{"id":1809,"date":"2019-07-19T00:00:00","date_gmt":"2019-07-18T22:00:00","guid":{"rendered":"https:\/\/dev.pgmtechnology.it\/?p=1809"},"modified":"2023-01-05T15:17:11","modified_gmt":"2023-01-05T14:17:11","slug":"privacy-estero-continuano-a-fioccare-sanzioni","status":"publish","type":"post","link":"https:\/\/www.leexe.it\/en\/privacy-estero-continuano-a-fioccare-sanzioni\/","title":{"rendered":"Privacy: Estero. Continuano a fioccare sanzioni"},"content":{"rendered":"\n

\u00c8 tempo di sanzioni in materia di protezione dei dati personali. Dopo un primo periodo di assestamento sia da parte delle autorit\u00e0 che delle imprese, le autorit\u00e0 di controllo degli Stati membri UE hanno iniziato ad emettere i primi provvedimenti sanzionatori ai sensi del Regolamento 2016\/679\/UE (\u201cGDPR<\/strong>\u201d).<\/p>\n\n\n\n

Oltre al provvedimento emesso di recente dal CNIL, proponiamo di seguito una breve rassegna dei principali casi pi\u00f9 interessanti emersi nell’ultimo periodo. Diciamo subito che l’interesse \u00e8 legato dal minimo comune denominatore di essere casi tutti incentrati sul tema delle misure tecniche e organizzative di sicurezza<\/strong>.<\/p>\n\n\n\n

ICO: Intention to fine British Airways<\/h2>\n\n\n\n

Lo scorso 8 luglio l’ICO (Information Commissioner’s Office<\/em> \u2013 Autorit\u00e0 di Controllo del Regno Unito) ha pubblicato sul proprio sito internet una dichiarazione con cui ha comunicato la propria intenzione di irrogare una sanzione amministrativa di 183,39 milioni di sterline nei confronti della societ\u00e0 British Airways: una somma pari ben all’1,5% del fatturato di British Airways e per ci\u00f2 stesso meritevole di menzione, sebbene non si sappia se tale somma coincider\u00e0 con l’ammenda che verr\u00e0 infine comminata.<\/p>\n\n\n\n

L’iniziativa dell’ICO \u00e8 nata da un evento di data breach<\/em> notificato a settembre 2018. Un attacco informatico posto in essere da alcuni hacker che, sfruttando illecitamente il traffico degli utenti del sito internet di British Airways, dirottavano gli stessi utenti su un sito fraudolento attraverso il quale sarebbero stati raccolti dati personali riferiti a circa 500.000 clienti (tra cui in gran parte numeri di carte di credito).<\/p>\n\n\n\n

L’ICO ha, quindi, contestato l’inadeguatezza del livello di protezione dei sistemi informatici posti a presidio del sito internet della compagnia aerea, aspetto considerato cruciale per la protezione effettiva dei diritti fondamentali degli interessati.<\/p>\n\n\n\n

Merita sottolineare anche che la stessa ICO ha valorizzato la collaborazione prestata da parte di British Airways nei mesi successivi al data breach<\/em> per quanto riguarda le indagini dell’autorit\u00e0, nonch\u00e9 l’attivazione per migliorare la sicurezza dei propri sistemi informatici.<\/p>\n\n\n\n

ICO: Intention to fine Marriott International Inc.<\/h2>\n\n\n\n

Sempre ICO Sempre misure di sicurezza informatiche carenti. Prima volta responsabilit\u00e0 per fatto altrui a causa di una negligente due diligence<\/em>. Lo scorso 9 luglio l’Autorit\u00e0 di Controllo del Regno Unito ha pubblicato sul proprio sito internet una dichiarazione<\/a><\/strong> nella quale ha rivelato la propria intenzione di irrogare una sanzione di circa 100 milioni di sterline alla societ\u00e0 Marriott International Inc. Ancora una volta, l’iniziativa dell’ICO trae origine da un evento di data breach<\/em> avvenuto a novembre 2018 e notificato dalla stessa Marriott all’ICO. Si \u00e8 trattato, come nel caso di British Airways, di un attacco informatico. Nello specifico, il sistema di sicurezza del database<\/em> dedicato alle prenotazioni della catena di hotel Starwood \u2013 poi acquisita da Marriott \u2013 sarebbe stata violato da alcuni hacker, i quali avrebbero cos\u00ec avuto accesso a circa 339 milioni di dati relativi a prenotazioni, di cui circa 30 milioni riferiti a soggetti residenti in 31 paesi dello Spazio Economico Europeo (\u201cSEE<\/strong>\u201d).<\/p>\n\n\n\n

