Questa pubblicazione fa parte di una serie dedicata al Registro dei Trattamenti in conformità al GDPR, il presente focus esaminerà le clausole tipo per la protezione dei dati in ottemperanza all’articolo 46 del GDPR, offrendo una panoramica dettagliata sulle garanzie adeguate per i trasferimenti di dati verso paesi terzi.

Clausole tipo per la Protezione dei Dati: garanzie GDPR per Trasferimenti Extra-UE

L’articolo 46 del GDPR elenca due ulteriori garanzie adeguate per il titolare del trattamento dei dati nelle ipotesi di trasferimento dei dati in paesi extra-UE:

• Le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d’esame di cui all’articolo 93, paragrafo 2.
• Le clausole tipo di protezione dei dati adottate da un’autorità di controllo e approvate dalla Commissione secondo la procedura d’esame di cui all’articolo 93, paragrafo 2.

Si tratta di uno strumento negoziale che può essere aggiunto al contratto che le parti intendono sottoscrivere per regolamentare i loro rapporti. È utile richiamare il Considerando 109, che sottolinea la possibilità per le parti di non eliminare, ma solo aggiungere ulteriori clausole rispetto a quelle adottate o approvate dalla Commissione o da un’autorità, purché non siano in contrasto, né direttamente né indirettamente, con le clausole tipo di protezione. È inoltre necessario incoraggiare i titolari e i responsabili del trattamento a fornire garanzie supplementari attraverso impegni contrattuali che integrino le clausole tipo di protezione.

Garanzie adeguate GDPR: clausole contrattuali e approvazioni

Se concordate in autonomia dalle parti e in alternativa alle clausole di cui all’articolo 46, paragrafo 2, lettere c) e d), le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il destinatario dei dati personali nel paese terzo possono costituire garanzie adeguate a norma dell’articolo 46, paragrafo 3, lettera a) del GDPR, purché approvate preliminarmente dall’Autorità e in aderenza al principio del meccanismo di coerenza di cui all’articolo 63, paragrafo 3 del GDPR.

Garanzie adeguate non condizionate

Tra le garanzie adeguate non condizionate, a norma dell’articolo 46, paragrafo 2, lettere e) e f), per le quali non sono richieste autorizzazioni da parte della Commissione europea né dell’Autorità, ci sono:

• Un codice di condotta approvato a norma dell’articolo 40, unitamente all’impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.
• Un meccanismo di certificazione approvato a norma dell’articolo 42, unitamente all’impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.

Codici di condotta e certificazioni GDPR: requisiti e applicabilità

Un codice di condotta approvato a norma dell’articolo 40 del GDPR deve includere sanzioni interne e garantire agli interessati la possibilità di azionare tutti gli strumenti previsti dal GDPR a loro tutela. In merito alle figure che possono avvalersi dei codici di condotta, l’articolo 40, paragrafo 3, include anche i titolari del trattamento o i responsabili del trattamento che non sono soggetti al Regolamento ai sensi dell’articolo 3.

Analogo ragionamento si applica alle certificazioni, poiché l’articolo 46, paragrafo 2, lettera f) del GDPR richiede le medesime garanzie: devono essere vincolanti ed esigibili. La certificazione, al pari del codice di condotta, non è da sola sufficiente a rendere la certificazione una garanzia adeguata; è necessario un meccanismo di certificazione approvato a norma dell’articolo 42, unitamente all’impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo a adottare le garanzie adeguate.

Le clausole tipo, i codici di condotta e le certificazioni sono strumenti cruciali nel GDPR per garantire trasferimenti sicuri e conformi di dati personali verso paesi extra-UE. Questi strumenti devono essere attentamente implementati e approvati per assicurare che i diritti degli interessati siano sempre protetti.

https://www.ictsecuritymagazine.com/articoli/clausole-tipo/

Security and privacy advocates are girding themselves for another uphill battle against Recall, the AI tool rolling out in Windows 11 that will screenshot, index, and store everything a user does every three seconds.

When Recall was first introduced in May 2024, security practitioners roundly castigated it for creating a gold mine for malicious insiders, criminals, or nation-state spies if they managed to gain even brief administrative access to a Windows device. Privacy advocates warned that Recall was ripe for abuse in intimate partner violence settings. They also noted that there was nothing stopping Recall from preserving sensitive disappearing content sent through privacy-protecting messengers such as Signal.

