CRONACHE DI UN GDPR-DAY A ROMA
LINK AL PROGRAMMA UFFICIALE:
https://www.gdprday.it/il-programma-di-roma-2021/
INDICE DEGLI INTERVENTI
Introduzione
Ore 08:30 - Check-in dei partecipanti e Saluti di Benvenuto
Ore 09:40 - Un anno da Garante Privacy
Ore 10:20 - BYOD e TYWD
Ore 11:20 - Pausa Caffè
Ore 11:55 - Privacy e marketing, tra Big Data e profilazione
Ore 12:25 - Nuove regole ed adempimenti per i trasferimenti di dati extra-UE:
cosa bisogna fare dopo la sentenza SCHREMS II
Ore 12:55 - La criminalità nel Dark Web
Ore 13:25 - Pausa Pranzo
Ore 14:50 - L’adeguamento di un sito web, tra teoria, pratica e Legal Design
Ore 15:20 - Cosa fare in caso di ispezione. Le sanzioni e come evitarle
Ore 15:50 - Analisi di conformità degli strumenti di comunicazione elettronica per usi aziendali e professionali nel 2021
Ore 16:20 - Il Registro dei Trattamenti
Ore 16:50 – Domande agli esperti
Conclusioni
INDICE DELLE FIGURE
- Figura 1 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-byod-e-tywd-limpatto-sui-dati-delluso-promiscuo-dei-dispositivi-digitali
- Figura 2 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-privacy-e-marketing-tra-big-data-e-profilazione
- Figura 3 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-nuove-regole-ed-adempimenti-per-i-trasferimenti-di-dati-extraue-cosa-bisogna-fare-dopo-la-sentenza-schrems-ii
- Figura 4 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-la-criminalit-nel-dark-web
- Figura 5 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-ladeguamento-di-un-sito-web-tra-teoria-pratica-e-legal-design
- Figura 6 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-cosa-fare-in-caso-di-ispezioni-in-base-al-gdpr-le-sanzioni-e-come- evitarle
- Figura 7 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-lutilizzo-dellemail-conforme-al-gdpr-analisi-di-conformit-degli-strumenti-di-comunicazione-elettronica-per-usi-aziendali-e-professionali-nel-2021
- Figura 8 - Slide - https://www.slideshare.net/GDPRDay/gdpr-day-2021-il-registro-del-trattamento-non-pi-un-adempimento-ma-uno-strumento-operativo
Giovedì 16 settembre 2021
Hotel Cristoforo Colombo
Introduzione
Il GDPR Day è un evento interamente dedicato al GDPR, il Regolamento (UE) n. 679/2016 relativo alla privacy, al trattamento e alla protezione dei dati personali, organizzato con la partecipazione di relatori, tra i più esperti e qualificati, che si susseguono al microfono nello svolgimento di attività formativa e di informazione: tematiche giuridiche e di progresso scientifico sono regine indiscusse dei singoli interventi proposti all’auditorio.
Dopo una lunga attesa, dovuta allo stato di emergenza sanitaria che ci ha costretti alla virtualità delle relazioni sociali e professionali, si sta pian piano tornando agli eventi in presenza. Con l’osservanza di tutte le norme igieniche e di sicurezza (distanziamento, rilevazione della temperatura, Green-pass, etc.) è stato possibile incontrarsi, confrontarsi e conoscersi di persona. Il 16 settembre, presso la sala congressi dell’hotel Cristoforo Colombo****. Ma in verità, i possessori del Business Ticket si sono incontrati il giorno prima, in via Cola di Rienzo, alle ore 20.30 del 15 settembre, per la “Cena di Networking con staff e relatori del GDPR Day” - al di là della propria formazione personale, gli organizzatori reputano estremamente utile stringere nuove relazioni, soprattutto quando trattasi di conoscere ed interagire direttamente con i principali esperti in Italia di GDPR, Privacy e Data Protection.
Ore 08:30 - Check-in dei partecipanti e Saluti di Benvenuto
Scansionato il QR-Code del biglietto e ricevuto il Badge nominativo, i partecipanti si accomodano in sala per i saluti di benvenuto di Federico Lagni.
Mentre gli ultimi arrivati prendono posto, viene illustrato il programma della giornata, presentati i relatori e annunciati i momenti dedicati alla condivisione. Ad aprire le danze, un collegamento via web…
Ore 09:40 - Un anno da Garante Privacy
Dopo un anno dal suo insediamento come componente del collegio del Garante per la protezione dei dati personali, il relatore Prof. Guido Scorza, in collegamento web per motivi di Ufficio, racconta alla platea la sua esperienza: le battaglie e le conquiste sul fronte della privacy – gli sviluppi normativi. I ragionamenti sul bilanciamento dei diritti e degli interessi in gioco, alla base dei più recenti provvedimenti adottati dalle istituzioni per la tutela effettiva degli interessati.
