Il Blog di Ius Privacy

Il Garante della privacy lo scorso aprile ha sanzionato un'azienda ospedaliera e il suo fornitore per la violazione della normativa privacy in relazione al trattamento di whistleblowing. In particolare dai controlli effettuati presso l'azienda ospedaliera sono emerse varie violazioni del Gdpr. Nel dettaglio laccesso allapplicazione web di whistleblowing basata su un software Gestione Newsletter open source avveniva in maniera illecita dato che i sistemi erroneamente configurati registrano e conservano i log di navigazione degli utenti a tal punto da consentire lidentificazione di chi la utilizzava compresi i potenziali segnalanti ledendo cos il principio cardine del trattamento in questione ovvero la riservatezza. La...

Riportiamo di seguito la traduzione in italiano della Nota informativa emanata da EDPB (European Data Protection Board) sui trasferimenti dei dati ai sensi del GDPR verso gli Stati Uniti dopo l'adozione della decisione di adeguatezza il 10 luglio 2023. Il 10 luglio 2023 la Commissione Europea ("la Commissione") ha deliberato la decisione del 10. 7. 2023 ai sensi del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sull'adeguatezza del livello di protezione dei dati personali e ai sensi del quadro UE-USA sulla privacy dei dati ("la decisione sull'adeguatezza") che contiene in allegato il quadro UE-USA sulla privacy dei dati ("DPF"). In tal...

Il 10 luglio 2023 la Commissione europea ha adottato la decisione di adeguatezza per il quadro UE-USA sul trasferimento dei dati personali (DPF o Data Privacy Framework). La decisione di adeguatezza attesta che gli Stati Uniti garantiscono un livello di protezione adeguato - rispetto a quello dell'UE - per i dati personali trasferiti dall'UE alle societ statunitensi che partecipano al quadro UE-USA DPF. La decisione di adeguatezza fa seguito alla firma da parte degli Stati Uniti di un ordine esecutivo sul "rafforzamento delle garanzie per le attivit di intelligence dei segnali degli Stati Uniti" che ha introdotto nuove garanzie vincolanti per...

Introduzione Gli attacchi di tipo XSS (Cross-Site Scripting) sono una delle vulnerabilit pi comuni e pericolose che possono affliggere le applicazioni web. Consentono agli aggressori di iniettare codice malevolo all'interno delle pagine web visualizzate dagli utenti compromettendo la sicurezza delle applicazioni stesse e mettendo a rischio le informazioni estremamente personali degli utenti. In questo articolo esploreremo in dettaglio cosa sono gli attacchi di tipo XSS come funzionano e forniremo esempi pratici per una migliore comprensione. Cos' un attacco di tipo XSS (Cross-Site Scripting) Un attacco di tipo XSS si verifica quando un aggressore sfrutta una falla di sicurezza all'interno di un'applicazione web...

Con il presente articolo forniamo di seguito alcuni esempi di violazione dei dati personali che possono compromettere la riservatezza delle caselle di posta elettronica: Accesso non autorizzato: Un modo ovvio per violare la riservatezza di una casella di posta elettronica ottenere accesso senza autorizzazione. Ci pu accadere tramite il furto delle credenziali di accesso (ad esempio tramite phishing) l'uso di password deboli o facilmente indovinabili o l'accesso non autorizzato da parte di terze persone. Phishing: Il phishing un metodo in cui gli aggressori cercano di indurre gli utenti a fornire le proprie informazioni personali o di accesso spesso utilizzando e-mail o siti...

Gli attacchi di SQL injection sono una forma di attacco informatico in cui un aggressore sfrutta delle vulnerabilit presenti in un'applicazione web per inserire del codice SQL malevolo all'interno di una query SQL eseguita dal database sottostante. Il nome "SQL injection" deriva dal fatto che l'attaccante inietta del codice SQL non valido all'interno delle query. Gli attacchi di SQL injection possono avvenire quando un'applicazione web non valida o filtra in modo insufficiente l'input fornito dagli utenti prima di utilizzarlo in una query SQL. Questo pu consentire all'attaccante di manipolare il comportamento previsto dell'applicazione e ottenere accesso non autorizzato al database o...

Lo Smishing (o phishing tramite SMS) una forma di truffa attraverso messaggi di testo e sistemi di messaggistica (compresi quelli delle piattaforme social media) per appropriarsi di dati personali a fini illeciti. I messaggi di smishing invitano i destinatari a compiere azioni come: cliccare dei link che conducono o ad un form online in cui inserire dati personali dati bancari o della carta di credito o per installare sullo smartphone della vittima programmi malevoli scaricare un allegato che pu anch'esso contenere programmi malevoli rispondere ai messaggi ricevuti inviando dati personali come il codice fiscale il PIN del bancomat o quello utilizzato per...

Come illustrato allinterno del Regolamento Europeo 679/2016 (GDPR) forniamo le linee guida che descrivono i ruoli privacy relativamente al trattamento di dati personali. Titolare del Trattamento: Lart. 4 n. 7 del GDPR definisce Titolare del Trattamento (Data Controller) la persona fisica o giuridica la pubblica amministrazione e qualsiasi altro ente associazione od organismo che nello svolgimento dellattivit di trattamento dei dati personali definisce le finalit e i mezzi comprese le misure di sicurezza da adottare sia che agisca unicamente che con altri Titolari. LArticolo 24 del GDPR tenendo conto dei rischi legati ai diritti e le libert delle persone fisiche definisce quali...

La lista di seguito costituisce un elenco di trattamenti per cui secondo il Garante Privacy Francese (CNIL) non necessario eseguire la Valutazione dImpatto Privacy (DPIA). L'esecuzione di un'operazione di trattamento presente nellelenco di seguito non esonera il titolare del trattamento dal rispetto degli altri obblighi previsti dal GDPR. I trattamenti anche esenti da analisi di impatto devono essere valutati per la conformit al GDPR sia dal punto di vista legale che in termini di sicurezza. In conformit con le linee guida del GDPR in caso di dubbio sulla necessit di effettuare una valutazione d'impatto privacy (DPIA) si raccomanda di eseguirne una. RISORSE...

Il Garante blocca ChatGPT in Italia. Il software sviluppato da OpenAi allesame dellAutorit. Nel provvedimento il Garante Privacy contesta: la mancanza di una informativa agli utenti e a tutti gli interessati i cui dati vengono raccolti da OpenAI l'assenza di una base giuridica che giustifichi la raccolta e la conservazione massiccia di dati personali allo scopo di addestrare gli algoritmi sottesi al funzionamento della piattaforma linesattezza del trattamento di dati personali degli interessati in quanto le informazioni fornite da ChatGPT non sempre corrispondono al dato reale lassenza di qualsivoglia filtro per la verifica dellet degli utenti nonostante il servizio secondo quanto...