Cyber Security 2023: Analisi degli Attacchi e Tendenze Emergenti nel Rapporto Clusit 2024

Nel corso del periodo compreso tra gennaio 2019 e dicembre 2023, si è assistito a un aumento significativo degli attacchi informatici a livello globale. Secondo il recente rapporto pubblicato dall’Associazione Italiana per la Sicurezza Informatica (CLUSIT), si sono verificati complessivamente 10.858 cyber attacchi in tutto il mondo. Nel solo anno 2023, si è registrato un numero senza precedenti di 2.779 incidenti, evidenziando un’accelerazione preoccupante della minaccia cyber. La lettura del rapporto CLUSIT 2024 è sempre di grande stimolo per gli operatori della cybersecurity e della protezione dei dati, perché è importante capire il fenomeno a livello globale e imparare dalle minacce per poter gestire in modo più efficace la sicurezza delle informazioni.

Crescita quantitativa e qualitativa degli attacchi nel Rapporto CLUSIT 2024

L’analisi del Rapporto CLUSIT 2024, che anche quest’anno aspettavamo di leggere,  rivela una tendenza all’aumento sia in termini quantitativi che qualitativi degli attacchi informatici. Nel 2023, il numero di attacchi è aumentato dell’11% a livello globale, con un impressionante incremento del 65% in Italia. Questo fenomeno non solo dimostra un aumento della frequenza degli attacchi, ma anche un’escalation della loro gravità. Oltre l’81% degli attacchi rilevati nel 2023 sono stati classificati come “critici” o “gravi”, con un aumento significativo rispetto al 2019.

Integrazione tra criminalità online e offline

Gli analisti individuano una crescente commistione tra la criminalità “off-line” e “on-line”, con i proventi delle attività criminali reinvestiti nel business della cyber criminalità. Questa sinergia tra i due mondi criminali fornisce risorse aggiuntive ai perpetratori degli attacchi, alimentando ulteriormente la minaccia cyber. Il rapporto evidenzia la necessità di affrontare questo fenomeno in modo globale e coordinato.

Prevalenza del malware e del ransomware

Nel 2023, il malware ha continuato a essere la tecnica preferita dai cyber criminali, utilizzato nel 36% dei casi. Tra le varie tipologie di codici malevoli, il ransomware emerge come la principale minaccia e la più diffusa. Questo tipo di malware criptografico è stato responsabile di numerosi attacchi a livello globale, causando danni significativi a individui, aziende e istituzioni.

Conclusioni e risorse aggiuntive

Il rapporto completo, contenente analisi dettagliate, tendenze emergenti e consigli per la sicurezza informatica, è disponibile per il download al seguente link: Rapporto CLUSIT 2024. È essenziale che aziende, istituzioni e individui adottino misure proattive per proteggere le proprie reti e dati da minacce cyber sempre più sofisticate. Investimenti in tecnologie di sicurezza avanzate, formazione del personale e collaborazione internazionale sono fondamentali per contrastare efficacemente la minaccia cyber e proteggere l’infrastruttura critica e la privacy dei cittadini.

In conclusione, il rapporto CLUSIT del 2024 sottolinea l’urgenza di affrontare la crescente minaccia cyber in modo deciso e strategico. Solo attraverso un impegno collettivo e una consapevolezza diffusa delle sfide della sicurezza informatica possiamo sperare di mitigare gli effetti devastanti degli attacchi informatici e garantire un cyberspazio sicuro e affidabile per tutti.

La “targa prova”: al via le nuove regole.

Il 29 febbraio 2024 è entrato in vigore il Dpr 21 dicembre 2023, n. 229  in materia di semplificazione del procedimento di autorizzazione alla circolazione di prova dei veicoli. In attesa dell’emanazione delle istruzioni operative, il nostro Studio Legale ha il piacere di fornirvi un breve vademecum sulle principali novità.

Che cos’è la “targa prova”?

E’ una targa che viene utilizzata quando un veicolo necessita di prove, collaudi, trasferimenti, dimostrazioni o allestimenti; è uno strumento di identificazione temporaneo e il rilascio di tale targa non può essere richiesto da privati ma solo da soggetti che svolgono attività collegate al settore della locomozione (come ad esempio: concessionari, officine o aziende costruttrici di veicoli a motore e rimorchi).

Le principali novità

In attesa delle nuove istruzioni operative che verranno emanate vi segnaliamo le principali novità del Dpr 21 dicembre 2023, n. 229:

  • il numero di autorizzazioni alla prova che può essere rilasciato ad ogni azienda è ora contingentato in base al tipo di attività esercitata e al numero di addetti;
  • la targa prova ha validità annuale e non è rinnovabile decorsi sei mesi dalla sua scadenza;
  • i procedimenti di rilascio, rinnovo e revoca dell’autorizzazione sono gestiti esclusivamente in via telematica (secondo le modalità che verranno stabilite dalla Direzione generale per la motorizzazione e per i servizi ai cittadini e alle imprese in materia di trasporti e navigazione entro quattro mesi dall’entrata in vigore del Dpr n. 229/2023);
  • l’autorizzazione alla circolazione (che è un titolo personale e non cedibile) può essere utilizzata esclusivamente per la circolazione su strada nell’ambito del territorio italiano, salvo accordi di reciprocità con altri Stati;
  • in caso di smarrimento, sottrazione o distruzione dell’autorizzazione o della targa, il titolare deve farne denuncia entro 48 ore agli organi di Polizia;
  • l’autorizzazione alla circolazione su strada  è rilasciata non solo per i veicoli non ancora immatricolati, ma anche per quelli già immatricolati, anche se privi di revisione in corso di validità o di assicurazione sul veicolo (così come previsto dal D.L. 121/2021)

Particolarità e sanzioni

Quando la targa prova è collocata su un veicolo già immatricolato, deve essere posizionato nella parte posteriore del mezzo in maniera ben visibile e tale da non oscurare o rendere illeggibile la targa di immatricolazione.

Rimangono tra l’altro in vigore le sanzioni previste dal Codice della Strada per chiunque adibisca “un veicolo in circolazione di prova ad uso diverso” o nel caso in cui il veicolo circoli “senza che su di esso sia presente il titolare dell’autorizzazione o un suo dipendente munito di apposita delega“.

 

Le polizze assicurative nella cessione del quinto dello stipendio e delegazione di pagamento

Quando parliamo di finanziamenti contro cessione del quinto dello stipendio o delegazione di pagamento, non va trascurato un elemento tipico di tali istituti: le polizze assicurative accessorie al credito.

