The people overseeing the security of Google’s Chrome browser explicitly forbid third-party extension developers from trying to manipulate how the browser extensions they submit are presented in the Chrome Web Store. The policy specifically calls out search-manipulating techniques such as listing multiple extensions that provide the same experience or plastering extension descriptions with loosely related or unrelated keywords.

On Wednesday, security and privacy researcher Wladimir Palant revealed that developers are flagrantly violating those terms in hundreds of extensions currently available for download from Google. As a result, searches for a particular term or terms can return extensions that are unrelated, inferior knockoffs, or carry out abusive tasks such as surreptitiously monetizing web searches, something Google expressly forbids.

Not looking? Don’t care? Both?

A search Wednesday morning in California for Norton Password Manager, for example, returned not only the official extension but three others, all of which are unrelated at best and potentially abusive at worst. The results may look different for searches at other times or from different locations.

It’s unclear why someone who uses a password manager would be interested in spoofing their time zone or boosting the audio volume. Yes, they’re all extensions for tweaking or otherwise extending the Chrome browsing experience, but isn’t every extension? The Chrome Web Store doesn’t want extension users to get pigeonholed or to see the list of offerings as limited, so it doesn’t just return the title searched for. Instead, it draws inferences from descriptions of other extensions in an attempt to promote ones that may also be of interest.

In many cases, developers are exploiting Google’s eagerness to promote potentially related extensions in campaigns that foist offerings that are irrelevant or abusive. But wait, Chrome security people have put developers on notice that they’re not permitted to engage in keyword spam and other search-manipulating techniques. So, how is this happening?

https://arstechnica.com/security/2025/01/googles-chrome-web-store-has-a-serious-spam-problem-promoting-shady-extensions/

In just 20 minutes this morning, an automated license-plate-recognition (ALPR) system in Nashville, Tennessee, captured photographs and detailed information from nearly 1,000 vehicles as they passed by. Among them: eight black Jeep Wranglers, six Honda Accords, an ambulance, and a yellow Ford Fiesta with a vanity plate.

This trove of real-time vehicle data, collected by one of Motorola’s ALPR systems, is meant to be accessible by law enforcement. However, a flaw discovered by a security researcher has exposed live video feeds and detailed records of passing vehicles, revealing the staggering scale of surveillance enabled by this widespread technology.

More than 150 Motorola ALPR cameras have exposed their video feeds and leaking data in recent months, according to security researcher Matt Brown, who first publicized the issues in a series of YouTube videos after buying an ALPR camera on eBay and reverse engineering it.

As well as broadcasting live footage accessible to anyone on the Internet, the misconfigured cameras also exposed data they have collected, including photos of cars and logs of license plates. The real-time video and data feeds don’t require any usernames or passwords to access.

Alongside other technologists, WIRED has reviewed video feeds from several of the cameras, confirming vehicle data—including makes, models, and colors of cars—have been accidentally exposed. Motorola confirmed the exposures, telling WIRED it was working with its customers to close the access.

Over the last decade, thousands of ALPR cameras have appeared in towns and cities across the US. The cameras, which are manufactured by companies such as Motorola and Flock Safety, automatically take pictures when they detect a car passing by. The cameras and databases of collected data are frequently used by police to search for suspects. ALPR cameras can be placed along roads, on the dashboards of cop cars, and even in trucks. These cameras capture billions of photos of cars—including occasionally bumper stickers, lawn signs, and T-shirts.

“Every one of them that I found exposed was in a fixed location over some roadway,” Brown, who runs cybersecurity company Brown Fine Security, tells WIRED. The exposed video feeds each cover a single lane of traffic, with cars driving through the camera’s view. In some streams, snow is falling. Brown found two streams for each exposed camera system, one in color and another in infrared.

https://arstechnica.com/security/2025/01/misconfigured-license-plate-readers-are-leaking-data-and-video-in-real-time/

Gen 08, 2025 Marina Londei Approfondimenti, Gestione dati, Gestione dati, In evidenza, News, RSS 0

---

Se finora l’FBI e il governo degli Stati Uniti ha sostenuto la necessità di inserire backdoor nei dispositivi per contrastare i crimini e il terrorismo, adesso sembrano aver fatto un passo indietro sul ruolo della crittografia.