Enshittification at a new scale

Following months of backlash, Microsoft later suspended Recall. On Thursday, the company said it was reintroducing Recall. It currently is available only to insiders with access to the Windows 11 Build 26100.3902 preview version. Over time, the feature will be rolled out more broadly. Microsoft officials wrote:

Recall (preview)* saves you time by offering an entirely new way to search for things you’ve seen or done on your PC securely. With the AI capabilities of Copilot+ PCs, it’s now possible to quickly find and get back to any app, website, image, or document just by describing its content. To use Recall, you will need to opt-in to saving snapshots, which are images of your activity, and enroll in Windows Hello to confirm your presence so only you can access your snapshots. You are always in control of what snapshots are saved and can pause saving snapshots at any time. As you use your Copilot+ PC throughout the day working on documents or presentations, taking video calls, and context switching across activities, Recall will take regular snapshots and help you find things faster and easier. When you need to find or get back to something you’ve done previously, open Recall and authenticate with Windows Hello. When you’ve found what you were looking for, you can reopen the application, website, or document, or use Click to Do to act on any image or text in the snapshot you found.

Microsoft is hoping that the concessions requiring opt-in and the ability to pause Recall will help quell the collective revolt that broke out last year. It likely won’t for various reasons.

https://arstechnica.com/security/2025/04/microsoft-is-putting-privacy-endangering-recall-back-into-windows-11/

Il Regolamento UE sui Servizi Digitali (Digital Services Act, DSA) Regolamento (UE) 2022/2065 rappresenta una delle più importanti riforme nel settore digitale in Europa, con l’obiettivo di rendere le piattaforme online più responsabili e trasparenti. Il DSA, insieme al Digital Markets Act (DMA), fa parte di un pacchetto normativo volto a regolamentare il settore digitale per garantire un ambiente più sicuro, equo e competitivo. L’obiettivo finale è costruire un ecosistema digitale più sicuro e degno di fiducia, garantendo una protezione efficace dei diritti dei consumatori e contrastando la diffusione di contenuti, prodotti e servizi illegali, oltre a fenomeni dannosi legati al mondo digitale, come la disinformazione, l’incitamento all’odio e il cyberstalking.

Questa normativa introduce obblighi chiari per le piattaforme online, migliorando la protezione degli utenti e imponendo misure efficaci per contrastare la diffusione di contenuti illeciti e pericolosi.

Il regolamento, entrato in vigore nel novembre 2022, è applicabile a tutte le piattaforme digitali nell’Unione Europea dal 17 febbraio 2024, mentre per le piattaforme di grandissime dimensioni (VLOPs, Very Large Online Platforms) quelle con oltre 45 milioni di utenti attivi nell’UE alcuni obblighi erano già in vigore dal 25 agosto 2023. L’ampia portata di questa normativa coinvolge giganti del web come Google, Facebook, Twitter, TikTok e Amazon, ma anche piccole e medie piattaforme, ognuna con obblighi proporzionati alla propria dimensione e impatto.

DSA: obblighi di trasparenza per i fornitori di servizi online

Il DSA si applica a un’ampia gamma di aziende, che spaziano dai siti di informazione alle applicazioni, dai servizi di cloud e hosting alle piattaforme di economia collaborativa. Per questo motivo, il Regolamento suddivide i servizi digitali in quattro categorie principali e, oltre agli obblighi generali validi per tutte le piattaforme, stabilisce regole specifiche per ciascuna tipologia, aumentando progressivamente i requisiti in base all’incidenza e all’influenza di ogni servizio.

Uno degli aspetti centrali del DSA riguarda la trasparenza appunto delle piattaforme digitali e dei servizi online. Secondo quanto stabilito dal Regolamento, le piattaforme online, come i social network o i marketplace che permettono ai consumatori di stipulare contratti a distanza con operatori commerciali, sono quelle che non si limitano a conservare le informazioni fornite dagli utenti su loro richiesta, ma le rendono anche accessibili al pubblico su richiesta degli stessi utenti.

Il Digital Services Act (DSA) non si limita alle piattaforme online, ma si estende anche ai servizi di hosting, come i provider di cloud e i sistemi di gestione dei nomi di dominio, che facilitano la connessione degli utenti agli indirizzi web richiesti. Inoltre, la normativa si applica agli intermediari online, tra cui i fornitori di servizi Internet e di domini.

Il regolamento impone quindi alle aziende di garantire maggiore chiarezza sulle loro pratiche, policy e algoritmi, al fine di tutelare gli utenti e ridurre il rischio di abuso.