Parliamo delle coperture assicurative connesse alle cessioni del quinto dello stipendio o delegazioni di pagamento contro quegli eventi che possono sopravvenire nel corso della durata del finanziamento a danno del debitore.  Eventi, che ove sopraggiungano, potrebbero non consentire il rispetto dell’obbligo di pagamento delle rate mensili del finanziamento.

Lo Studio Legale Princivalle Apruzzi Danielli ha spesso assistito intermediari finanziari nell’analisi delle condizioni di tali polizze assicurative, nonché nella gestione delle relative controversie.

Un riepilogo sui finanziamenti in esame

I prestiti personali contro cessione del quinto dello stipendio e delegazione di pagamento, regolamentati dal DPR 180/1950, sono erogabili da intermediari finanziari e istituti bancari e vengono concessi  ai consumatori.

Nell’ambito di tali finanziamenti, il consumatore si obbliga verso il finanziatore al rimborso rateale dell’importo finanziato:

  1. mediante la cessione (per il caso di cessione del quinto dello stipendio), all’istituto finanziatore, del credito che il consumatore vanta nei confronti del proprio datore di lavoro, nella misura massima della quota di 1/5 del proprio stipendio mensile;
  2. delegando (per il caso di delegazione di pagamento) il proprio datore di lavoro a versare direttamente al finanziatore la quota mensile del proprio stipendio.

Pur con le dovute differenziazioni, sia per la cessione del quinto dello stipendio, sia per la delegazione di pagamento, è il datore di lavoro a trattenere le quote mensili dello stipendio, del cedente o delegante, e a versarle direttamente all’istituto finanziatore.

I prestiti personali contro cessione del quinto dello stipendio o delegazione di pagamento presentano quindi un livello di garanzia sull’adempimento maggiore rispetto ai semplici prestiti personali. Ciò, in quanto l’obbligazione di pagamento viene trasferita sul datore di lavoro.

Ma non solo.

Un’ulteriore garanzia prevista per legge

Il legislatore pone l’attenzione alle ipotesi in cui particolari eventi possano sopraggiungere nel corso della durata del rapporto e incidere negativamente sul regolare rispetto del piano di ammortamento contrattuale.

È così che il DPR 180/1950, all’art. 54 comma 1, stabilisce che le cessioni del quinto dello stipendio (e le delegazioni di pagamento in quanto istituti a queste ultimi assimilabili) devono avere la garanzia dell’assicurazione sulla vita e contro i rischi di impiego od altre malleverie che ne assicurino il recupero nei casi in cui, per cessazione o riduzione di stipendio, non sia possibile la continuazione dell’ammortamento o il recupero del residuo credito.

Dunque, abbiamo due tipologie di coperture assicurative obbligatorie: una a copertura dal rischio di decesso del soggetto finanziato; l’altra a copertura da rischi che portano a un unico evento ultimo: il mancato rispetto dell’obbligo di pagamento delle rate previste dal piano di ammortamento.

Le polizze assicurative accessorie al credito e il ramo assicurativo di appartenenza

Tralasciando in questa sede la polizza assicurativa sulla vita (a copertura dal rischio di decesso), analizziamo la copertura dal rischio di insolvenza non derivante dal decesso del soggetto finanziato.

Ai fini della sua definizione sono intervenute sia l’Istituto per la Vigilanza sulle Assicurazioni (Ivass) sia la Banca d’Italia.

– L’intervento dell’Ivass

L’Ivass (https://www.ivass.it/) mediante il Regolamento 29/2009, classifica, all’art. 14, in due rami distinti la macrocategoria delle assicurazioni prestate a fronte di finanziamenti con cessione del quinto dello stipendio (e delegazione di pagamento) a seconda:

  1. che si tratti del contratto di assicurazione stipulato direttamente dall’istituto finanziatore in qualità di contraente/assicurato per garantirsi dal rischio di mancato adempimento dell’obbligazione di pagamento da parte del debitore. In tal caso il contratto assicurativo rientra nel ramo 14. Credito, nell’ambito dei rischi “perdite patrimoniali derivanti da insolvenze”;
  2. che si tratti del contratto di assicurazione stipulato dal debitore/assicurato per garantirsi dall’impossibilità di adempiere all’obbligazione di pagamento a favore dell’istituto finanziatore a causa della perdita dell’impiego. In tal caso il contratto assicurativo rientra nel ramo 16. Perdite pecuniarie di vario genere, nell’ambito dei “rischi relativi all’occupazione”.

A seconda dell’una o dell’altra ipotesi cambiano la struttura contrattuale, le norme per il collocamento e l’adesione alla polizza, i diritti spettanti all’assicuratore, le posizioni dell’istituto finanziatore e del debitore cedente/delegante nei confronti della compagnia assicurativa. In entrambi i casi viene però raggiunto quel fine ultimo di garanzia, imposto dall’art. 54, comma 1, del DPR 180/1950, dal rischio di mancato adempimento dell’obbligazione di pagamento.

– L’Intervento della Banca d’Italia

Banca d’Italia (https://www.bancaditalia.it/), mediante i propri Orientamenti di Vigilanza in materia di cessione del quinto dello stipendio e operazioni assimilabili (Delibera 145/2018), ha ribadito che per la copertura del rischio di insolvenza non derivante da decesso del debitore sono in uso sul mercato due schemi contrattuali:

  1. la polizza “credito”
  2. la polizza “perdite pecuniarie”,

confermando la stessa classificazione dell’Ivass, ed evidenziando le distinzioni sul soggetto contraente le polizze, sulla sussistenza o meno del diritto di surroga della compagnia assicurativa nei confronti del debitore, sul soggetto beneficiario che ne sostiene i costi.

Considerazioni finali

In riferimento quindi alle macrocategorie di contratti assicurativi suddette, gli intermediari finanziari e bancari devono avere presenti le singole caratteristiche che distinguono una soluzione rispetto ad un’altra.

Ciò, in quanto la relativa scelta ha importanti ripercussioni sull’intera gestione del contratto di finanziamento con il cliente consumatore finale.

Lo Studio Legale Princivalle Apruzzi Danielli, con il suo team di banking law, in varie occasioni ha affiancato gli operatori del settore nell’analisi e nell’assistenza su tali tematiche, tenendo presenti le interpretazioni in merito fornite dalle Autorità di Vigilanza.

 

Whistleblowing: il 17 dicembre si avvicina!