Come spiega Jessica Lyons di The Register, il cambio di mentalità arriva dopo il grave data breach a opera di Salt Typhoon che ha colpito le aziende statunitensi di telecomunicazioni. Il gruppo di hacker cinesi ha colpito compagnie quali Verizon e AT&T con una campagna che è rimasta attiva per oltre otto mesi, provocando un impatto catastrofico.

Dopo l’attacco le agenzie governative hanno cominciato a promuovere l’uso della crittografia end-to-end per proteggere le comunicazioni, soprattutto quelle di funzionari pubblici e politici, considerati target di alto livello. In una guida ufficiale pubblicata lo scorso dicembre, la CISA ha esortato questi obiettivi a non usare più le normali telefonate o app di messaggistica, ma a optare solo per comunicazioni crittografate.

Si tratta di un cambiamento epocale considerando che le forze dell’ordine hanno sempre promosso la necessità di backdoor per monitorare le comunicazioni. Nel 1994 lo CALEA (Communications Assistance for Law Enforcement ACT) imponeva ai provider di telecomunicazioni di progettare sistemi che consentissero l’intercettazione delle comunicazioni da parte delle forze dell’ordine.

Lo statuto prevedeva però che i provider rendessero queste backdoor inaccessibili ad attori esterni; un requisito che, evidentemente, non è mai stato rispettato del tutto. Così gli hacker di Salt Typhoon sono riusciti a sfruttare queste backdoor e registrare le conversazioni di figure politiche statunitensi in una campagna che è stata definita da molti la peggiore nella storia della nazione.

“Il dibattito sulla crittografia end-to-end è finito“ ha detto John Ackerly, CEO e fondatore di Virtru, fornitore globale di soluzioni di crittografia. “È decisamente finito e, come Paese, dovremmo abbracciare la crittografia senza backdoor“. Ackerly ha sottolineato la pericolosità di lasciare accessi nascosti, perché sfruttabili sia dalle forze dell’ordine che dagli attaccanti.

Molti senatori degli Stati Uniti si dicono d’accordo nel riformare la CALEA, introducendo la crittografia end-to-end ed eliminando le backdoor. Ron Wyden, senatore dell’Oregon, ha chiesto a gran voce che gli operatori di rete americani implementino standard di sicurezza severi, garantendo che i loro sistemi non siano suscettibili ad attacchi di spionaggio.

“Dobbiamo combattere contro il compiacimento e le policy inadeguate“ ha aggiunto Ackerly. “Ecco perché la CALEA deve essere riformata. Puntiamo una luce Klieg (una lampada molto potente usata soprattutto nel cinema, n.d.r.) finché non ci sarà una risposta migliore del semplice: ‘I cinesi sono ancora lì, non sappiamo cosa fare. È troppo tardi, lasciate perdere’ “.

---

---

---

https://www.securityinfo.it/2025/01/08/gli-stati-uniti-cambiano-opinione-sulla-crittografia-e-sulle-backdoor/?utm_source=rss&utm_medium=rss&utm_campaign=gli-stati-uniti-cambiano-opinione-sulla-crittografia-e-sulle-backdoor

Durante il Forum ICT Security 2024, Cristiano Guerrieri – Solution’s Engineer di Threatlocker – nel suo intervento “Come creare un Malware di successo e come difendersi con il modello Zero Trust” ha descritto come gli attacchi ransomware siano diventati progressivamente più sofisticati e strutturati, evidenziando l’importanza di comprendere le tecniche degli attaccanti per poter sviluppare difese efficaci.

Ransomware-as-a-Service (RaaS) ed evoluzione degli attacchi

L’intervento ha svelato le dinamiche ricorrenti che riguardano la creazione e la distribuzione di malware, sottolineando come gli autori di ransomware non siano più semplici “nerd” ma operino spesso in strutture simili a vere e proprie aziende, organizzate in un modello noto come Ransomware-as-a-Service (RaaS).

Guarda il video completo dell’intervento:

Tecniche avanzate di Rilevamento e Blocco del Malware

Guerrieri ha descritto i processi tradizionali di rilevamento e blocco del malware da parte degli antivirus, tipicamente basati sulla scansione continua dei file e sul raffronto con database di firme note: tecniche oggi non più attuali, in quanto gli attaccanti hanno da tempo affinato le loro strategie includendo software o hash malevoli all’interno del codice legittimo, così da bypassare l’identificazione.

