Post di Paolo Taddei

Ricevere un'email da una grande azienda che ti avvisa della compromissione dei tuoi dati privati può farti sentire impotente. Cosa puoi fare al riguardo? Ecco i passaggi immediati da seguire per proteggerti. #DataSecurity #PrivacyTips https://lnkd.in/dyxvecJ3

PROVVEDIMENTO GARANTE SU EMAIL I metadati dell'email sono memorizzati nell'intestazione del messaggio email e includono alcune intestazioni visibili che potresti aver visto, come : A, Da, Cc, Data, Oggetto. Esistono anche numerose intestazioni nascoste, incluse da molti client e fornitori email, che possono rivelare informazioni sul tuo profilo. Il software client potrebbe utilizzare i metadati email per mostrare da chi proviene un messaggio e a che ora è stato ricevuto. I server potrebbero utilizzarlo per determinare dove dev'essere inviato un messaggio email, tra gli altri scopi non sempre trasparenti. I metadati dell'email sono protetti dagli osservatori esterni con il TLS opportunistico, ma sono comunque visualizzabili dal software del client email (o webmail) e da qualsiasi server che trasmetta il messaggio da te a qualsiasi destinatario, incluso il tuo fornitore email. Talvolta i server email utilizzeranno i anche dei servizi di terze parti, per proteggere dallo spam che, generalmente, hanno accesso anche ai tuoi messaggi. I metadati dell'email sono fondamentali per le funzionalità di base dell'email (da dove proviene e dove deve andare). ECCOLA LI!!! Il 6 giugno 2024, il Autorità Garante per la protezione dei dati personali ha pubblicato un nuovo documento di indirizzo riguardante i programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e il trattamento dei metadati. Ecco i punti salienti: 𝐏𝐫𝐨𝐭𝐞𝐳𝐢𝐨𝐧𝐞 𝐝𝐞𝐢 𝐝𝐚𝐭𝐢 : Il documento richiama l'importanza di proteggere i dati personali dei lavoratori secondo il Regolamento (UE) 2016/679 (GDPR). 𝐅𝐢𝐧𝐚𝐥𝐢𝐭𝐚̀: funzionamento delle infrastrutture del sistema della posta elettronica 𝐂𝐨𝐧𝐬𝐞𝐫𝐯𝐚𝐳𝐢𝐨𝐧𝐞 𝐥𝐢𝐦𝐢𝐭𝐚𝐭𝐚 𝐝𝐞𝐢 𝐦𝐞𝐭𝐚𝐝𝐚𝐭𝐢 : È consigliato un periodo di conservazione non superiore a 21 giorni, salvo necessità specifiche - in casi di periodi più ampi necessità di accordo sindacale ex art. 4 c1 L.300/70 e analisi proporzionalità 𝐓𝐫𝐚𝐬𝐩𝐚𝐫𝐞𝐧𝐳𝐚 𝐞 𝐜𝐨𝐫𝐫𝐞𝐭𝐭𝐞𝐳𝐳𝐚: Necessità di informare correttamente i lavoratori sul trattamento dei loro dati. 𝐑𝐞𝐬𝐩𝐨𝐧𝐬𝐚𝐛𝐢𝐥𝐢𝐭𝐚̀ 𝐝𝐞𝐢 𝐝𝐚𝐭𝐨𝐫𝐢 𝐝𝐢 𝐥𝐚𝐯𝐨𝐫𝐨 : Verifica dei presupposti di liceità e adozione di misure adeguate per la sicurezza dei dati. 𝐑𝐮𝐨𝐥𝐨 𝐝𝐞𝐢 𝐟𝐨𝐫𝐧𝐢𝐭𝐨𝐫𝐢 𝐝𝐢 𝐬𝐞𝐫𝐯𝐢𝐳𝐢: Importanza di progettare servizi che rispettino i principi di protezione dei dati fin dalla progettazione.

