Articoli

Data Breach Inps, per il Garante è segno di un’insufficiente cultura della protezione dati nel nostro Paese

Il Data Breach Inps: ancora criticità per le PA?

Il caso di Data breach che ha colpito il portale dell’Inps rappresenta soltanto l’ultima delle molteplici violazioni che hanno interessato le Pubbliche Amministrazioni. Come dichiarato dal Garante per la protezione dei dati personali, infatti, l’assenza di adeguate misure di sicurezza per la tutela delle banche dati e dei siti delle amministrazioni pubbliche rappresenta una questione critica costante.

Le amministrazioni pubbliche, infatti, trattano quotidianamente ingenti moli di dati personali, per lo svolgimento delle proprie funzioni e l’erogazione di servizi pubblici online.

Le Pubbliche amministrazioni, in particolare, devono garantire:

  • La sicurezza del trattamento, come previsto dall’art. 32 GDPR;
  • L’implementazione di misure che garantiscano la privacy by default e by design;
  • Il rispetto dei diritti dell’interessato;
  • La nomina del Data protection Officer (DPO)

 

Il data breach dell’Istituto ha messo in luce una serie di criticità. Per consentire l’erogazione di sussidi economici, l’Inps aveva istituito sul proprio sito, dal 1 aprile 2020, una pagina dedicata a tale richiesta, previa registrazione del richiedente. Sin dai primi utilizzi del portale, tuttavia, è stato possibile accedere in modo incontrollato ai dati personali di un numero elevatissimo di contribuenti: in particolare, sono stati visibili in chiaro milioni di dati personali relativi ai dati inseriti nella registrazione, tra cui anche gli Iban personali e gli indirizzi di residenza. L’episodio ha dimostrato tutta la vulnerabilità delle misure di sicurezza precedentemente predisposte, violando l’art. 32 GDPR e richiedendo l’intervento del Garante che ha avviato un’istruttoria allo scopo di effettuare opportune verifiche e valutare l’adeguatezza delle contromisure adottate dall’Ente e gli interventi necessari a tutelare i diritti e le libertà degli interessati.

Nel complesso, la violazione ha permesso l’emergere di ulteriori criticità, che non incidono sulle misure di sicurezza. In particolare:

  • L’assenza di un Responsabile della protezione dati al momento della verificazione della violazione;
  • La possibile condizione di conflitto di interessi del Resposabile per la protezione dati, per tutto il periodo di esercizio della funzione.

 

Come assicurare la collaborazione tra le varie figure professionali? Hedya propone un percorso formativo innovativo sulle “Nuove Professioni Digitali”

 

Le posizioni del Garante evidenziano la necessità, per le Pubbliche Amministrazioni, di percorsi formativi:

  • integrati, che coinvolgano le varie figure professionali;
  • mirati ad assicurare la sicurezza del trattamento;
  • aggiornati su tutte le principali questioni connesse al GDPR.

 

Per tali ragioni, Hedya propone il percorso formativo innovativo “Le Nuove Professioni Digitali”. Se il Codice dell’Amministrazione Digitale (D.Lgs. 82/2005 o semplicemente CAD) e la normativa collegata (Linee Guida AgID) ci presentano il Responsabile Transizione al Digitale e Responsabile della Conservazione Documentale, il Regolamento Europeo 2016/679 (GDPR) schiera in campo il Responsabile per la protezione dei dati personali e l’Amministratore di sistema.  Si tratta di nuove figure professionali, la cui formazione deve necessariamente essere di natura trasversale, che convivono della nuova P.A. Digitale e che ne guidano il cambiamento.

 

Hedya propone inoltre un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

  1. Formazione e consulenza in materia di Digitalizzazione

Hedya supporta le Pubbliche Amministrazioni anche attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

 

 

/da

Lo Smart working nelle PA passa per il Responsabile per la Transizione al Digitale

La Transizione al Digitale: quali regole?