Questo ha portato allo sviluppo degli antivirus di nuova generazione (tra cui EDR, XDR e così via) e all’implementazione di tecniche avanzate, come il sandboxing o l’analisi comportamentale, per rilevare attività sospette anche qualora provengano da strumenti leciti.

Malware: Intelligenza Artificiale e creazione di Codice Malevolo Unico

Un punto chiave trattato nell’intervento ha riguardato l’uso dell’intelligenza artificiale e, in particolare, di strumenti come ChatGPT per generare codice unico e non rilevabile, evidenziando come gli stessi strumenti che aiutano a proteggere i nostri sistemi possano essere utilizzati per attaccarli.

Il relatore ha dimostrato l’efficacia di questa tattica mostrando come un codice creato ex novo e scritto in modo unico non venga rilevato da un detection tool tradizionale.

Aumento dello Scoring di Sicurezza attraverso Icone e Firme Digitali

Un altro aspetto importante affrontato da Guerrieri è relativo all’aumento dello scoring di sicurezza di un file malevolo attraverso l’aggiunta di icone o firme digitali, che possono farli apparire come software affidabili in modo da ingannare gli algoritmi di sicurezza.

Il relatore ha anche condiviso un aneddoto circa un attacco rivolto a un software di management remoto dove il codice malevolo è stato introdotto attraverso un update legittimo, in un’ulteriore sfida alle convenzionali misure di sicurezza.

Limiti dell’approccio tradizionale alla Sicurezza Informatica

L’intervento ha messo in luce come l’approccio tradizionale alla sicurezza informatica stia diventando insufficiente di fronte alla crescente sofisticatezza e alla natura mutevole delle minacce.

A riguardo il relatore ha evidenziato l’importanza di un modello di sicurezza che non tenda solo al riconoscimento del malware ma includa una gestione rigorosa delle autorizzazioni, secondo il principio “non fidarsi mai, verificare sempre”.

In applicazione di tale principio, le soluzioni messe a punto da Threatlocker si basano sull’approccio Zero Trust: concretamente ciò significa bloccare tutto il software non autorizzato e non utile allo svolgimento delle attività aziendali, consentendo l’accesso alle sole applicazioni necessarie tramite una serie di allow list.

L’importanza del Modello di Sicurezza Zero Trust

Guerrieri ha concluso l’intervento ricordando l’importanza di includere l’analisi del comportamento dei file nell’ambiente di rete – prevedendo inoltre il regolare patching dei sistemi – per mitigare efficacemente il rischio di attacchi informatici.

La presentazione ha evidenziato la necessità, per le organizzazioni, di implementare soluzioni basate sul paradigma Zero Trust allo scopo di definire strategie di sicurezza maggiormente dinamiche e proattive, che sappiano tenere il passo rispetto a minacce sempre più sofisticate.

https://www.ictsecuritymagazine.com/articoli/malware-e-zero-trust/

https://www.securitymagazine.com/blogs/14-security-blog/post/101272-5-emerging-cybersecurity-trends-to-watch-in-2025

https://www.securitymagazine.com/blogs/14-security-blog/post/101275-data-deregulation-to-ai-protection-security-priorities-in-2025

In 2012, an industry-wide coalition of hardware and software makers adopted Secure Boot to protect Windows devices against the threat of malware that could infect the BIOS and, later, its successor, the UEFI, the firmware that loaded the operating system each time a computer booted up.

Firmware-dwelling malware raises the specter of malware that infects the devices before the operating system even loads, each time they boot up. From there, it can remain immune to detection and removal. Secure Boot uses public-key cryptography to block the loading of any code that isn’t signed with a pre-approved digital signature.

2018 calling for its BIOS

Since 2016, Microsoft has required all Windows devices to include a strong, trusted platform module that enforces Secure Boot. To this day, organizations widely regard Secure Boot as an important, if not essential, foundation of trust in securing devices in some of the most critical environments.

Microsoft has a much harder time requiring Secure Boot to be enforced on specialized devices, such as scientific instruments used inside research labs. As a result, gear used in some of the world’s most sensitive environments still doesn’t enforce it. On Tuesday, researchers from firmware security firm Eclypsium called out one of them: the Illumina iSeq 100, a DNA sequencer that’s a staple at 23andMe and thousands of other gene-sequencing laboratories around the world.

