Adempimenti privacy e cyber per aziende ICT: una guida completa

Sono molte le normative di prossima applicazione nell’ambito dei servizi digitali: approfondiamone l’impatto sulle aziende (private) operanti nel settore ICT, dal punto di vista della sicurezza informatica e cibernetica, con un focus sul commercio elettronico e annesse ricadute.

Una ricognizione delle fonti normative

Partendo da una ricognizione delle fonti normative, intendiamo soffermarci su quelle maggiormente significative, in ordine cronologico, al fine di poter offrire una breve iniziale panoramica a tutto tondo, e in particolare:

• la Direttiva 2000/31/CE sul commercio elettronico recepita in Italia con il D. Lgs. 70/2003, e concernente i servizi della società dell’informazione e del commercio elettronico nell’UE;
• la Direttiva 2002/21/CE sulle reti e i servizi di comunicazione elettronica impattante il settore delle comunicazioni elettroniche, inclusi i servizi di telecomunicazione e ICT;
• il Regolamento (UE) 910/2014 cd eIDAS sui servizi di identificazione elettronica e fiducia per le transazioni elettroniche nel mercato interno che regola i servizi di identificazione elettronica e fiducia per le transazioni elettroniche riguardando alcuni aspetti dei servizi ICT;
• il Regolamento generale sulla protezione dei dati personali 2016/679, noto a tutti come GDPR, concernente la protezione dei dati personali dei cittadini dell’Unione europea, con significative implicazioni per i fornitori di servizi ICT che trattano dati personali e novellato D.lgs. 196/2003 Codice Privacy;
• la Direttiva 2016/2102 sull’accessibilità dei siti web e delle applicazioni per dispositivi mobili del settore pubblico riguardante, per l’appunto, l’accessibilità dei siti web e delle app pubbliche, inclusi quelli che offrono servizi ICT;
• la Direttiva 2016/1148 sulla sicurezza delle reti e dei sistemi informativi che impone requisiti di sicurezza agli operatori di servizi essenziali e di infrastrutture critiche, inclusi quelli del settore ICT;
• la recente Direttiva 2019/790 sul diritto d’autore nel mercato unico digitale recepita in Italia con il Decreto Legislativo 8 novembre 2021, n. 177 la quale introduce nuove norme in materia, che possono interessare i fornitori dei servizi ICT, come ad esempio le piattaforme di condivisione di contenuti;
• il Regolamento (UE) 2022/2065 cd Digital Services Act (DSA) sui servizi digitali nonché sui mercati digitali che mirano a creare uno “spazio unico digitale più sicuro nel quale siano protetti i diritti fondamentali degli utenti creando condizioni di parità per le imprese”;
• il Regolamento (UE) 2022/1925 cd Digital Market Act (DMA)sui mercati digitali;
• il Regolamento (UE) 2022/868 cd Digital Governance Act (DGA) sulla governance dei dati tutti, e non solo quelli personali, approvato nel contesto della UE onde creare uno spazio digitale europeo per la loro condivisione e collegato al Data Act;
• Il Regolamento (UE) 2022/2554 cd Digital Operational Resilience Act (DORA) relativo alla resilienza operativa digitale per il settore finanziario.

Le date, un breve riepilogo

Nella tabella ecco un breve scadenziario degli ultimi Regolamenti citati.

Le principali normative europee di recente uscita

Dal 2014 ad oggi la Commissione europea ha intrapreso non poche iniziative normative, dipingendo un quadro solido atto ad accrescere la fiducia (nel) digitale. Scopriamole di seguito, in dettaglio.

GDPR: la normativa madre

Intanto, dobbiamo dire grazie al GDPR, la normativa per così dire madre, con la quale l’Unione europea ha fissato il primo importante tassello verso un mercato unico dei dati e quindi delle informazioni che passano soprattutto nel mondo del digitale. “Se non c’è mercato unico — come ha sostenuto il Prof. Pizzetti, al Privacy Day 2023 — non c’è [nè ci può essere] Europa”.

In questo, ecco che la lettura applicativa del GDPR alla luce degli ultimi regolamenti europei usciti, ha fatto da spartiacque costituendo molti punti di contatto: basti pensare al principio dell’accountability ispiratore per molti dei regolamenti a seguire.

Digital Governance Act – DGA e Data Act

Il 23 giugno 2022 è entrato in vigore il Data Governance Act – DGA applicabile da settembre 2023; mentre la scorsa metà del mese di marzo 2023, il Parlamento europeo ha approvato la proposta di legge per il Data Act. È chiaro ed evidente che la UE abbia come virtuoso obiettivo quello di costituire un mercato unico dei dati, creando uno spazio digitale europeo sicuro e affidabile, segnando nuovi tasselli nella Strategia Europea per i Dati.

Si tratta di due regolamenti caratterizzati da un approccio tra loro integrato fungendo l’uno, il DGA, da scambio e riutilizzo dei dati detenuti da Enti pubblici, in ottica per l’appunto di governance; e l’altro, il Data Act, da generatore di valore indicandone le condizioni. Per ulteriori approfondimenti leggi qui.