Con la Circolare n. 1/2020 del 04/03/2020, il Ministro per la Pubblica Amministrazione ha introdotto il regime dell’obbligo per tutte le PA di adottare misure organizzative “per il ricorso a nuove modalità spazio-temporali di svolgimento della prestazione lavorativa”, inaugurando il cd. Smart working. Successivamente, con la Direttiva 2/2020 emessa in data 12/03/2020 dal Dipartimento della Funzione pubblica si è consolidato il regime dello smart working, predisponendo un quadro più articolato, che impone alle Pubbliche Amministrazione la piena Transizione al Digitale.

Per tali ragioni, il Responsabile per la Transizione al Digitale costituisce il vero perno su cui ruota l’intero processo di Transizione al Digitale: è il Responsabile per la Transizione al Digitale che dovrà occuparsi di portare l’Ente verso le nuove forme di lavoro agile.

Con l’approvazione del nuovo Piano Triennale per l’Informatica 2019-2020, si è precisato che il Responsabile per la Transizione al Digitale deve  garantire operativamente la trasformazione digitale dell’Amministrazione, coordinandola nello sviluppo dei servizi pubblici digitali e nell’adozione di nuovi modelli di relazione trasparenti e aperti con i cittadini.

 

Come si è già indicato nella Circolare n. 1/2020, per garantire il pieno processo di digitalizzazione le Pubbliche Amministrazioni potranno ricorrere a molteplici strumenti informatici, come ad esempio:

  • soluzioni cloudper agevolare l’accesso condiviso a dati, informazioni e documenti;
  • il ricorso a vie telematicheper la partecipazione da remoto a riunioni e incontri di lavoro;
  • la suddivisione e l’organizzazione per la prestazione di servizi riservati al pubblico, per evitare la creazione di assembramenti;
  • il ricorso alle modalità flessibili di svolgimento della prestazione lavorativa anche nei casi in cui il dipendente si renda disponibile ad utilizzare propri dispositivi, in caso di indisponibilità o insufficienza di dotazione informatica da parte dell’amministrazione, garantendo adeguati livelli di sicurezza e protezione della rete;
  • l’attivazione di un sistema di reportistica interna ai fini dell’ottimizzazione della produttività anche in un’ottica di progressiva integrazione con il sistema di misurazione e valutazione della performance.

 

 

Quali soluzioni? La formazione e i servizi di consulenza Hedya per la transizione al Digitale

Il tema cruciale per garantire la transizione al digitale è sicuramente quello legato alle competenze digitali nella PA, che costituisce il fattore abilitante per qualsiasi corretta e adeguata governance dell’innovazione.

Per tali ragioni, Hedya propone:

 

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

Inoltre, Hedya supporta le Pubbliche Amministrazioni attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

/da

Violazione del GDPR, il dirigente risponde del danno arrecato alla PA e ai terzi

Corte dei Conti: il dirigente risponde in caso di violazione del GDPR

 

L’introduzione del GDPR ha apportato sostanziali modifiche alla previgente normativa in materia di protezione dati personali. Il Regolamento, in particolare, amplifica le responsabilità del titolare del trattamento dati, attraverso l’enunciazione del principio di accountability.

Il nuovo sistema di Data Protection trova piena applicazione anche nell’ambito della Pubblica Amministrazione, che nel 2019 è risultato il settore più colpito dalle sanzioni per violazione del GDPR. Nel caso della Pubblica Amministrazione, in effetti, il dovere di condotta conforme al Regolamento (accountability) deve essere osservato a tutti i livelli organizzativi, nonché oggetto di puntuale controllo da parte dei dirigenti.

La violazione del GDPR, secondo la Corte dei conti, costituisce presupposto per la configurabilità del danno erariale, ed espone i dirigenti a rispondere personalmente del pregiudizio patito dall’Ente:

  • già nel 2018, la Corte dei Conti-Sardegna, con sentenza n. 73/2018 aveva affermato che la violazione della legislazione in materia di dati personali da parte degli Enti pubblici costituisce condotta gravemente colposa fonte di responsabilità personale che comporta l’obbligo del risarcimento del danno erariale;
  • nel corso del 2019, invece, ulteriori pronunce del giudice contabile hanno ribadito che il depauperamento sofferto dall’Ente (a causa del pagamento della sanzione comminata dal Garante privacy) e il rapporto di servizio sono elementi costitutivi della responsabilità erariale.