The iSeq 100 can boot from a Compatibility Support Mode, so it works with older legacy systems such as 32-bit OSes. When this is the case, the iSeq loads from BIOS B480AM12, a version that dates to 2018. It harbors years’ worth of critical vulnerabilities that can be exploited to carry out the types of firmware attacks Secure Boot envisioned.

Additionally, Eclypsium said, firmware Read/Write protections aren’t enabled, meaning an attacker is free to modify the firmware on the device.

Eclypsium wrote:

It should be noted that our analysis was limited specifically to the iSeq 100 sequencer device. However, the issue is likely much more broad than this single model of device. Medical device manufacturers tend to focus on their unique area of expertise (e.g. gene sequencing) and rely on outside suppliers and services to build the underlying computing infrastructure of the device. In this case, the problems were tied to an OEM motherboard made by IEI Integration Corp. IEI develops a wide range of industrial computer products and maintains a dedicated line of business as an ODM for medical devices. As a result, it would be highly likely that these or similar issues could be found either in other medical or industrial devices that use IEI motherboards. This is a perfect example of how mistakes early in the supply chain can have far reaching impacts across many types of devices and vendors.

In an email, Eclypsium CTO Alex Bazhaniuk wrote: “To be fair, with an OS that does not get the most recent security updates, there are plenty of risks and threats, not to mention how each IT organization manages their own assets on their network.”

https://arstechnica.com/security/2025/01/widely-used-dna-sequencer-still-doesnt-enforce-secure-boot/

Reported CVEs have increased by a whopping 30% this year. The success of a threat actors’ CVE-based attacks isn’t always dependent on leveraging a zero day. Many individuals and organizations don’t respond to published CVEs in an expedited fashion. That’s why security leaders have also seen a 10% rise in the exploitation of old vulnerabilities — hackers don’t need to rush when outdated and insufficient processes give them the opportunity to take their time!

Take the example of Fortinet. 86,000 Fortinet instances remained vulnerable to a critical flaw (CVE-2024-23113), and attackers started exploiting it after it had flown under the radar for almost nine months.

There is only so much a security team can do to be proactive in these situations; they don’t operate in a bubble, and immediately patching production systems without proper testing comes with its own risks. Bandwidth can be limited, threats are constant, and it may feel like you’re always putting out fires. However, there is potential to optimize a response in the face of emerging threats and vulnerabilities. If security leaders can better maximize their time, processes and procedures then they can be more resilient.

Damage to the nth degree

Security teams understand the criticality of patching their devices and systems. Instead, what can often be inadvertently deprioritized or overlooked is the defensibility of the connected ecosystem.

Do you know how many of your partners, suppliers, and vendors connected to your business have taken the necessary steps to safeguard themselves, and have done so in a way that aligns with your risk tolerance? Most companies don’t have high confidence in their answers. Which is why organizations often see this “mad dash” to collect emergency third-party assessments when new threats emerge.

It is also why security leaders see widespread chaos after an incident. Take this year’s CrowdStrike incident, which caused massive outages with Microsoft Windows; flights were canceled, medical procedures were halted, and financial transactions were delayed. The global impact was similar following Log4j where widespread exploitation and hacks impacted payroll processing and higher education systems.

These incidents can cost companies billions of dollars due to operational impacts, ransomware payments, litigation fees, recovery efforts, and more.

Cybercriminals are exploiting CVEs because there has been a greater volume of reported CVEs year-over-year, it’s proven to be successful, and has significant implications across the software supply chain — creating notoriety for these groups as well as more opportunity for financial gain and opportunistic hacks. There is so much pressure placed on not only security teams, but also those within procurement and compliance.

While security teams are trying to contain any damage internally, they also must work with the rest of their third-party risk management stakeholders to identify vendors that require immediate attention in response to an emerging threat. Rapid response within the interconnected ecosystem is critical, and it’s important for teams to enact a more streamlined process.