Tra gli obblighi principali, troviamo:

1. Chiarezza sui termini e condizioni: i fornitori di servizi devono rendere chiari e comprensibili i loro termini di servizio, specificando in modo dettagliato le politiche di moderazione dei contenuti, le regole per la rimozione di contenuti e le misure adottate per contrastare la diffusione di contenuti illegali.
2. Chiarezza sugli algoritmi di raccomandazione: piattaforme come YouTube, Instagram e TikTok devono fornire spiegazioni comprensibili su come funzionano gli algoritmi che determinano i contenuti mostrati agli utenti. Inoltre, devono offrire alternative basate su logiche non profilate, come il semplice ordine cronologico.
3. Informazioni sulla pubblicità online: ogni annuncio pubblicitario deve essere chiaramente identificabile come tale e deve riportare informazioni su chi lo ha pagato e perché viene mostrato a un determinato utente. Infatti, le aziende dovranno compilare e rendere disponibile al pubblico un registro, accessibile in una sezione specifica della loro interfaccia online. Il registro deve contenere informazioni dettagliate sulla pubblicità, come il suo contenuto, la persona fisica o giuridica per conto della quale è stata pubblicata, il periodo di diffusione della pubblicità, e altri dettagli pertinenti (art. 39 DSA).

In particolare, l’articolo, che si concentra sulla “chiarezza della pubblicità online”, vieta l’uso di “tecniche di targeting o amplificazione che trattano, rivelano o inferiscono i dati personali di minori o persone vulnerabili per finalità pubblicitarie”.

4. Accesso ai dati per i ricercatori: il DSA introduce un’importante misura per consentire ai ricercatori indipendenti di accedere ai dati delle piattaforme di grandi dimensioni per studiare fenomeni come la disinformazione, l’impatto dei social media sulle elezioni e la radicalizzazione online.
5. Analizzare e valutare gli eventuali rischi sistemici in Ue derivanti dalla progettazione e dal funzionamento dei loro servizi e dei relativi sistemi (es. sistemi algoritmici) o dall’uso dei loro servizi (art. 34 DSA);
6. Mettere in atto misure efficaci, proporzionate e ragionevoli per attenuare i rischi individuati a norma dell’art. 34 e prestando particolare attenzione agli effetti di tali misure sui diritti fondamentali (art. 35 DSA);
7. Istituire una funzione di controllo della conformità indipendentedalle loro funzioni operative e composta da uno o più responsabili della conformità. Tale funzione di controllo della conformità dispone di autorità, status e risorse sufficienti per monitorare la conformità di tale fornitore al presente regolamento (art. 41 DSA).

Questi obblighi non si applicano però ai marketplace che offrono servizi esclusivamente a operatori commerciali classificati come microimprese o piccole imprese, secondo la definizione fornita dalla raccomandazione 2003/361/CE (art. 29).

L’obiettivo di queste misure è fornire agli utenti maggiore consapevolezza su come funzionano le piattaforme e limitare pratiche opache che potrebbero influenzare o condizionare il loro comportamento online.

Le piattaforme che violano il DSA possono essere soggette a sanzioni fino al 6% del loro fatturato annuo totale. Inoltre, i destinatari dei servizi digitali hanno il diritto di chiedere un risarcimento per danni o perdite subite a causa di violazioni commesse dalle piattaforme.

Tra i motivi che possono comportare sanzioni per le piattaforme includono:

• la fornitura di informazioni errate, incomplete o ingannevoli;
• la mancata correzione delle informazioni fornite;
• il rifiuto di sottoporsi ai controlli previsti.

In questi casi, come previsto dall’art. 42 del DSA, le sanzioni devono essere inferiori all’1% del reddito o del fatturato annuo.

Misure per contrastare la diffusione di contenuti illegali e dannosi

Un altro pilastro del DSA è rappresentato dalle norme volte a prevenire la diffusione di contenuti illegali e dannosi, proteggendo al contempo la libertà di espressione. Il regolamento stabilisce che le piattaforme online non sono responsabili dei contenuti pubblicati dagli utenti, ma hanno l’obbligo di rimuovere rapidamente i contenuti illegali una volta notificati.

Le misure principali in questo ambito includono:

• Obbligo di agire rapidamente contro i contenuti illegali: le piattaforme devono implementare sistemi efficaci per la segnalazione e rimozione di contenuti illegali, come incitamenti all’odio, materiale pedopornografico, vendita di prodotti contraffatti o contenuti terroristici.
• Segnalatori attendibili: il DSA introduce la figura dei “trusted flaggers”, ovvero entità riconosciute a livello nazionale che hanno il compito di segnalare contenuti problematici alle piattaforme, le quali devono dare loro priorità nelle revisioni.
• Misure proattive per ridurre i rischi sistemici: le piattaforme di grandissime dimensioni devono effettuare valutazioni annuali sui rischi legati alla disinformazione, alla manipolazione elettorale e alla sicurezza degli utenti, adottando strategie per mitigarli.