Digital Service Act – DSA

Il 16 novembre 2022 è entrato in vigore il Digital Service Act – DSA e sarà vincolante dal 17 febbraio 2024.

Si tratta di un regolamento che si rivolge a tutti i servizi digitali comprendendo una vasta categoria di servizi online, dai semplici siti web ai servizi di infrastruttura internet e alle piattaforme online, e per conseguenza anche ai Providers (mere conduit, caching, hosting). Non solo, si rivolge anche ai servizi di intermediazione che offrono infrastrutture di rete, servizi di hosting come servizi cloud e webhosting, piattaforme online che riuniscono venditori e consumatori come mercati online, app store, piattaforme di economia collaborativa e piattaforme di social media.

Tra gli obiettivi virtuosi del DSA si annoverano più alti standard di trasparenza e responsabilità più rigorosi in relazione alle modalità di moderazione dei contenuti istituendo obblighi di valutazione dei rischi derivanti dai sistemi, e allo scopo di sviluppare adeguati strumenti di gestione dei rischi, proteggendo l’integrità dei servizi dall’uso di tecniche di manipolazione.

Le assonanze con il GDPR sono evidenti e si ravvisano in un sistema di due diligence peraltro già previsto dal GDPR, e segnano il passaggio da un regime di irresponsabilità ad una crescente responsabilizzazione degli operatori del Web, attraverso l’esecuzione del risk assessment richiamando, per l’effetto, lo stesso principio di accountability di cui al GDPR (DPIA). Per ulteriori approfondimenti, leggi qui.

Digital Market Act – DMA

Il 1° novembre 2022 è entrato in vigore il DMA, divenendo pienamente applicabile dal 25 giugno 2023. Esso si colloca (insieme al DSA) all’interno del più vasto “pacchetto normativo” sui servizi digitali a garanzia e salvaguardia della parità tra le imprese che operano nel settore digitale.

Il DMA intende creare un equilibrio concorrenziale nel mercato digitale, a garanzia dell’equità del settore, rivolgendosi a tutti i servizi di piattaforma di base forniti/offerti dai gatekeeper (i “guardiani del cancello”) ovvero i controllori degli accessi, agli utenti commerciali stabiliti nell’Unione europea, agli utenti finali, in pratica ai fornitori dei servizi di piattaforma di base che erogano servizi, a titolo esemplificativo ma non esaustivo, di intermediazione online, motori di ricerca online; social network; servizi di cloud computing, ecc. Per ulteriori approfondimenti, leggi qui.

Digital Operational Resilience Act – DORA

Il 16 gennaio 2023 è entrato in vigore il DORA e sarà vincolante a partire dal 17 gennaio 2025. Il DORA si pone come obiettivo virtuoso quello di consolidare e armonizzare, a livello europeo, i principali requisiti di cybersecurity con riguardo alla resilienza operativa digitale nel settore finanziario. Esso si rivolge oltre che ai tradizionali istituti finanziari e assicurativi, alle imprese di investimento, alle agenzie di rating, agli enti pensionistici aziendali o professionali, ai revisori legali, ai fornitori di servizi di comunicazioni dati e di crowdfunding, nonché ai fornitori “critici” dei servizi ICTSecurity.

In linea generale, tutti i soggetti/operatori sopra elencati che, più o meno direttamente saranno coinvolti, dovranno sottostare a “norme uniformi e trasversalidisegnando un modello di resilienza digitale by design, che prevede una gestione del rischio integrata nell’intero ciclo di vita dei servizi”. Per ulteriori approfondimenti, leggi qui.

Gli adempimenti a carico delle aziende del settore ICT

Fatta questa ampia teorica premessa, scendiamo più nel concreto, soffermandoci su quelli che sono gli adempimenti che le aziende del settore ICT devono sostenere, per una corretta e adeguata compliance, soffermandoci su alcuni soltanto, per ragioni di opportunità, e in particolare sul DMA, DSA e DORA.

Obblighi per un’adeguata compliance al DMA

Iniziamo con il rammentare che il DMA è già pienamente applicabile, dallo scorso giugno 2023. Circa gli obblighi per un’adeguata compliance, evidenziamo di seguito cosa devono fare i cd gatekeeper:

• promuovere moderatamente i propri prodotti, prevedendo dall’altro più possibilità di pagamento, e imponendo dall’altro agli utenti commerciali condizioni eque;
• utilizzare solo i dati personali raccolti limitatamente al servizio (finalità) di riferimento;
• richiedere il consenso in caso di registrazione di utenti finali ad altri servizi.

Per contro, questi — sempre per essere conformi alla normativa in questione — non devono:

• preinstallare determinate applicazioni software;
• ricorrere a pratiche di vendita aggregata;
• trattare/combinare/utilizzare in modo incrociato i dati personali degli utenti finali utilizzatori dei servizi di terzi.