Metadati: le nuove linee guida del Garante by Alberto Bozzo "... Il Garante per la protezione dei dati personali, con una decisione del 6 giugno (diffusa ieri), ha rielaborato significativamente le direttive pubblicate il 6 febbraio sui tempi di conservazione dei #metadati delle #email, che avevano sollevato preoccupazioni tra le aziende. Il nuovo documento sembra trovare un equilibrio più gestibile a livello aziendale rispetto alla versione precedente. La principale novità introdotta dalle nuove linee guida del Garante riguarda la definizione di metadati. Ora, questa definizione comprende le informazioni registrate nei log generati dai sistemi server che gestiscono e distribuiscono la posta elettronica. Questi metadati includono dettagli sulle operazioni di invio, ricezione e smistamento dei messaggi, come gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client, gli orari di invio, ritrasmissione o ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in alcuni casi, anche l’oggetto del messaggio inviato o ricevuto. Questa nuova definizione, molto più dettagliata rispetto alla precedente, è accompagnata da un chiarimento fondamentale: i metadati a cui si riferisce il documento sono quelli #registrati #automaticamente dai sistemi di posta elettronica." https://lnkd.in/dbRmBKxN

In merito al Documento di indirizzo della The Italian Data Protection Authority “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati" avevo scritto in precedenza. L'ultimo post è qui: https://lnkd.in/eGihdhe3. Speravo di leggere più articoli e interpretazioni in merito, invece niente (come spesso succede, trovo tante cose che commentano nell'immediato o nel futuro e troppo poche che ragionano anche con un pelo di ritardo). Segnalo l'approccio di un fornitore di email. Per evitare problemi, evito di dare il nome, ma si tratta di un soggetto piuttosto grande. Questo fornitore dice che tratta i log delle email come titolare. Questo quindi toglie al cliente la titolarità di questi log e non l'obbliga più alla cancellazione. Questo prevede quindi che il cliente non abbia accesso ai log, nemmeno su richiesta, soprattutto se oltre ai 21 giorni, visto che l'obiettivo del Provvedimento del Garante è evitare l'accesso del datore di lavoro ai dati dei lavoratori. Le Condizioni contrattuali del fornitore devono riportare qualcosa come: “i dati di cui parla il Provvedimento sono log di comunicazione elettronica; essi non sono oggetto di fornitura di servizio, ma sono trattati dal fornitore in qualità di titolare del trattamento, per sue finalità non rientranti nella disciplina del diritto del lavoro (p.e. controllo prestazioni, sicurezza informatica)”. Lo stesso fornitore di email dovrebbe quindi mettere a disposizione, per esempio sul sito web, un'informativa per gli utilizzatori dell’email dei clienti (segnalo che l'informativa pubblica del fornitore di cui parlo non mi sembra chiara su questo punto). A sua volta, il datore di lavoro dovrebbe integrare l'informativa #privacy al lavoratore indicando che l'uso dell'email implica il trattamento dei dati da parte di altro titolare. Potrebbe anche riportare il link dell'informativa del fornitore, se disponibile. Rimarrebbe aperto il caso delle caselle email del personale del fornitore stesso. Per questo, al momento, non ho risposte.