Il 17 dicembre è il termine ultimo per adeguarsi alla normativa, e dato che qualche mese fa avevamo introdotto il tema whistleblowing focalizzando l’attenzione sui necessari adempimenti in materia di protezione dei dati, ripercorriamo brevemente insieme i punti salienti del D.lgs. n. 24/2023 (“Decreto“),  anche alla luce dei recenti contributi di ANAC  e Confindustria in tale ambito.

Ambito di applicazione soggettivo

I soggetti destinatari della normativa whistleblowing sono quelli elencati agli artt. 2 e 3 del Decreto. Per il settore pubblico si annoverano le amministrazioni pubbliche, le autorità amministrative indipendenti, gli enti pubblici economici, i concessionari di pubblico servizio, le imprese a controllo pubblico e le imprese in house, anche se quotate. Per il settore privato invece, come già accennato nel precedente articolo, rientrano le aziende che:

  • hanno impiegato in media nell’ultimo anno, almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
  • si occupano di specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
  • le imprese che adottano il modello di organizzazione e gestione previsto al D.lgs.231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato.

In merito al computo della media annua dei lavoratori impiegati nel settore privato, le linee guida ANAC (“LG ANAC“) hanno precisato che bisognerà fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si farà riferimento all’anno 2023. Confindustria, tuttavia, ha ribadito in più occasioni (da ultimo anche nel manuale operativo) che la norma di riferimento per il computo dei lavoratori è l’art. 27 D.lgs. 81/2015 secondo il quale “ è necessario tenere conto del numero medio mensile di lavoratori a tempo determinato, compresi i dirigenti, impiegati negli ultimi due anni, sulla base dell’effettiva durata dei loro rapporti di lavoro“, adeguando in questo caso la durata da due anni, come prevede la norma citata, a un anno come invece prescritto dall’art. 2 comma 1, lett. q) n.1) del Decreto.

Ambito di applicazione oggettivo

Ai sensi dell’art. 1 del Decreto, oggetto di segnalazione sono tutte le violazioni di disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i soggetti segnalanti siano venuti a conoscenza in un contesto lavorativo pubblico o privato. Per maggiori dettagli sulle diverse tipologie di violazione si rimanda all’elencazione presente nelle LG ANAC.

Sono escluse dall’ambito di applicazione della normativa le segnalazioni:

  • aventi ad oggetto le contestazioni a carattere personale del segnalante (quali ad esempio conflitti inerenti il rapporto di lavoro individuale, possibili discriminazioni, conflitti interpersonali tra colleghi o superiori ecc.);
  • in materia di sicurezza e difesa nazionale;
  • aventi ad oggetto violazioni già regolamentate  in via obbligatoria in alcuni settori speciali (servizi finanziari, prevenzione, riciclaggio, terrorismo, sicurezza nei trasporti, tutela dell’ambiente. Si rimanda alle LG ANAC sul punto.

Resta ferma la normativa in materia di informazioni classificate,  segreto medico e forense, segretezza delle deliberazioni degli organi giurisdizionali (art. 1, comma 3 del Decreto) e quella relativa alle norme di procedura penale sull’obbligo di segretezza delle indagini, disposizioni sull’autonomia e indipendenza della magistratura, difesa della nazione e di ordine e sicurezza pubblica, nonché di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati (art. 1, comma 4 del Decreto).

La segnalazione

Oggetto di segnalazione sono tutte quelle informazioni inerenti a fatti, atti o omissioni commessi o ancora da commettere cui il soggetto segnalante (whistleblower) viene a conoscenza nel contesto di lavoro, sia esso pubblico o privato. L’accezione “contesto di lavoro”  non deve essere però interpretata in senso restrittivo. La stessa normativa estende la tutela dei soggetti segnalanti anche ai seguenti soggetti:

  • collaboratori, liberi professionisti, consulenti, tirocinanti
  • azionisti (sul punto le LG ANAC chiariscono che rientrano in questa categoria “coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella impresa”)
  • persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Il rapporto di lavoro può essere già terminato al momento della segnalazione, non essere ancora iniziato (come ad esempio nella fase preselettiva di nuovo personale) oppure trovarsi nel cosiddetto “periodo di prova”.

Circa il suo contenuto, il manuale operativo di Confindustria precisa che le informazioni contenute nella segnalazione devono essere il più possibile dettagliate. Dovranno quindi contenere le generalità del segnalante, le circostanze di tempo e luogo in cui si è verificato il fatto e ogni altra informazione utile ad individuare il soggetto che ha commesso l’illecito. Più circostanziate sono le informazioni, più è alta la probabilità di superare il vaglio di ammissibilità per la presa in carico e successiva lavorazione della segnalazione da parte del gestore.

Tipologie di segnalazioni

La normativa whistleblowing disciplina tre diversi canali di segnalazione:

  • un canale di segnalazione intern0 all’ente pubblico o privato;
  • un canale di segnalazione esterno alla struttura pubblica o privata e gestito dall’ANAC nei casi soli casi previsti dalla normativa;
  • la divulgazione pubblica.

Resta ferma la competenza dell’autorità giudiziaria in tutte le ipotesi in cui è richiesto o è possibile adire al suo intervento.

Il Decreto non prevede espressamente una priorità di utilizzo “tassativa” dei diversi canali di segnalazione. Tuttavia, le LG ANAC precisano che il canale di segnalazione interna deve essere quello da prediligere, ove presente. Infine, le LG specificano quali siano i presupposti per l’attivazione del canale di segnalazione esterna (residuale) e le condizioni necessarie per l’utilizzo della divulgazione pubblica.

Le sanzioni

Il regime sanzionatorio contemplato dal Decreto, già affrontato nel precedente scritto in materia di whistleblowing, prevede sanzioni da 10.000 a 50.000 euro, al verificarsi delle seguenti ipotesi:

  • mancata istituzione dei canali di segnalazione;
  • mancata adozione delle procedure per effettuare e gestire le segnalazioni;
  • adozione di procedure non conformi a quelle fissate dal Decreto;
  • mancato svolgimento dell’attività di verifica e dell’analisi delle segnalazioni ricevute;
  • comportamenti ritorsivi;
  • ostacoli alla segnalazione o tentativi di ostacolarla;
  • violazione dell’obbligo di riservatezza circa l’identità del segnalante (si veda nostro articolo “GDPR e la nuova normativa Whistleblowing“).
E’ prevista anche una sanzione da 500 a 2.500 euro che ANAC può applicare al segnalante, nei cui confronti venga accertata anche con sentenza di primo grado, la responsabilità civile per diffamazione o calunnia nei casi di dolo o colpa grave nei confronti del trasgressore.