Ore 10:20 - BYOD e TYWD
BYOD (Bring your own device): rischi connessi all’integrazione dei propri dispositivi digitali sul luogo di lavoro. La relatrice Avv. Adriana Augenti affronta il tema dell’uso promiscuo degli strumenti digitali personali in azienda, analizza questioni di sicurezza, esamina casi di Data Breach e vulnerabilità da attacchi Ransomware.
Ore 11:20 - Pausa Caffè
Ad aspettare i partecipanti a bordo piscina sta il personale a servizio. Tra un caffè, del succo di arancia, della biscotteria o un croissant, il confronto e le interazioni si fanno via via più curiose e aperte all’esperienza professionale altrui. Corrono intese, ci si scambia il biglietto da visita.
Ore 11:55 - Privacy e marketing, tra Big Data e profilazione
Di rientro in sala, la relatrice Prof. Avv. Monica Gobbato illustra le regole della Privacy Digitale, in relazione all’utilizzo dei cookies e alle linee guide sul Targeting dell’EDPB. I meccanismi di Marketing, spiega, si sono notevolmente evoluti nel corso del tempo. Oggi esistono nuove regole per gli strumenti come i Social o l’Internet delle Cose, o ancora i Big Data, che rivoluzionano il rapporto Provider del servizio, utenti, Targeters e altri attori. I rischi che la profilazione combinata al Targeting può comportare sono: l’impossibilità per l’utente di esercitare il controllo sui propri dati personali; discriminazioni e esclusioni; manipolazione dell’utente; disinformazione. In generale, i processi decisionali automatizzati, come la profilazione, hanno lo scopo di valutare determinati aspetti relativi ad una persona fisica, per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, salute, preferenze personali, comportamenti, ubicazione e spostamenti, etc. Pertanto detti trattamenti devono essere attuati previa una puntuale analisi delle attività da compiere e degli effetti che ne possono conseguire; con informative chiare, precise e intellegibili; predisponendo idonee e adeguate misure di garanzia e di sicurezza; consentendo all’interessato di far valere i propri diritti agevolmente con meccanismi di reclamo efficaci allo scopo.
Operazioni di Targeting possono, in particolare, essere compiute sull’utente analizzando i dati forniti (informazioni rese attivamente dall’utente), i dati osservati (dati forniti dall’utente in virtù dell’utilizzo di un servizio o un dispositivo), ovvero i dati dedotti - è possibile che con dette operazioni i dati personali vengano trattati contro o oltre le ragionevoli aspettative degli utilizzatori e il rischio più comune è di andare oltre gli scopi di partenza, in maniera tale che l’utente non possa, per l’appunto, ragionevolmente prevedere.
Le linee guida contenute nel provvedimento del Garante del 10 giugno 2021 e la funzione ricognitiva in esse esercitata per semplificare la redazione dell’informativa e l’acquisizione del consenso on-line da parte degli interessati, alla luce della piena applicazione del GDPR.
Ore 12:25 - Nuove regole ed adempimenti per i trasferimenti di dati extra-UE: cosa bisogna fare dopo la sentenza SCHREMS II
Con la sentenza Schrems II del luglio 2020 la Corte di Giustizia Europea ha invalidato il cd. Privacy Shield, mantenendo però la validità delle Clausole contrattuali standard come misura di garanzia per i trasferimenti extra-UE. Il relatore Prof. Avv. Massimiliano Nicotra prende in esame le condizioni per trasferire dati Extra-UE alla luce di GDPR, dalle decisioni di adeguatezza alle garanzie adeguate, lo strumento DPA (Data Processing Agreement). Le Raccomandazioni 01/2020 dell’EDPB, emanate proprio a riguardo delle misure supplementari e che i titolari devono adottare per detti trasferimenti.
Ore 12:55 - La criminalità nel Dark Web
La relatrice Avv. Costanza Matteuzzi spiega come le aziende, sempre più spesso vittime di attacchi informatici, possono subire numerose conseguenze negative: dispersione e perdita di dati di natura sensibile; danni reputazionali; inevitabili impatti sul business. L’importanza di conoscere il Dark Web, vero e proprio Repository di informazioni carpite in modo illecito, per capire le modalità con cui agiscono gli attaccanti, così da difendersi e adottare gli adeguati presidi di sicurezza informatica. L’ Open Source Intelligence.
Ore 13:25 - Pausa Pranzo
Serviti nei locali dell’hotel Colombo, si svolge il pranzo in compagnia di tutti i partecipanti. Tra una portata e l’altra si consumano aneddoti, argute battute, risate. Avvocati, consulenti d’azienda, professori, DPO, liberi professionisti, dirigenti, funzionari di pubbliche Autorità, e altre figure professionali affini, scambiano punti di vista, esperienze, consigli. È un’ottima opportunità per confrontarsi e stringere nuovi contatti.
