, i diritti di accesso e le circostanze che potrebbero portare alla risoluzione del contratto.
In un post a parte, il team di prodotto di Commvault approfondirà in modo più tecnico i requisiti del DORA relativi al rilevamento (art. 10), alla risposta e alla Recovery (art. 11) e al backup (art. 12).
Leggi
statunitensi sulla protezione dei dati personali: CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
A partire dal 1° gennaio 2023 sono entrate in vigore le modifiche apportate dal California Privacy Rights Act (CPRA) al California Consumer Privacy Act del 2018. Molte delle esenzioni temporanee in vigore sono scadute, imponendo ulteriori obblighi alle aziende che trattano i dati personali dei residenti in California, ad esempio per quanto riguarda i dati personali relativi al rapporto di lavoro e la possibilità di opporsi alla vendita dei propri dati personali.
Il 2023 è anche l’anno in cui entreranno in vigore il Colorado Privacy Act (CPA), il Connecticut Data Privacy Act (CDPA), l’Utah Consumer Privacy Act (UCPA) e il Virginia Consumer Data Privacy Act (VCDPA). Il rischio di frammentazione legislativa è imminente e sostanziale, ed è proprio questo tipo di rischio che ha spinto l’Unione Europea ad armonizzare l’approccio normativo. Vedremo se lo stesso avverrà nel 2023 nel caso dell’American Data Privacy and Protection Act («ADPPA») – una proposta di legge federale e generale sulla privacy dei dati.
India – DPDPB
I legislatori indiani intendono presentare quest’anno un disegno di legge molto ambizioso sulla protezione dei dati personali digitali (DPDPB). Una volta entrata in vigore, questa normativa tanto attesa avrà senza dubbio un impatto su ogni tipo di organizzazione, dato il ruolo dell’India come potenza tecnologica e polo globale di outsourcing.
Australia – Proposta di legge sulle sanzioni in materia di privacy e revisione della legge sulla privacy
Le autorità australiane hanno annunciato l’ennesima revisione completa della legge sulla privacy del 1988. La normativa vigente è stata definita «obsoleta e inadeguata alle esigenze dell’era digitale».
Nel frattempo, sempre nel 2022, l’Australia ha approvato il “Privacy Penalty Bill”, che ha inasprito le sanzioni in materia di privacy portandole a livelli paragonabili a quelli introdotti dal GDPR (fino a 50 milioni di AUD) e ha ampliato i poteri normativi dell’Ufficio del Commissario australiano per l’informazione (OAIC) e dell’Autorità australiana per le comunicazioni e i media (ACMA).
Sintesi
Il tempo che scorre inesorabile per la conformità ha appena ricominciato a ticchettare. I team interfunzionali, composti da professionisti dei settori IT, conformità, privacy, legale e da analisti aziendali, dedicheranno molto tempo all’analisi dell’impatto della valanga di novità legislative emerse alla fine dello scorso anno e che si concretizzeranno nel corso del 2023.
Tenete presente che gli sviluppi legislativi qui presentati potrebbero essere più esaustivi. Potete stare certi, tuttavia, che diventeranno argomenti di discussione ricorrenti non solo nel 2023, ma anche negli anni a venire.