Brevi cenni conclusivi

Con questo breve scritto, lo Studio Legale Princivalle Apruzzi Danielli ha voluto solo anticipare a grandi linee la normativa whistleblowing, con l’obbiettivo di approfondire ulteriori tematiche inerenti o anche solo connesse con tale materia, grazie alla pubblicazione di periodici contributi sul tema.

Stay tuned!

E-commerce = sicurezza Informatica, conformità GDPR ed etica del web

Nell’era digitale in cui viviamo, la gestione della sicurezza informatica, la conformità al GDPR e l’etica web sono elementi importanti per qualsiasi sito internet, ma se parliamo di offerta di prodotti e servizi diventano milestones.

Nel nostro studio assistiamo da anni aziende e professionisti che si approcciano all’e-commerce accompagnandoli in un percorso virtuoso verso la massima sicurezza dei dati, il rispetto della normativa sulla protezione dei dati e l’offerta di un’esperienza utente eticamente corretta, evitando l’utilizzo di dark patterns.

Sicurezza Informatica: La priorità assoluta

La sicurezza informatica è un pilastro fondamentale per proteggere il sito web, i dati personali e la reputazione del business. La progettazione del sito web per l’attività di e-commerce deve necessariamente fare i conti con una blindatura del sistema informatico sotteso alla piattaforma, front end incluso, attraverso alcuni fondamentali steps:

  • Studio del contesto: esame del progetto di vendita, studio del mercato e dei rischi attinenti noti nel mercato di riferimento.
  • Selezione di asset e fornitori di comprovata affidabilità.
  • Analisi funzionale del ciclo di offerta e delle vulnerabilità: valutazione approfondita per individuare possibili falle di sicurezza e i punti deboli del sito.
  • Pianificazione della sicurezza: creazione di strategie personalizzate per proteggere il sito da minacce online, dagli errori umani, dal rischio della supply chain.
  • Risposta agli incidenti: preparazione e assistenza in caso di violazioni dei dati o attacchi informatici.
  • Recovery: progettazione di un sistema di recupero rapido ed efficace del sito e dei suo contenuti in caso di incidente
  • Formazione per il personale: educazione e cultura alla sicurezza per garantire che tutti i membri del team siano a conoscenza delle best practices in materia di sicurezza informatica e restino sensibili ad ogni segnale di anomalia.

Conformità GDPR: proteggere i dati e rispettare la normativa è un obbligo ma anche un bel biglietto da visita!

Il GDPR è un obbligo legale che riguarda qualsiasi sito web che raccoglie, elabora o conserva dati personali dei cittadini europei. La non conformità, oltre ad esporre a pesanti sanzioni da parte delle autorità di controllo denota un atteggiamento di trascuratezza e mancanza di rispetto dei diritti degli utenti.

Il giusto approccio alla compliance passa attraverso:

  • Analisi del rischio specifico ed eventuale valutazione di impatto: quale che sia il metodo utilizzato, norme ISO, metodo ENISA o altro, il rischio connesso ai trattamenti effettuati dal sito internet è la base per l’adozione delle misure tecniche e organizzative adeguate.
  • Una valutazione della conformità: identificazione delle aree in cui il sito potrebbe non essere in linea con le disposizioni del GDPR e pianificazione delle attività da compiersi, anche sulla base degli sviluppi evolutivi del sito.
  • La documentazione legale: redazione delle informative sulla privacy, della privacy policy e degli accordi con i responsabili del trattamento.
  • La gestione dei cookies: individuazione e categorizzazione dei cookies, redazione della policy nel rispetto anche delle linee guida dell’Autorità di controllo.
  • Gestione dei consensi: corretta raccolta dei consensi degli interessati per le attività di marketing e profilazione e gestione della loro valida archiviazione o revoca.
  • Gestione delle violazioni: inclusione del sito nel perimetro dell’incident response report.

Etica Web: Addio ai Dark Patterns

L’attività di vendita on-line però non richiede “solo” il rispetto della legge, presuppone, ad avviso del nostro studio una progettazione etica quale requisito imprescindibile per costruire un rapporto di fiducia con gli utenti. I dark patterns, pratiche ingannevoli che influenzano negativamente l’esperienza dell’utente, danneggiano la reputazione del sito. Il supporto fornito dal nostro studio agli operatori promuove l’etica web nel tentativo di avere un approccio corretto, trasparente e rispettoso verso gli utenti che costituiscono il motore e il bene più prezioso del business on-line.

Dei dark patterns abbiamo già avuto modo di occuparci in precedenza, ma vale la pena ricordare che l’indirizzo tracciato dal legislatore europeo con il regolamento del 2022 è di netta denuncia di questi “sotterfugi” e il loro utilizzo non passa inosservato né agli utenti, né alle associazioni dei consumatori e tanto meno alle varie autorità di controllo, dal Garante per la protezione dei dati all’AGCM (Autorità Garante della Concorrenza e del Mercato).

In conclusione, la sicurezza informatica, la conformità GDPR e l’etica web sono i pilastri fondamentali sui quali si basa il successo di un sito web. Crediamo che la fiducia degli utenti sia il capitale più prezioso online, e seguire le best practices in sicurezza, compliance normativa ed etica sia il modo migliore per costruirla e preservarla.

Privacy dei minori e intelligenza artificiale

Oramai non si fa altro che parlare di intelligenza artificiale e di come un utilizzo consapevole di tale strumento possa migliorare e far progredire la nostra società, completamente proiettata verso un futuro sempre più digitalizzato.

Di recente gli esperti del settore hanno iniziato ad interrogarsi su come l’intelligenza artificiale debba essere disciplinata rispetto alla normativa privacy e alla tutela dei dati personali che inevitabilmente vengono trattati durante il suo utilizzo, soprattutto quando l’uso delle applicazioni ad essa connessa venga sfruttata da soggetti minori che non avrebbero la capacità giuridica (o limitata capacità) di farne uso in base alla legge nazionale e a quella europea.

Vediamo il perché.

Il contesto normativo

Quando si parla di minori è necessario partire dalla definizione contenuta nell’art. 2 del codice civile relativa alla cosiddetta capacità di agire, ovvero l’idoneità di un soggetto di porre in essere atti negoziali che producono effetti nella propria sfera giuridica e che si acquista con la maggiore età; il minore con età compresa tra 14 e 18 anni ha una capacità giuridica attenuata, mentre il minore di 14 anni non ha alcuna capacità giuridica.