Critical components for managing threats 

Here are the critical steps for managing threats:

1. Increase visibility into emerging threats. Knowledge is power. You can’t “fix” what you don’t know, so make sure to have the proper resources and technology to know when threats arise. Monitoring resources like CISA’s Known Exploited Vulnerabilities (KEV) catalog or NIST’s National Vulnerability Database (NVD) is a great place to start. Getting near real time alerts for vulnerabilities of interest will help reduce noise and give accurate information on the nature and severity of evolving risks.
2. Know who is susceptible. Sending out bulk assessments to all vendors isn’t effective, or a great use of valuable resources. Security leaders want to avoid chasing down assessments and analyzing responses from vendors who have little to no access to data or systems, or may not be utilizing the software. This is where security leaders can apply proactive measures. There are a variety of different feeds and sources organizations can tap into to gain better understanding of which software a given third-party is using. Before an incident even occurs, security leaders should have their third-party ecosystem tiered out from least critical (perhaps a maintenance supplier) to most critical (like a cloud provider) inherent risk, which will allow them to know who they should be assessing when a threat is uncovered. This is where security leaders need to have a satisfactory risk management process in place.
3. Assess. Organizations are now at a place where they can send out assessments to targeted list of critical or impacted vendors. Cut down on the noise and make sure vendors are given an assessment that is specific to the threat and doesn’t request information they already have. Security leaders want to be able to make it easy for the third-party to complete, and also more efficient for their team to review, score and act.
4. Don’t forget to communicate! Communication, and transparency, is key, especially during high stakes scenarios when there’s many eyes on a program. Senior leaders, customers and partners will want to know that the security team is taking the necessary steps to contain the incident. Communicating the status of any efforts and disseminating reports that showcase progress will keep everyone’s mind at ease.

Rapid response isn’t as rapid as security leaders would like it to be, taking valuable days, weeks or even months to be able to respond to critical activity. If security leaders speed up and streamline their processes, they’ll be able to increase resiliency and ultimately give a little bit more time back into important schedules.

https://www.securitymagazine.com/articles/101271-mitigating-cve-exploitations-putting-the-rapid-into-rapid-response

Gen 07, 2025 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Lo scorso venerdì Moxa, provider di reti industriali, ha pubblicato un advisory di sicurezza dove descrive due vulnerabilità critiche che colpiscono diversi modelli dei propri router e di device di sicurezza.

“I router cellulari, i firewall e le appliance di sicurezza di rete di Moxa sono affetti da due vulnerabilità critiche che rappresentano un rischio significativo per la sicurezza” si legge nel post.

Uno dei due bug, tracciato come CVE-2024-9138, è causato da credenziali hard-coded che consentono a un utente autenticato di effettuare l’escalation dei privilegi per ottenere permessi di root sul sistema. Un attaccante sarebbe quindi in grado di compromettere il funzionamento del sistema, ottenere dati sensibili e interrompere l’erogazione del servizio.

La seconda vulnerabilità, la CVE-2024-9140, è un bug di OS Command Injection che consente a un attaccante di usare caratteri speciali in un comando per superare le restrizioni di input ed eseguire codice da remoto.

I dispositivi serie EDR-810 (con versione del firmware 5.12.37 e precedenti) e della EDR-G902 (con versione del firmware 5.7.25 e precedenti) sono vulnerabili al primo bug, mentre i device della serie EDR-8010, EDR-G9004 (versioni 3.13.1 e precedenti), EDR-G9010 (versioni 3.13.1 e precedenti), EDF-G1002-BP (versioni 3.13.1 e precedenti), NAT-102 (versioni 1.0.5 e precedenti), OnCell G4302-LTE4 (versioni 3.13 e precedenti) e TN-4900 (versioni 3.13 e precedenti) sono vulnerabili a entrambi i bug.

Moxa ha rilasciato le patch per le vulnerabilità per la maggior parte dei dispositivi elencati. Per i dispositivi OnCell G4302-LTE4 e TN-4900, è necessario contattare il supporto tecnico della compagnia per applicare la patch di sicurezza.

Per i NAT-102 non c’è invece ancora una patch; in questo caso Moxa consiglia di non esporre i device a internet se non strettamente necessario, di limitare l’accesso SSH ai soli indirizzi IP e alle reti attendibili e di implementare IDS o IPS per individuare e bloccare eventuali tentativi di sfruttamento.

---

---

---

https://www.securityinfo.it/2025/01/07/le-vulnerabilita-dei-dispositivi-moxa-mettono-a-rischio-le-reti-industriali/?utm_source=rss&utm_medium=rss&utm_campaign=le-vulnerabilita-dei-dispositivi-moxa-mettono-a-rischio-le-reti-industriali

Questo articolo fa parte di una serie dedicata al Registro dei Trattamenti nel contesto del GDPR. In questa sezione, affronteremo l’argomento del Trasferimento di Dati Personali Soggetto a Garanzie Adeguate nel GDPR, esplorando le alternative disponibili quando non è presente una decisione di adeguatezza e le misure necessarie per garantire la protezione dei dati personali nei trasferimenti internazionali.