A seguito del data breach<\/em> l’ICO ha avviato un’indagine dalla quale \u00e8 emerso che la sicurezza dei sistemi del database sarebbe stata compromessa almeno dal 2014 ma che Marriott, dopo aver acquisito Starwood nel 2016, ne sarebbe giunta a conoscenza soltanto nel 2018, disvelando cos\u00ec una rilevante negligenza da parte di Marriott nello svolgimento delle operazioni di due diligence<\/em> preliminari all’acquisto della catena Starwood. Come ha ricordato l’Information Commissione<\/em>r Elizabeth Denham, infatti: \u201cThe GDPR makes it clear that organisations must be accountable for the personal data they hold. This can include carrying out proper due diligence<\/strong> when making a corporate acquisition, and putting in place proper accountability measures to assess not only what personal data has been acquired, but also how it is protected\u201d<\/em>.<\/p>\n\n\n\n

Pure in questo caso, l’ICO ha riconosciuto (e sicuramente se ne terr\u00e0 conto in fase di decisione sulla sanzione) come Marriott, nei mesi successivi al data breach<\/em>, abbia collaborato alle indagini e si sia concretamente attivata per migliorare la sicurezza dei propri sistemi informatici. Incidentalmente, vale a nostro avviso una ulteriore riflessione, legata specificamente al caso de quo<\/em>: se e in che termini una sanzione di questo ammontare, eziologicamente ricondotta dall’autorit\u00e0 ad una scorretta\/negligente due diligence<\/em> potr\u00e0 ricadere sugli studi legali e sugli advisor<\/em> che hanno assistito Marriott nell’operazione corporate<\/em>? Profili assicurativi a parte, la domanda merita a nostro avviso una riflessione anche solo dal punto di vista professionale e sar\u00e0 interessante seguirne gli eventuali sviluppi<\/p>\n\n\n\n

Olanda: l’Autoriteit Persoonsgegevens emette la prima sanzione nei confronti di un ospedale<\/h2>\n\n\n\n

Lo scorso 16 luglio l’AP (Autoriteit Persoonsgegevens<\/em> \u2013 Autorit\u00e0 di Controllo dei Paesi Bassi) ha irrogato la prima sanzione in materia di protezione dei dati personali da quando il GDPR \u00e8 applicabile.<\/p>\n\n\n\n

A subire la sanzione l’ospedale The Haga de L’Aja, condannato per non aver garantito un sufficiente livello di protezione alle cartelle cliniche dei pazienti dell’ospedale. Anche in questo caso, quindi, alla base della decisione dell’AP vi sono le misure di sicurezza tecnico-organizzative. Tutto \u00e8 nato a seguito della denuncia di un noto personaggio televisivo olandese, il quale ha proposto un ricorso innanzi all’AP in quanto decine di operatori della struttura ospedaliera avevano avuto accesso alla sua cartella clinica pur non essendo autorizzati a ci\u00f2.<\/p>\n\n\n\n

Ne sono emerse delle falle generali nel livello di protezione dei dati personali garantita dal The Haga, che hanno portato ad una sanzione pecuniaria di 460.000 euro. L’AP ha, inoltre, concesso termine all’ospedale per migliorare i propri sistemi di sicurezza \u2013 sia informatici che organizzativi \u2013 entro il 2 ottobre 2019. In caso di nuova trasgressione, il The Haga subir\u00e0 una sanzione di 100.000 euro a settimana, sino ad un massimo di 300.000 euro.<\/p>\n\n\n\n

di Natalia Jurisch<\/p>\n","protected":false},"excerpt":{"rendered":"

\u00c8 tempo di sanzioni in materia di protezione dei dati personali. Dopo un primo periodo di assestamento sia da parte delle autorit\u00e0 che delle imprese, le autorit\u00e0 di controllo degli Stati membri UE hanno iniziato ad emettere i primi provvedimenti sanzionatori ai sensi del Regolamento 2016\/679\/UE (\u201cGDPR\u201d). Oltre al provvedimento emesso di recente dal CNIL, […]<\/p>\n","protected":false},"author":20,"featured_media":3846,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"none","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"both","_seopress_redirections_param":"","_seopress_redirections_type":301,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"iawp_total_views":5,"footnotes":""},"categories":[],"tags":[],"class_list":["post-1809","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1809","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/users\/20"}],"replies":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/comments?post=1809"}],"version-history":[{"count":0,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1809\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media\/3846"}],"wp:attachment":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media?parent=1809"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/categories?post=1809"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/tags?post=1809"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}