I costi non economici della sicurezza

Quanto costa non avere i sistemi informatici al sicuro? Economicamente molto: perdite di dati di clienti, sanzioni, risarcimenti danni e altri guai facilmente immaginabili. Ma non sono i soli costi da affrontare, ce ne sono altri ben più gravi e incidenti a lunga scadenza. Anzitutto la perdita di credibilità: chi vorrà più fare acquisti sul nostro e-commerce se i dati che vi ripongono sono stati violati in passato? Le voci corrono e i forum e la reputazione sono territori, insieme ai social network, difficili da presidiare e capacissimi di divulgare notizie (sopratutto sgradevoli) in tempi rapidi. Ma anche la fiducia dei fornitori può venire meno poiché se non abbiamo cura di tutelare i dati che ci vengono forniti, come possiamo garantire che listini, condizioni di favore o altro non vengano diffusi e possano rappresentare un danno anche per loro? La sicurezza dei dati ha certamente dei costi, un risk assessment ha ovviamente dei costi notevoli ma di gran lunga inferiori a quelli determinati in sede legale, commerciale e di marketing che generebbe la sua non adozione. Ovviamente tutto deve essere curato e tutelato secondo misura, ma anche la più piccola impresa deve fare delle piccole/grandi operazioni periodiche di autotutela che, se non paragonabili alle imposizioni previste per sistemi complessi, hanno la loro ragion d'essere:

• cambiare le password di accesso ai computer almeno una volta ogni tre mesi
• cambiare le password di accesso al sito aziendale almeno una volta al mese
• fare il backup periodico, almeno una volta alla settimana, dei contenuti degli hard disk dei computer
• fare il backup mensile del sito internet
• modificare ogni mese la password della casella di posta elettronica
• aggiornare regolarmente sistema operativo, antivirus e firewall
• imporre delle procedure scritte da sottoporre ai dipendenti per evitare incidenti imprevedibili

Un'azienda funziona bene quando, oltre a saper giocare con capacità e oculatezza sui mercati, oltre a saper acquistare, gestire il patrimonio e trattare con imprese e istituzioni, manifesta attenzione e pone sotto tutela il proprio patrimonio indispensabile: il database dei clienti.
Qualunque sia la sua dimensione.

Il nuovo Regolamento Europeo sulla Privacy: un treno perduto. Per ora.

Sembra ormai improbabile che il nuovo regolamento sulla protezione dei dati personali, che dovrebbe sostituire le varie leggi sulla Privacy nei Paesi aderenti all'UE (da noi il D.lgs. 196/03), sarà varato quest'anno. Ormai le elezioni europee sono alle porte e le campagne elettorali hanno la precedenza su tutto.
Se ne parlerà dopo l'insediamento della nuova commissione che riprenderà in esame il lavoro svolto, dunque ci attendono tempi lunghi.
Siamo di fronte al solito problema atavico del Vecchio Continente: le gelosie dei vari Paesi membri, le lobby e la lentezza (spesso voluta) decisionale, creano una zavorra insostenibile nella competizione globale. Infatti, fra i vantaggi ventilati dai relatori del nuovo Regolamento, vi era la convenienza dei navigatori a rivolgersi, per i loro acquisti, a siti internet di e-commerce europei anziché di altri continenti (USA in primis) meno garantisti circa la protezione dei dati personali.
Ma non solo, l'istituzione del Privacy Officer, quale figura obbligatoria per imprese di determinate dimensioni e caratteristiche nonché Enti pubblici e privati, rappresentava una notevole riduzione del rischio di sanzioni da parte delle Authority in quanto si tratta di una figura di tipo dirigenziale e autonoma, dunque garante dell'applicazione delle norme con la necessaria competenza.
È auspicabile, e anche probabile, che il futuro regolamento prenda le mosse dalla bozza attuale che, probabilmente verrà emendata in meglio (si spera), ma è fin troppo evidente che, ancora una volta, si è giunti in ritardo alla stazione e il treno, anche questa volta, è partito.

Tipologia dei dati nella privacy

Continuando il percorso avviato ieri sulla Privacy (pronunciata "pràivasi" in americano e "prìvasi" in inglese), oggi affrontiamo un tema delicato che spesso è oggetto di confusione: la tipologia dei dati definiti dal codice (art. 4 DL. 196/03) e la gestione del cosiddetto benefondi.
I dati sono classificati in tre categorie:

• Dati personali
• Dati sensibili
• Dati giudiziari

I dati personali sono le informazioni relative alle persone fisiche, alle persone giuridiche, ad enti e associazioni, sia direttamente che indirettamente e quindi, come recita la lettera b dell'art. 4, ivi compreso il numero di identificazione personale. Dunque tutto quello che permette di risalire ad una persona, ditta ecc. (nome e cognome, indirizzo, ragione sociale, indirizzo di posta elettronica ecc.).
Il codice distingue anche i dati identificativi (lettera c) che sono i dati personali attraverso i quali giungiamo all'identificazione diretta dell'interessato (persona fisica o giuridica, ente o associazione di cui si trattano i dati).
I dati sensibili sono invece quelli più delicati e si distinguono in informazioni che permettono di risalire a:

• scelte religiose, filosofiche o di altro genere
• opinioni politiche
• adesione a partiti o a sindacati
• vita sessuale
• stato di salute

Data la delicatezza delle implicazioni dei dati sensibili, si comprende come il legislatore abbia posto paletti più restrittivi riguardo a questi ultimi ed in particolare nella gestione del consenso (di cui parleremo in seguito) che, anticipiamo qui, secondo l'art. 23, comma 4 è obbligatorio quando appunto tratta i dati sensibili.