In difetto, sono previste sanzioni “…fino al 10% del fatturato totale annuo mondiale dell’azienda o fino al 20% in caso di violazioni ripetute, nonché pagamenti periodici fino al 5% del fatturato totale giornaliero mondiale dell’azienda”.

Obblighi per un’adeguata compliance al DSA, entro il 17 febbraio 2024

Con riferimento al DSA gli obblighi principali che i soggetti coinvolti tra cui gli ISP, sono:

• indicare in modo chiaro le condizioni di servizio e i relativi requisiti;
• fornire informazioni esplicite sulla moderazione dei contenuti e sull’uso degli algoritmi per i sistemi di raccomandazione dei contenuti, che potranno comunque essere contestati dagli utenti;
• adottare trasparenza nei sistemi di suggerimento e nelle pubblicità online rivolte agli utenti;
• non utilizzare pubblicità mirata rivolta ai bambini o basata su dati sensibili degli utenti;
• non utilizzare pratiche ingannevoli volte a manipolare le scelte degli utenti, compresi i dark pattern;
• collaborare con le Autorità nazionali ove richiesto;
• denunciare i reati;
• creare un meccanismo di reclamo, ricorso, risoluzione extragiudiziale delle controversie;
• adottare misure contro le segnalazioni e le repliche abusive;
• controllare le credenziali di fornitori terzi, secondo il principio del “conosci il tuo cliente commerciale” (KYBC), anche attraverso controlli a campione.

Per completezza, occorre dire che sono esenti dai nuovi obblighi quei provider che forniscono attività di “mere conduit” vale a dire di semplice trasporto, caching e hosting.

Obblighi per un’adeguata compliance al DORA, entro il 17 gennaio 2025

Circa il DORA, adeguarsi in concreto significa:

• mettere in atto diversi processi con significativi impatti sull’Organizzazione;
• adeguare policy, procedure, ecc. ai nuovi requisiti e conseguentemente aggiornare i processi da adottare alle norme vigenti;
• identificare infrastrutture/applicazioni, valutazione/identificazione delle misure di sicurezza tecniche e organizzative da implementare adeguando le procedure e se del caso redigerne delle nuove;
• creare sistemi di controllo da monitorare periodicamente.

Non solo, le Organizzazioni dovranno implementare la governance ICT, nel senso che si dovrà tendere a un perfetto, o meglio, perfettibile allineamento tra le strategie di gestione dei rischi ICT; il Risk Management dovendo armonizzare le regole per la gestione del rischio ICT grazie a:

• una predisposizione di misure di protezione e prevenzione,
• al rilevamento di minacce,
• alla gestione degli incidenti,
• all’implementazione di strategie di continuità operativa e piani di ripristino in caso di disastro.

Ancora, le Organizzazioni devono strutturare bene la gestione degli incidenti, prevedendo specifici obblighi, implementando un sistema di mappatura in cui non solo classificare i vari incidenti, ma anche specificare le soglie di rilevanza, come da Regolamento.

Il tutto grazie a test periodici di resilienza, onde accertare “il grado di maturità, identificarne punti deboli e definire eventuali misure correttive”.

Ma c’è di più.

Le varie Organizzazioni coinvolte, dovendo garantire il rispetto delle norme applicabili al monitoraggio dei rischi ICT derivanti da Terze Parti, sono tenute ad armonizzare gli elementi essenziali del servizio in tutte le singole fasi contrattuali dalla stipula, alla esecuzione, ed estinzione.

Da ultimo, è prevista la condivisione delle informazioni tra le varie Organizzazioni coinvolte nel rispetto del DORA, grazie ad accordi quadro.

Nel concreto, le azioni essenziali sono:

• una Gap analysis dell’ICT risk management framework;
• una Revisione del Report degli incidenti;
• un Assessment dei fornitori cd critici rinegoziandone i contratti sottoscritti con gli stessi.

Sui fornitori cd critici una precisazione si impone. I fornitori non sono tutti critici naturalmente. Alcuni sono considerati tali dopo averli valutati in termini di “criticità”. Perché ciò possa accadere è necessario mappare i contratti, valutare la criticità rispetto all’operatività del business, revisionare e documentare le vulnerabilità, al fine di permettere la pianificazione di strategie adeguate nella mitigazione del rischio.

Da qui, un inevitabile accenno va alle misure di sicurezza richieste dal DORA e orientate alla gestione degli eventi cibernetici, con un approccio basato sul NIST Cybersecurity Framework cui si rinvia.

Conclusioni

Al termine di questo corposo percorso, riteniamo di aver dipinto un quadro sufficientemente vasto e complesso nel quale ci siamo voluti soffermare su quegli aspetti e implicazioni, anche normative, più significative, afferenti all’ambito dei servizi digitali/settore ICT. Naturalmente, il risultato delineato è abbastanza sofisticato; tutto sta, per le aziende che operano in questo settore, adeguarsi step by step, purché nei termini di legge.