📬 Garante Privacy: 4 casi da non perdere! Nella nuova newsletter del Garante per la Protezione dei Dati Personali, emergono casi interessanti. abbiamo: il solito telemarketing fuori controllo (ma davvero succede ancora?), dati personali esposti da una PA, tutela dei minori e nuovi strumenti per la compliance. Ecco un riepilogo: 1️⃣ Sky Italia e il telemarketing: 842 mila euro di sanzione 📞 Il Garante ha rilevato diverse irregolarità nelle attività di telemarketing di Sky Italia. ⚠️ Tra i problemi principali: - Contatti effettuati senza controllare il Registro Pubblico delle Opposizioni. - Utilizzo di consensi raccolti anni fa, non più validi dopo l’entrata in vigore del GDPR. - Consensi gestiti in maniera poco trasparente, con file Excel modificabili. 2️⃣ INPS e i dati personali nei concorsi pubblici: 50 mila euro di sanzione 📄 L’INPS ha pubblicato online dati personali di oltre 5.000 partecipanti a un concorso, includendo informazioni sensibili come punteggi e causali di salute. 🔍 Le criticità: Esporre dati così dettagliati online ha causato rischi reputazionali, soprattutto per alcuni candidati. 3️⃣ Protezione dei minori sui social: consenso di entrambi i genitori obbligatorio 👶 Il Garante è intervenuto su un caso in cui un padre aveva pubblicato una foto del figlio su Facebook senza il consenso della madre. 💡 Come è finita? Il padre è stato ammonito, la foto rimossa, e il Garante ha ribadito che per pubblicare immagini di minori serve il consenso di entrambi i genitori. 4️⃣ Codice di Condotta per i software gestionali: un passo avanti per la compliance 💻 Il Garante ha approvato un Codice di Condotta per i produttori di software gestionali, con l’obiettivo di garantire conformità al GDPR. 🔑 Cosa cambia? Si punta su trasparenza e sicurezza, con software progettati secondo i principi “by design” e “by default”. https://lnkd.in/d2_fRWdX #Privacy #GDPR #Compliance #DataProtection 

Vi siete mai chiesti sei i vostri dati personali sono al sicuro? Date un'occhiata al post e per qualsiasi informazione scriveteci

L’Autorità Garante per la protezione dei dati personali con provvedimento n. 364 del 6 giugno 2024, ha pubblicato il documento di indirizzo aggiornato e modificato a seguito della consultazione pubblica, concernente i programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo ed il trattamento dei metadati delle email dei dipendenti. Il Garante precisa preliminarmente che il documento non reca prescrizioni né introduce nuovi adempimenti a carico dei titolari del trattamento ma intende offrire una ricostruzione sistematica delle disposizioni applicabili in tale specifico ambito, alla luce di talune precedenti decisioni dell’Autorità, al solo fine di richiamare l’attenzione su alcuni punti di intersezione tra la disciplina di protezione dei dati e le norme che stabiliscono le condizioni per l’impiego degli strumenti tecnologici nei luoghi di lavoro. Per il Garante, trattasi delle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni client (MUA = Mail User Agent). I metadati cui ci si riferisce il documento del Garante (sia quelli di origine prettamente tecnica sia quelli, come il campo “Oggetto”, determinati dagli utenti) presentano la caratteristica di essere registrati automaticamente dai sistemi di posta elettronica, indipendentemente dalla percezione e dalla volontà dell’utilizzatore. Tale disposizione introduce un’eccezione, rispetto al più restrittivo regime previsto dal comma 1, che, secondo il Garante, deve essere oggetto di stretta interpretazione, considerate le responsabilità anche sul piano penale che possono derivare dalla violazione del predetto quadro normativo. Per l’applicabilità di tale eccezione, l’attività di raccolta e conservazione dei soli metadati/log necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, se riferite alle email dei dipendenti, potrà quindi essere effettuata, in base al provvedimento del Garante, di norma, per un periodo limitato a pochi giorni, che non dovrebbe comunque superare i 21 giorni. L’eventuale conservazione per un termine ancora più ampio potrà essere effettuata, solo in presenza di particolari condizioni che ne rendano necessaria l’estensione, comprovando adeguatamente, in applicazione del principio di accountability previsto dall’art. 5, par. 2, del GDPR, le specificità della realtà tecnica e organizzativa del titolare. Spetta in ogni caso al titolare adottare tutte le misure tecniche ed organizzative per: assicurare il rispetto del principio di limitazione della finalità l’accessibilità selettiva da parte dei soli soggetti autorizzati e adeguatamente istruiti.