In materia di data protection, la prima parte del Considerando (38) del Regolamento europeo 2016/679 (GDPR) precisa che “i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali.”

L’art. 8 GDPR contiene, infatti, specifici requisiti relativi al consenso dei minori rispetto al trattamento dei loro dati personali. Senza parlare di vera e propria capacità di agire, il Regolamento ha previsto che, nel caso in cui vi sia un’offerta diretta di servizi della società dell’informazione a soggetti minori, il trattamento dei dati è lecito, previo loro consenso, se questi hanno almeno 16 anni. In caso contrario sarà necessario che il consenso venga prestato o autorizzato dal titolare la responsabilità genitoriale (comma 1).

Allo stato attuale, come è facilmente intuibile, non è previsto un metodo univoco per verificare il consenso del minore, senza rischiare, da un lato, di introdurre sistemi di verifica eccessivamente burocratici, dall’altro, viceversa, aumentando il rischio di falsificazioni da parte dei minori stessi.

L’intervento dell’autorità di controllo italiana

Ed è proprio in un contesto come questo, di continua ascesa dell’era digitale, che il Garante della privacy ha concentrato maggiormente i suoi interventi. Nel 2022 l’Autorità di controllo italiana ha infatti emesso più di 400 provvedimenti collegiali, anche in considerazione del fatto che il  sistema socio-economico italiano è sempre più fondato sul trattamento dei dati personali e come tale necessita di essere adeguatamente guidato, istruito e alle volte addirittura sanzionato.

Da ciò deriva una maggiore attenzione da parte del Garante, anche e soprattutto, per la tutela dei minori che entrano a contatto con le grandi piattaforme, con le applicazioni che utilizzano l’intelligenza artificiale generativa, come ad esempio ChatGPT  (la famosa chatbot creata dalla società statunitense OpenAI), con il metaverso e le relative problematiche connesse allo sviluppo degli algoritmi.

Intelligenza artificiale e tutela dei minori: parla il Garante

Particolarmente significativi sono stati gli interventi del Garante sugli applicativi che utilizzano l’intelligenza artificiale: il più noto (provvedimento n. 112 del 30.03.2023) che ha portato alla sospensione provvisoria di ChatGPT di proprietà della software house americana Open AI, ha però permesso di indirizzarne lo sviluppo in una direzione più compatibile con la tutela dei diritti fondamentali delle persone, specialmente se minori.

Con il provvedimento cautelare d’urgenza, il Garante privacy ha evidenziato, per quanto qui di interesse, che:

  • il servizio di ChatGPT (secondo quanto indicato dagli stessi termini di servizio pubblicati sul sito della società sviluppatrice) è riservato esclusivamente alle persone che abbiano compiuto almeno 13 anni, ma manca qualunque sistema che permetta al titolare del trattamento di verificare l’effettiva età degli utenti;
  • l’assenza di tali strumenti di verifica dell’età effettiva degli utenti espone i soggetti minori di anni 13 al rischio di ricevere risposte dall’intelligenza artificiale dell’applicazione che siano del tutto inidonee rispetto al grado di sviluppo e alla autoconsapevolezza di detti soggetti.

Di risposta, OpenAI si è dimostrata da subito sensibile al rispetto della normativa in materia di data protection, anche rispetto a quella garantita ai soggetti minori. Nei mesi a seguire ha infatti implementato il sistema di verifica dell’età dell’utente al momento di accesso alla piattaforma online di ChatGPT sino ad introdurre un vero e proprio sistema di age verification.

All’atto della registrazione dell’utente, la piattaforma ha quindi inserito la richiesta della data di nascita prevedendo un blocco alla registrazione per gli utenti minori di 13 anni e prevedendo, in caso di utenti maggiori di tredici anni, ma sempre minorenni, che debbano confermare di avere il consenso dei genitori all’uso del servizio.

Considerazioni finali

Recentemente, il Governo ha emanato il D.L. Caivano n. 123 del 15.09.2023 recante “Misure urgenti di contrasto al disagio giovanile, alla povertà educativa e alla criminalità minorile, nonché per la sicurezza dei minori in ambito digitale”, introducendo una serie di norme in materia di parental control (artt. da 13 a 15 del decreto legge).

In particolare, il controllo parentale prevede la possibilità di limitare e controllare, da parte dei genitori o di coloro che esercitano la responsabilità genitoriale, l’accesso ai contenuti e/o alla rete da parte dei minori, mediante la scelta degli spazi digitali e dei tempi di utilizzo.

L’intento del legislatore, di pari passo con l’autorità garante della privacy, sembrerebbe proprio quello di costruire un articolato sistema di protezione che tenga in seria considerazione anche  le categorie deboli di soggetti, come i minori, che potrebbero essere più facilmente colpite dal mondo digitale se non adeguatamente tutelate.

L’uso dei sistemi di intelligenza artificiale e la protezione del diritto d’autore

L’Intelligenza artificiale (IA) sta rivoluzionando il modo in cui vengono creati, consumati e condivisi i  contenuti digitali. Tuttavia, questa evoluzione solleva rilevanti questioni di natura giuridica ed etica, in particolare per quanto riguarda il necessario bilanciamento tra l’uso dell’intelligenza artificiale e il diritto d’autore dei contenuti utilizzati per nutrire gli algoritmi e di quelli prodotti dall’algoritmo stesso o dal fruitore tramite l’algoritmo.

1. Breve inquadramento

L’intelligenza artificiale (IA), il cui primo regolamento è stata approvato in giugno  da parte del Parlamento UE,  è generalmente intesa come l’abilità di una macchina di mostrare capacità umane quali il ragionamento, l’apprendimento, la pianificazione e la creatività.

Come noto, tra gli usi diffusi di questa tecnologia ci sono il riconoscimento di immagini, la traduzione automatica, la composizione musicale, la creazione di testi, calcoli, video, voci etc.

Questi sistemi utilizzano algoritmi, informazioni e dati per generare contenuti “originali”, ma ciò solleva due sostanziali domande: come sono tutelati gli autori dei contenuti utilizzati per nutrire il sistema di intelligenza artificiale? chi detiene i diritti d’autore su questi contenuti generati dall’IA?

Per questi temi, da qualche tempo, alcuni clienti si rivolgono al nostro team.