Ore 14:50 - L’adeguamento di un sito web, tra teoria, pratica e Legal Design
L’adeguamento di un sito web è un procedimento complesso che coinvolge sia l’aspetto tecnico sia quello giuridico, con particolare riferimento, in merito a quest’ultimo, alla privacy policy e all’acquisizione di una valida base giuridica. La relatrice Prof. Avv. Federica De Stefani analizza i casi di adeguamento di un sito web, individuando le tecniche per mappare i trattamenti effettuati dal sito. Come redigere la privacy policy in un’ottica di Legal Design. Rendere l’informativa al trattamento dei dati personali interessate per l’utente, è un’importante sfida per il titolare, soprattutto ai fini dell’ottemperanza al principio di accoutability sancito nel GDPR. Le informazioni devono essere fornite in modo chiaro, conciso e intellegibile e, a detto fine, è utile per il titolare utilizzare icone e testi che semplifichino la lettura, rendendola agile e scorrevole. Le informazioni possono essere così espresse più facilmente, in modo “granulare” e “stratificato”, per permettere all’utente di individuare agevolmente e distintamente le informazioni relative al trattamento dei suoi dati, evitare espressioni incerte o termini ambigui.
Le informazioni fornite in modo sintetico devono comunque far richiamo all’informativa estesa e dettagliata.
Ore 15:20 - Cosa fare in caso di ispezione. Le sanzioni e come evitarle
Durante l’intervento il relatore Prof. Avv. Fulvio Sarzana di S.Ippolito esamina casi concreti di ispezioni che possono essere condotte in base alle norme in materia di protezione dei dati personali, e relative sanzioni. Vengono approfonditi i profili pratici da tenere presente qualora si dovesse incorrere in una ispezione ad opera del Garante Privacy o dell’Autorità giudiziaria, e le strategie di Compliance e di tutela di fronte all’irrogazione di una sanzione amministrativa o ad una richiesta di danni in sede civile.
Ore 15:50 - Analisi di conformità degli strumenti di comunicazione elettronica per usi aziendali e professionali nel 2021
L’utilizzo dell’e-mail è conforme al GDPR? Il relatore Avv. Marco Cuniberti spinge la platea a riflettere sull’attualità delle esigenze comuni rispetto all'utilizzo di strumenti elettronici, come ad es. l’email, in conformità alle normative vigenti in materia di protezione dei dati personali. L’adeguatezza dello strumento va valutata sulla base di finalità, contesto e tipo di dati comunicati.
Ore 16:20 - Il Registro dei Trattamenti
Il relatore Dott. Cesare Montanucci spiega come il Registro dei Trattamenti non sia solo un semplice adempimento, ma un vero e proprio strumento operativo. Considerato un elemento essenziale di accountability per il Titolare del trattamento, il Registro fornisce un quadro sempre aggiornato delle misure adottate per la protezione dei dati personali.
In particolare, l’art. 30 del Reg. (UE) 679/2016 GDPR impone a ogni titolare di trattamento, o al suo rappresentante, di tenere un registro delle attività svolte sotto la propria responsabilità: attività come la raccolta, registrazione, elaborazione, trasmissione o comunicazione, archiviazione, cancellazione o distruzione, di dati personali. Il registro va tenuto in forma scritta, anche in formato elettronico e, Su richiesta, il titolare del trattamento o il responsabile lo mettono a disposizione dell'Autorità di controllo.
Oggetto dell’intervento è il contenuto specifico che il Registro dei Trattamenti deve avere alla luce del GDPR, del Manuale del DPO emanato da T4DATA, delle FAQ del Garante della Privacy, nonché in attuazione principio di Accountability.
- T4DATA: la versione italiana del manuale per gli RPD pubblici disponibile gratuitamente sul sito del Garante: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9152429
Ore 16:50 – Domande agli esperti
Domande, dubbi, casi reali e perplessità vengono soddisfatte con risposte precise e puntuali. La platea si passa il microfono e gli esperti rispondono.
Sono le ore 17:30 e la conferenza si chiude con i saluti ai partecipanti e l’annuncio dei futuri appuntamenti, tra cui il GDPR Day Milano del 28 settembre al Novotel hotel di via Giovanni Suzzani.
Conclusioni
La giornata, lunga e entusiasmante, ha offerto molti spunti di studio, approfondimento e riflessione. Accrescere la consapevolezza delle potenzialità delle nuove tecnologie e marcare i confini del legittimo impiego di detti strumenti, anche poi in termini di responsabilità giuridica (civile, amministrativa, penale), è infatti la missione divulgativa fondamentale dell’evento. La relatrice Prof. Avv. Monica Gobbato, Presidente Privacy Academy, Associazione patrocinante l’evento, dice in un post su Facebook “La relazione sulla profilazione e sul Targeting, che ho tenuto al fantastico GDPR Day di Roma il 16 settembre, mi ha dato molta soddisfazione perché ho trovato un pubblico davvero preparato e attento, che credo abbia percepito quanto la Data Protection abbia un impatto innovativo sul digitale”.
Dott. Giacomo De Simio
Segretario Generale
Ass. Privacy Academy
www.privacyacademy.it