I dati giudiziari sono invece quei dati personali relativi a informazioni riguardanti il casellario giudiziale (meglio conosciuto come fedina penale), lo stato di indagato o imputato, e tutte le informazioni relative a sanzioni amministrative e carichi pendenti. Anche qui la loro delicatezza impone che vengano equiparati, come trattamento, ai dati sensibili.

Ma andiamo oltre.

Spesso un imprenditore riceve un assegno da un cliente a fronte di una fornitura. In caso di dubbi sulla sua copertura egli telefona alla banca per richiedere il cosiddetto benefondi, in altre parole per sapere se quell'assegno è scoperto o meno. Talvolta la banca si rifiuta di fornire tale informazione sollevando questioni di privacy che c'entrano fino ad un certo punto.

A tal proposito il Garante della Privacy con la delibera del 25 ottobre 2007 e ancor prima, nel 1998, con il parere del 30 novembre 1998, afferma che "La legge n. 675/1996 in materia di dati personali non ha introdotto alcun divieto nei confronti del "benefondi"" e, nelle linee guida della delibera del 25 ottobre 2007 n.1457247, specifica all'art. 3.5 "La prassi del benefondi, tuttavia, deve trovare corretta attuazione: le informazioni devono essere fornite ai soli soggetti legittimati all'incasso o alla negoziazione dell'assegno, anziché a terzi non autorizzati; inoltre, le informazioni fornite dalla banca devono essere esatte, aggiornate e non eccedenti rispetto allo scopo per il quale il benefondi è utilizzato, che è relativo alla semplice informazione dell'esistenza o meno sul conto corrente del cliente della banca trattaria dei fondi necessari al pagamento dell'assegno".

Siti internet e privacy

La privacy è un insieme di regole che completano il dettato Costituzionale sui diritti dell'individuo che in Italia è giunto a compimento negli anni novanta come molti altri Paesi europei (Belgio dal 1992, Grecia, dal 1997, Polonia dal 1997, Portogallo dal 1998, Svizzera dal 1992, Spagna dal 1999, Gran Bretagna dal 1998 e dopo la Francia (1978) e l'Irlanda dal (1988) e prima di Germania (2001) e Lussemburgo (2002).
[fonte: http://www.privacy.it/linkpriv1.html]

La Privacy in Rete è sempre più richiesta, soprattutto dai navigatori adulti, e quindi maggiormente consapevoli; maggiore è il volume di informazioni che circolano in Internet, maggiori sono i rischi e le vulnerabilità che possono manifestarsi e che bisogna prevenire e mitigare.

Per questo, a partire da oggi ne parleremo costantemente come parte integrante di questo blog.

Fra i concetti che sempre più frequentemente ci si trova a discutere con i clienti vi è quello di TRATTAMENTO DEI DATI. Se ne parla tanto ma i confini sono sempre poco definiti; il Codice della Privacy è chiaro a questo proposito, i trattamenti dei dati (art. 4, comma 1, lettera D), consistono in:

• Raccolta
• Registrazione
• Organizzazione
• Conservazione
• Consultazione
• Elaborazione
• Modificazione
• Selezione
• Estrazione
• Raffronto
• Utilizzo
• Interconnessione
• Blocco
• Comunicazione
• Diffusione
• Cancellazione
• Distruzione

anche quando i dati non sono registrati nelle banche dati, cioè questi trattamenti possono essere non solo elettronici ma anche cartacei.

ABC di internet per l'impresa

Le cose cambiano e in fretta. Ad un anno dall'uscita di "Internet per l'artigianato e la piccola impresa" a cura di CNA Torino e Camera di Commercio di Torino, è disponibile su Amazon in formato Kindle il nuovo libro scritto con Luciano Corino dal titolo "ABC di internet per l'impresa", scaricabile qui.

Il testo tiene conto delle novità in fatto di privacy e normative e di un nuovo approccio al web marketing nei due anni trascorsi dalla realizzazione del primo volume (pubblicato nel 2012 ma realizzato nel 2011).

Il successo di consensi e apprezzamenti prodotto dal libro precedente ci ha stimolati a mettere in cantiere nuove idee e nuove iniziative editoriali che, a breve, saranno disponibili con nuovi titoli editi a cura di Applicando srl.

Negli incontri e presentazioni che hanno costellato il successo della guida precedente, molte sono state le richieste di proseguire il percorso intrapreso con un testo che adeguasse i contenuti alle novità e continui cambiamenti che un settore come internet comporta, per cui, in questi giorni, abbiamo dato vita al nuovo progetto editoriale, sperando che soddisfi le esigenze di una platea sempre più vasta di imprese che operano nell'artigianato e nella piccola e media impresa.