https://lnkd.in/dMPZNg5R Il Garante per la protezione dei dati personali è tornato sul tema della conservazione dei metadati, adottando una versione aggiornata del famoso documento di indirizzo di qualche mese fa. Vediamo cos’è cambiato e in che termini

👉 Conservazione metadati mail dipendenti: aggiornamenti dal Garante in merito al tempo e alle modalità di conservazione. ⏰   Come ricorderete, quando a febbraio 2024 è stato pubblicato in Gazzetta il documento di indirizzo del Garante Privacy sul termine di conservazione dei metadati limitato a 7 giorni si è sollevato un polverone, tanto da spingere l’autorità a sospenderne l’applicazione e ad indire una consultazione pubblica. 🤦♂️   Al termine della consultazione il Garante ha aggiornato il documento di indirizzo con il provvedimento del 6 giugno 2024, in cui:    👉  ha indicato in modo definitivo il termine di conservazione dei metadati delle email dei dipendenti, portandolo da 7 a 21 giorni.   👉 ha fornito importanti chiarimenti su come effettuare il trattamento suddetto rispettando la normativa e, soprattutto, in quali casi è possibile conservare i metadati per un termine più lungo. 😏   Potete trovare tutte le indicazioni al link https://lnkd.in/dnj83zAV

**#Come cancellare i tuoi dati da 23andMe: un'analisi critica** ===================================================== La società di test del DNA 23andMe è recentemente diventata oggetto di dibattito a causa delle sue decisioni aziendali e della sicurezza dei dati. Di recente, l'azienda ha licenziato tutti i membri del consiglio di amministrazione tranne la CEO Anne Wojcicki, che aveva in programma di portare l'azienda a essere privata. Ma non è tutto, la società deve ancora fare i conti con le conseguenze di una grave violazione della sicurezza dei dati avvenuta lo scorso ottobre. In questo articolo, analizzeremo i passaggi necessari per cancellare i dati da 23andMe e discuteremo dei pro e contro di questa decisione. **Come cancellare i dati da 23andMe** ----------------------------------- Secondo l'articolo pubblicato da MIT Technology Review, la procedura per cancellare i dati da 23andMe è la seguente: 1. Accedi al tuo account 23andMe e vai alla sezione "Account" e poi "Impostazioni di sicurezza". 2. Clicca su "Cancella account" e conferma la tua richiesta. 3. Immetti la tua password e clicca su "Cancella account" per confermare. **Pro e contro della cancellazione dei dati** --------------------------------------------- Ci sono diversi motivi per cui potresti voler cancellare i tuoi dati da 23andMe: * **Sicurezza dei dati**: la violazione della sicurezza dei dati dell'ottobre scorso potrebbe aver messo a rischio la tua privacy e la sicurezza dei tuoi dati. * **Preoccupazioni etiche**: alcune persone potrebbero avere preoccupazioni etiche sulla raccolta e sull'utilizzo dei dati del DNA da parte di 23andMe. * **Perdita di fiducia**: la decisione di portare l'azienda a essere privata potrebbe aver causato la perdita di fiducia nei confronti di 23andMe. Tuttavia, ci sono anche alcuni motivi per cui potresti non voler cancellare i tuoi dati: * **Perdita di informazioni**: cancellare i dati potrebbe significare perdere l'accesso a informazioni importanti sulla tua salute e sulla tua storia familiare. * **Limitate opzioni alternative**: non ci sono molte alternative a 23andMe per quanto riguarda la raccolta e l'analisi dei dati del DNA. **Invito a rispondere** ------------------------ Siamo curiosi di sapere cosa pensi riguardo alla cancellazione dei dati da 23andMe. Hai mai considerato di cancellare i tuoi dati? Quali sono stati i tuoi motivi per farlo o per non farlo? Condividi con noi le tue esperienze e pensieri sui commenti qui sotto! #23andMe #datiprivati #sicurezzadeidati #etica #salute #genetica #dati #privacysocial