2. Creazione di contenuti da parte dell’IA

Un sistema di IA è in grado di generare una serie di contenuti, testi narrativi, disegni, composizioni musicali. Tuttavia, la legge sul diritto d’autore tradizionalmente assegna la titolarità del diritto d’autore relativo alle opere realizzate ad autori persone fisiche. Questo solleva una serie di questioni giuridiche di complessa soluzione.

2.1. IA Autore o macchina?

Uno dei principali dibattiti in ambito giuridico è se considerare l’IA un creatore “autonomo” dei contenuti o uno strumento (macchina) utilizzato dagli esseri umani per esprimere la propria creatività e realizzare opere degne di tutela.

2.2. Ruolo dell’uomo nell’addestramento dell’IA e uso dei data set

Molti sistemi di IA sono addestrati su enormi data set di opere protette da copyright. In questo processo, gli sviluppatori forniscono il materiale di addestramento attingendo o creando data set e l’IA sviluppa la sua capacità creativa. Ciò solleva la questione di chi debba essere considerato il vero creatore: l’umano che ha fornito il materiale o l’IA che ha prodotto l’opera finale? E ancora, chi garantisce che i data set non violino diritti di terze parti?

Esistono studi in rete che mettono in discussione anche legittimità dei modelli open source realizzati da noti provider USA e, a riprova di questo, arrivano da oltreoceano notizie di class actions intentate da alcuni autori.

2.3. Il possibile Opt-out degli autori

Ed è notizia degli ultimi giorni che il primo operatore di intelligenza artificiale generativa abbia messo a disposizione degli autori un form on-line per effettuare l’opt-out delle proprie opere dai data set utilizzati per addestrare il sistema. Non sono ancora noti dati rispetti all’efficacia di tale strumento, tuttavia, l’opt-out presuppone in ogni caso un precedente utilizzo non autorizzato dall’autore, circostanza che non previene né l’utilizzo illecito né la potenziale responsabilità e conseguente risarcimento del danno.

Ammesso che questo sistema possa divenire uno strumento di tutela utile da parte degli autori, dovrebbe per logica poter essere utilizzato da tutti i potenziali autori di un contenuto immesso sul web e utilizzato per addestrare l’intelligenza artificiale, incluse le piattaforme social popolate di un volume enorme di contenuti e informazioni personali e per i quali è già prevista una cessione dei diritti da parte degli utenti iscritti.

2.4. Diritto d’autore e creatività artificiale

Attualmente, il diritto d’autore protegge le opere creative umane per un lungo periodo di tempo (in Italia fino a 70 anni dopo la morte dell’autore). Dovremmo estendere queste protezioni alle opere generate artificialmente dall’IA? E, in caso affermativo, per quanto tempo dovrebbero durare questi diritti e a chi spetterebbero?

3. Il quadro normativo attuale

Attualmente, le normative  in molte giurisdizioni non affrontano direttamente la questione dell’intelligenza artificiale e diritto d’autore, non riconoscendo l’IA come possibile creatore. Tuttavia, esistono alcune leggi e regolamenti che possono essere applicati a questa situazione. Il Parlamento Ue nel 2019 ha approvato una Risoluzione sui diritti di proprietà intellettuale per lo sviluppo di tecnologie di intelligenza artificiale [P9_TA(2020)0277] con cui ha evidenziato la necessità di procedere ad una regolamentazione su base comunitaria, che possa superare la frammentazione legislativa dei singoli stati e giungere a distinguere tra le creazioni umane, ottenute con l’ausilio dell’IA, e quelle generate autonomamente dall’IA e regolare paternità e remunerazione.

3.1. L’Uso delle opere protette da copyright per l’addestramento dell’IA

L’addestramento degli algoritmi di IA utilizzando opere protette da copyright solleva da più parti preoccupazioni sulla possibile violazione dei diritti d’autore. Tuttavia, in alcune giurisdizioni, come gli Stati Uniti, esiste il concetto di “fair use” (uso equo) che potrebbe teoricamente consentire l’uso di tali opere a fini di addestramento, a condizione che sia rispettato un equilibrio tra gli interessi delle parti coinvolte (Sec.107 Copyright Act).

3.2. Protezione dei Dati dell’Utente

Nel contesto dell’IA, non dobbiamo neanche dimenticare che spesso vengono utilizzati anche dati personali per addestrare gli algoritmi. Le leggi sulla protezione dei dati personali, con particolare riferimento al GDPR in UE, possono limitare il modo il cui questi dati possono essere utilizzati e trattati. E’ di fondamentale importanza che le aziende che operano in questo settore, startup e società di grandi dimensioni, tengano nella dovuta considerazione gli obblighi nascenti dalla protezione dei dati personali, adottando un approccio basato sul rischio e sulla trasparenza.

3.3. Accordi di Licenza

Molti autori e aziende stipulano contratti e accordi di licenza che regolamentano l’uso dell’IA nella creazione di contenuti. Questi accordi possono definire chi detiene i diritti d’autore e come saranno distribuiti i proventi generati dalla vendita o dalla condivisione dei contenuti creati dall’IA. Tenendo in considerazione l’origine dei data set, è prevedibile che tali accordi siano stipulati anche con le GAFAM, che a loro volta introdurranno nelle condizioni generali d’uso licenze “gratuite” da parte degli utenti.

4. Soluzioni proposte per contemperare intelligenza artificiale e diritto d’autore

Di fronte a questa complessa situazione e alle questioni giuridiche e etiche scatenate dall’uso dell’IA, si sono velocemente formate alcune fazioni di giuristi, esperti e filosofi che hanno prospettato differenti scenari.

4.1. Riconoscimento dell’IA come creatore

Alcuni sostenitori dell’IA hanno proposto di riconoscere legalmente l’IA come un creatore autonomo, con diritti d’autore associati alle opere da essa generate. Questa posizione osteggiata da accademici e riviste scientifiche come Science e Nature solleva la questione di come gestire i diritti d’autore e i proventi in modo equo tra l’IA e gli esseri umani coinvolti nel processo creativo.