Trasferimento di Dati Senza Decisione di Adeguatezza: Garanzie Adeguate (art. 46 GDPR)

L’assenza di una decisione di adeguatezza non è ostativa al trasferimento dei dati in un paese extra-UE, che rimane comunque possibile in coerenza con altre disposizioni del GDPR e nel caso di specie in presenza delle garanzie adeguate che sono descritte dagli artt. 46-49 del GDPR.

A norma dell’art. 46 del GDPR, in mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3 del GDPR, il titolare del trattamento o il responsabile del trattamento possono trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se hanno fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

Tipologie di Garanzie Adeguate per il Trasferimento di Dati Personali nel GDPR

L’art. 46 par. 2 del GDPR recita: possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un’autorità di controllo:

• Uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici;
• Le norme vincolanti d’impresa in conformità dell’articolo 47;
• Le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d’esame di cui all’articolo 93, paragrafo 2;
• Le clausole tipo di protezione dei dati adottate da un’autorità di controllo e approvate dalla Commissione secondo la procedura d’esame di cui all’articolo 93, paragrafo 2;
• Un codice di condotta approvato a norma dell’articolo 40, unitamente all’impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati;
• Un meccanismo di certificazione approvato a norma dell’articolo 42, unitamente all’impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.

L’art. 46 par. 3 del GDPR, inoltre, recita: possono inoltre, fatta salva l’autorizzazione dell’autorità di controllo competente, costituire garanzie adeguate di cui al paragrafo 1:

• Le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell’organizzazione internazionale;
• Le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.

Applicazione delle Garanzie Adeguate nel Trasferimento Internazionale di Dati

Giova sottolineare come le garanzie adeguate di cui agli artt. 46-49 del GDPR rappresentano ipotesi sempre alternative e quindi da utilizzare solo in caso di assenza delle decisioni di adeguatezza. Le modalità contemplate nell’art. 46, par. 2 lett. a) e par. 3 lett. b) del GDPR concernono il trasferimento dei dati tra autorità pubbliche oppure organismi pubblici.

Accordi Internazionali e Trasferimento di Dati Personali

In tale contesto è utile richiamare il Cons. n. 108 che è utile per interpretare la differente scelta operata dal legislatore comunitario.

In tale contesto è utile richiamare anche il Cons. 102, nel quale è menzionato un esempio in tal senso, che così recita: “Il presente regolamento lascia impregiudicate le disposizioni degli accordi internazionali conclusi tra l’Unione e i paesi terzi che disciplinano il trasferimento di dati personali, comprese adeguate garanzie per gli interessati. Gli Stati membri possono concludere accordi internazionali che implicano il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, purché tali accordi non incidano sul presente regolamento o su qualsiasi altra disposizione del diritto dell’Unione e includano un adeguato livello di protezione per i diritti fondamentali degli interessati”.

In questo articolo, abbiamo esaminato le garanzie adeguate per il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali in assenza di una decisione di adeguatezza. Abbiamo esplorato le varie opzioni disponibili, tra cui clausole contrattuali tipo, norme vincolanti d’impresa e meccanismi di certificazione, evidenziando l’importanza di garantire la protezione dei dati e i diritti degli interessati nei trasferimenti internazionali.

Vi invitiamo a proseguire la lettura con il prossimo contenuto della serie, dedicato alle “Norme Vincolanti di Impresa nel GDPR: Cosa Sono e Come Funzionano”, per approfondire ulteriormente questo importante aspetto della conformità al GDPR.

Per una panoramica completa e dettagliata su tutti gli aspetti del Registro dei Trattamenti e del trasferimento di dati personali nel GDPR, vi invitiamo a consultare il nostro white paper dal titolo “La compilazione del Registro dei trattamenti nel nuovo quadro normativo del Reg. UE 679/2016“, che contiene tutte le informazioni necessarie per una corretta implementazione delle norme sulla protezione dei dati.

https://www.ictsecuritymagazine.com/articoli/dati-personali-gdpr-2/