 

In sintesi, la casistica giurisprudenziale conferma che in caso di inosservanza della normativa in materia di protezione dati, la Pubblica Amministrazione possa rivalersi nei confronti dei dirigenti.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

 

Le recenti sentenze della Corte dei Conti confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya fornisce percorsi formativi e di aggiornamento, nonché servizi di consulenza.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

  1. Formazione e consulenza in materia di Digitalizzazione

Hedya supporta le Pubbliche Amministrazioni anche attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

/da

Responsabile transizione digitale (RTD): il MIUR ridisegna l’esercizio della funzione in forma associata

La nota del Miur sulla figura del RTD: cosa cambia?

 

Il Responsabile per la Transizione al Digitale rappresenta, come già visto, l’attore principale del processo di digitalizzazione della  PA. Il Codice  dell’amministrazione digitale (CAD)  ha  introdotto  il  ruolo  dell’ufficio  a  cui  affidare la transizione al digitale all’articolo 17, comma 1; da ultimo, con le modifiche operate dai decreti legislativi n. 179 del 2016 e n. 217 del 2017, si prevede che le Pubbliche Amministrazioni “garantiscono l’attuazione delle linee strategiche per la riorganizzazione e la digitalizzazione dell’amministrazione definite dal Governo” ed inoltre che “attribuiscano ad un Ufficio dirigenziale generale l’attuazione delle linee strategiche per la loro riorganizzazione e digitalizzazione”.

Per queste ragioni, il Miur – con Decreto Ministeriale n. 529 del 1 agosto 2017 – ha individuato il proprio Responsabile per la Transizione al Digitale nella persona del Direttore generale della Direzione Generale per i contratti, gli acquisti e per i sistemi informativi e la statistica. In particolare, in base alla previsione contenuta all’articolo 17, comma 1-septies, le funzioni del Responsabile della Transizione Digitale del MIUR sono esercitate in forma associata anche per le Istituzioni scolastiche ed educative, giacché la Direzione Generale per i contratti, gli acquisti e per i sistemi informativi e la statistica già si occupava della pianificazione nonché dell’attuazione delle linee strategiche per la digitalizzazione dei processi dell’Amministrazione e delle Scuole.

Il Miur, quindi, ha emanato lo scorso 5 dicembre 2019 la Nota n. 2260/2019, con la quale vengono fornite indicazioni in merito alla figura del RTD.

In particolare:

  • le Istituzioni scolastiche ed educative che abbiano eventualmente nominato un RTD,sono invitate a far decadere le nomine effettuate, riconoscendo il RTD del MIUR quale unico responsabile per la transizione digitale;
  • le figure e le funzioni organizzative già previste ed operative nelle Scuole (ad es. Animatori digitali; Team per l’innovazione digitale, ecc.) opereranno anche in sinergia rispetto al coordinamento centralizzato del RTD, per una partecipata attuazione degli indirizzi strategici del MIUR;
  • a causa di tali correttivi, sarà avviata in collaborazione con AGID un’attività di aggiornamento dell’Indice delle Pubbliche Amministrazioni finalizzata ad apportare le necessarie modifiche nelle sezioni dell’elenco dedicate agli Uffici per la Transizione al Digitale.

 

 

Quali soluzioni? La formazione e i servizi di consulenza Hedya per la transizione al Digitale

Il tema cruciale per garantire la transizione al digitale è sicuramente quello legato alle competenze digitali nella PA, che costituisce il fattore abilitante per qualsiasi corretta e adeguata governance dell’innovazione.

Del resto, sono stati emanati di recente due documenti di riferimento proprio sul tema specifico:

 

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

Inoltre, Hedya supporta le Pubbliche Amministrazioni attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da

Elementi di portfolio