Lo stesso ChatGTP interrogata sul tema risponde in questo modo “No, io, come un modello di linguaggio AI, non reclamo né ho diritti d’autore su nessun testo o contenuto generato da me. Sono un programma creato da OpenAI per assistere con la generazione di testo e fornire informazioni, ma non ho personalità, proprietà intellettuale o capacità di rivendicare diritti d’autore su ciò che produco. Gli utenti sono liberi di utilizzare il testo o il contenuto generato da me come ritengono opportuno, ma devono prendere in considerazione le leggi sul diritto d’autore e le normative applicabili quando si tratta di questioni di proprietà intellettuale”

4.2. Creazione di un Registro di Opere Generate dall’IA

Alcune giurisdizioni stanno anche considerando l’idea di creare un registro dedicato per le opere generate dall’IA, con l’intento di aiutare a determinare chi detiene i diritti d’autore e a semplificare le questioni connesse alla tutela legale.

4.3. Esclusione delle Opere d’Arte dall’IA

In alcuni casi e contesti, c’è chi ritiene che sarebbe ragionevole escludere le opere d’arte create da/con l’IA dalla protezione del diritto d’autore. Questo potrebbe consentire un accesso più ampio e una condivisione libera di tali opere.

5. Considerazioni finali

Intelligenza artificiale e diritto d’autore non sembrano, al momento, andare a braccetto. La protezione del diritto d’autore correlata all’uso dei sistemi di Intelligenza Artificiale è una sfida complessa e in continua evoluzione poiché la tecnologia travalica i confini, genera nuovi modelli, impone una interpretazione delle norme esistenti e una riflessione attenta e ponderata da parte dei legislatori, degli sviluppatori e degli utenti.

La mancanza di una regolamentazione costituisce spesso un disincentivo all’utilizzo di questa tecnologia e un soffocamento delle sue innovative applicazioni che, a parere di chi scrive, la moderna società non può permettersi.

L’equilibrio tra la promozione dell’innovazione e la tutela dei diritti d’autore è essenziale per garantire che l’IA continui a contribuire positivamente alla nostra società.

Immagine mikemacmarketing, CC BY 2.0 <https://creativecommons.org/licenses/by/2.0>, via Wikimedia Commons

I CLIENTI PREDILIGONO “LEGAL ON DEMAND”

Legal On Demand: La flessibilità nella consulenza legale 

Nel mondo degli affari, la consulenza legale è spesso un elemento essenziale per garantire il successo e la conformità alle leggi. Tuttavia, l’assunzione di un team legale interno può risultare costosa e poco pratica, specialmente per le piccole e medie imprese. Ecco perché lo Studio Legale Princivalle Apruzzi Danielli presenta “Legal On Demand”, una formula innovativa che offre consulenza legale specializzata solo quando il cliente ne ha bisogno, garantendo massima flessibilità e controllo sui costi.

Cosa è Legal On Demand?

Legal On Demand è una formula innovativa offerta dallo Studio Legale Princivalle Apruzzi Danielli che rivoluziona il modo in cui le aziende accedono alla consulenza legale. Con Legal On Demand, si può attingere alla vasta esperienza e competenza dei nostri professionisti solo quando è necessario, senza dover mantenere un team legale interno costoso.

Legal On Demand garantisce competenza e flessibilità

Una delle caratteristiche distintive di Legal On Demand è la sua flessibilità. Con questa formula, il cliente può sospendere e riattivare la consulenza legale a proprio piacimento. Questo implica che paga solo per ciò di cui ha bisogno, senza vincoli contrattuali a lungo termine. Per affrontare situazioni come riforme normative, complesse operazioni aziendali o affanni nella tua struttura interna, può contare sulla consulenza legale di cui ha bisogno attivando o sospendendo all’occorrenza.

Massima specializzazione

Lo Studio Legale Princivalle Apruzzi Danielli è noto per la sua competenza e specializzazione in una gamma settoriale di aree legali tutte focalizzate a supportare il cliente impresa. Con Legal On Demand, il cliente ha accesso a un team di professionisti altamente qualificati e specializzati che possono affrontare qualsiasi questione legale agendo come un consulente interno all’azienda.

Controllo dei costi

Con Legal On Demand, il cliente ha il controllo completo sui costi legali. Non deve preoccuparsi di stipendi, benefit o spese accessorie associate a un team legale interno; paga solo per le ore effettivamente utilizzate e l’assistenza ricevuta. Questo consente di allocare il budget in modo più efficiente e di concentrarsi sullo sviluppo del business, sapendo di avere a disposizione una consulenza legale multidisciplinare e di alta qualità ogni volta che ne ha bisogno.

Il futuro della consulenza legale

L’esperienza con i nostri clienti ci lascia pensare che la formula Legal On Demand rappresenti il futuro della consulenza legale. La sua flessibilità, specializzazione e controllo sui costi rendono questa modalità un’opzione ideale per le imprese di tutte le dimensioni, dalla start-up alla grande impresa, Legal On Demand può adattarsi alle esigenze specifiche.

Legal On Demand può migliorare la strategia legale di ogni impresa.

Gli istituti di pagamento

Cosa sono gli istituti di pagamento?

Gli istituti di pagamento costituiscono una categoria di soggetti vigilati dalla Banca d’Italia talvolta poco conosciuta ai più. Si tratta di entità autorizzate alla prestazione di uno o più servizi di pagamento, i quali, semplificando un po’, si può dire abbiano ricevuto la loro prima organica regolamentazione nella direttiva PSD1, poi sostituita dalla direttiva PSD2.

 

La regolamentazione

La regolamentazione degli istituti di pagamento in Italia è ora principalmente recepita nel Testo Unico Bancario (TUB), cui si affiancano un certo numero di regolamenti attuativi e le Istruzioni di vigilanza e altri provvedimenti emanati dalla Banca d’Italia.

Sebbene i testi sopra citati costituiscano un’ottima base per comprendere le norme alla base di queste entità, siamo di fronte senza dubbio a un complesso normativo molto corposo e suddivisa in tanti provvedimenti che può spesso apparire difficile da padroneggiare.

 

Il processo autorizzativo

Il processo autorizzativo di un istituto di pagamento, in sé lineare, è reso complesso dalla necessità di fornire alla Vigilanza informazioni dettagliate e accurate da raccogliersi in un articolato programma di attività.
Requisiti specifici sono richiesti in capo ai soci dell’istituto e in capo a coloro che svolgono funzioni di amministrazione, direzione e controllo.
Qualche semplificazione organizzativa e autorizzativa è prevista solo per gli istituti che intendano prestare i servizi di disposizione di ordini di pagamento (PIS, payment initiation services) o di informazione sui conti (AIS, account information services).

GDPR e la nuova normativa in materia di Whistleblowing

Il 15 luglio entra in vigore la nuova normativa in materia di whistleblowing con i relativi adempimenti GDPR.

L’obiettivo del legislatore è garantire una maggiore tutela per coloro che segnalano comportamenti illeciti, sia nel settore pubblico che in quello privato, che danneggiano l’interesse pubblico o l’integrità dell’amministrazione o dell’ente privato in ambito lavorativo.

Allo stesso tempo, sono state introdotte importanti novità in materia di privacy per proteggere i segnalanti e gestire correttamente il processo di segnalazione e i rischi ad esso connessi.

Ambito di applicazione

Le imprese del settore privato che dovranno adeguarsi alla nuova disciplina sono quelle che:

  • hanno impiegato in media nell’ultimo anno, almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
  • si occupano di specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
  • le imprese che adottano il modello di organizzazione e gestione previsto al D.lgs.231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato.

Si precisa che le imprese che hanno impiegato nell’ultimo anno una media di 249 lavoratori subordinati avranno tempo fino al 17 dicembre 2023 per adeguarsi ai nuovi obblighi e adottare adeguati canali di segnalazione interna, oltre all’adozione di una serie di adempimenti GDPR.

Adempimenti GDPR

Con particolare riferimento agli adempimenti in materia di data protection, spicca quello relativo alle modalità di conservazione dei dati personali dei soggetti coinvolti nella segnalazione (segnalanti, persone coinvolte nella segnalazione o facilitatori) nel rispetto del “principio di minimizzazione dei dati” (art. 5 GDPR).

I soggetti incaricati di ricevere le segnalazioni dovranno infatti eliminare immediatamente tutti i dati non utili alla segnalazione ai sensi dell’art. 13, comma 2 decreto whistleblowing.

Nella pratica, se la segnalazione viene fatta oralmente, sarà necessario il consenso del segnalante per la trascrizione o la redazione del verbale da parte del personale addetto a riceverla. Il segnalante potrà verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione.

Per quanto riguarda il canale di segnalazione da adottare, saranno i titolari del trattamento che dovranno individuare, in anticipo, adeguate misure tecniche e organizzative per mitigare il rischio per i diritti e le libertà dei soggetti interessati nel rispetto del principio privacy by design (art.25 GDPR).

Nell’iter di selezione del fornitore del servizio di segnalazione e/o del prodotto tecnologico si dovrà valutare il rispetto dei requisiti di sicurezza prescritti dalla normativa (art. 32 GDPR).

A tal proposito sarà quindi obbligatorio effettuare la cosiddetta DPIA (valutazione di impatto) del sistema di segnalazione interna, già in fase di progettazione del relativo disegno organizzativo (art. 35 GDPR).

L’obbiettivo della normativa è proprio quello di predisporre un canale di segnalazione in grado di rispettare tanto la riservatezza del segnalante, quanto l’esattezza del processo instaurato (art. 25 GDPR).

Qualora la gestione delle segnalazioni avvenga in maniera condivisa (per quanto attiene alle risorse per il ricevimento e la gestione della segnalazione) dovranno essere conclusi accordi di contitolarità tra i diversi titolari del trattamento coinvolti (art. 26 GDPR).

Una volta adottato il sistema di segnalazione, anche l’elenco delle nomine a responsabile esterno (ovvero colui che tratta i dati personali per conto del titolare del trattamento) dovrà essere aggiornato e in questo caso dovranno sottoscrivere i cosiddetti DPA (data protection agreement) (art. 28 GDPR) anche:

  • il fornitore del sistema informatico del canale di segnalazione;
  • l’ADS (amministratore di sistema) o
  • il fornitore dell’eventuale piattaforma per la gestione delle segnalazioni.

Tra le nomine non bisogna dimenticare anche quella del “referente del titolare del trattamento” a favore di tutti i soggetti incaricati dal titolare di ricevere e gestire le segnalazioni interne alla realtà aziendale (art. 29 GDPR).

Infine, sarà necessario aggiungere uno specifico trattamento relativo alla procedura di whistleblowing nel relativo registro dei trattamenti (art. 30 GDPR), senza dimenticare di predisporre e pubblicare anche un’informativa dedicata o eventualmente integrando quella già in essere. (art. 12 GDPR).

dati trattati devono essere conservati solo per il tempo strettamente necessario al relativo trattamento sempre nel rispetto del principio di minimizzazione dei dati, e comunque non oltre il termine di 5 anni a decorrere dalla comunicazione dell’esito finale della procedura di segnalazione (articoli 5 e 12 GDPR).

Il nuovo regime sanzionatorio

Abbiamo anticipato che i soggetti destinatari della normativa sono tenuti ad adeguarsi entro il 15 luglio 2023 o al più tardi entro e non oltre il 17 dicembre 2023 agli obblighi a loro imposti.

Senza considerare altri profili responsabilità (civile, penale, amministrativa, contabile), il decreto whistleblowing ha infatti previsto sanzioni rigorose per coloro che non si adeguano alle prescrizioni imposte dalla legge.

L’organismo preposto a irrogarle (ANAC) potrà erogare sanzioni quando le imprese abbiano commesso ritorsioni nei confronti dei soggetti segnalanti o quando:

  • abbiano ostacolato o tentato di ostacolare la segnalazione o violato l’obbligo di riservatezza;
  • hanno omesso di istituire canali di segnalazione;
  • hanno omesso di adottare procedure per l’effettuazione e la gestione delle segnalazioni;
  • l’adozione o la loro implementazione non è stata conforme alla normativa;
  • hanno omesso di svolgere l’attività di verifica e analisi delle segnalazioni ricevute.

In tutti questi casi, l’ANAC può irrogare fino a 50.000 euro di sanzioni in caso di violazione.

Qualora la violazione riguardi l’identità del segnalante la sanzione potrà arrivare a 2.500 euro.

Considerazioni finali

Da una prima analisi del decreto whistleblowing, si evince come la norma sia stata pensata in stretta connessione con quella in materia di GDPR. La norma va rispettata sia sotto il profilo della riservatezza dei dati sia per i numerosi adempimenti da adottare per trattare correttamente le informazioni selezionate e raccolte.

In quest’ottica si ricorda che gli illeciti in materia di privacy sono stati ricompresi all’interno dell’elenco delle fattispecie che potranno essere oggetto di segnalazione.

Si auspica quindi che anche grazie al nuovo decreto whistleblowing si diffonda una maggiore consapevolezza in materia di data protection e conseguente volontà di miglioramento della cultura della privacy compliance su tutto il territorio nazionale.