Il DSA, all’articolo 24, ha ribadito la priorità degli interessi dei minori rispetto a quelli commerciali e pubblicitari.

Il divieto di utilizzo dei dati dei minori per scopi commerciali era già previsto dalla direttiva UE 2018/1808 sui servizi audiovisivi, ma la novità introdotta dal DSA è che, oltre alle sanzioni posteriori, i danni potenziali per i minori devono essere inclusi nell’obbligo di valutazione dei rischi sistemici.

In particolare, le piattaforme sono tenute a effettuare valutazioni d’impatto sui rischi sistemici, che includano “eventuali effetti negativi sui diritti fondamentali, come il rispetto della vita privata e familiare, la libertà di espressione e di informazione, il diritto alla non discriminazione e i diritti dei minori, come sancito dagli articoli 7, 11, 21 e 24 della Carta dei Diritti Fondamentali dell’Unione Europea”.

Una delle sfide principali per l’attuazione di queste misure sarà però il bilanciamento tra la lotta ai contenuti dannosi e la tutela della libertà di espressione, evitando la censura preventiva e garantendo processi di moderazione più equi e trasparenti.

DSA: protezione degli utenti e meccanismi di reclamo

Il DSA introduce nuovi strumenti per proteggere i diritti degli utenti online, garantendo maggiore controllo sui contenuti che vedono e sui propri dati personali. Tra le innovazioni più rilevanti troviamo:

• Meccanismi di reclamo e ricorso: gli utenti che vedono i propri contenuti rimossi o il proprio account sospeso devono avere accesso a un sistema di ricorso extragiudiziale delle controversie efficace, con possibilità di contestare le decisioni prese dalle piattaforme. Secondo il DSA, infatti, chiunque utilizzi un servizio di intermediazione online ha il diritto di presentare un reclamo nei confronti del fornitore di tali servizi, qualora ritenga che la normativa venga violata. Il reclamo può essere presentato direttamente dall’utente, ma anche da organismi, associazioni o altre entità che agiscono per conto dell’utente, a condizione che soddisfino i requisiti stabiliti dall’articolo 86 del DSA.

Il reclamo deve essere redatto seguendo il modello reso disponibile sul sito dell’Agcom e inviato tramite PEC (posta elettronica certificata).

• Divieto di dark patterns: il regolamento vieta l’uso di interfacce manipolative che inducono gli utenti a compiere scelte non intenzionali, come l’iscrizione involontaria a servizi a pagamento o la difficoltà nel trovare il pulsante per cancellare un account.
• Limitazioni alla pubblicità mirata: il DSA pone restrizioni severe sulla pubblicità basata su dati personali sensibili, come l’orientamento politico o religioso.

La finalità è quella di rendere l’esperienza e la navigazione online più equa e sicura, limitando le pratiche ingannevoli e garantendo maggiore trasparenza.

Ruolo dei coordinatori dei servizi digitali a livello nazionale

Un’innovazione rilevante è l’istituzione di un’autorità nazionale di controllo per l’attuazione del Regolamento, denominata Coordinatore dei Servizi Digitali (Digital Services Coordinator, DSC) in ciascun Stato membro. Questo organo ha il compito non solo di svolgere un’azione persuasiva, ma anche di condurre indagini, garantire il rispetto delle norme e applicare eventuali sanzioni.

Per garantire l’applicazione efficace del DSA, infatti ogni Stato membro dell’UE è tenuto a designarne uno. In Italia, questo ruolo è stato assegnato all’Autorità per le Garanzie nelle Comunicazioni (AGCOM), che avrà il compito di monitorare l’applicazione del regolamento e di intervenire in caso di violazioni.

Il DSC avrà diverse responsabilità, tra cui:

1. Supervisione e applicazione del regolamento: monitorerà le piattaforme per assicurarsi che rispettino gli obblighi del DSA.
2. Gestione delle segnalazioni: riceverà e valuterà le segnalazioni di utenti e organizzazioni riguardanti violazioni delle norme.
3. Certificazione degli organismi per la risoluzione delle controversie: garantirà che esistano meccanismi di ricorso indipendenti e accessibili per gli utenti.
4. Saranno dotati di forti poteri investigativi ed esecutivi, per garantire il rispetto della DSA da parte dei provider stabiliti nel loro territorio: potranno ordinare ispezioni in caso di sospetta violazione della DSA, imporre multe alle piattaforme online che non rispettano la DSA e imporre misure provvisorie in caso di grave danno alla sfera pubblica.
5. Esamineranno le candidature e conferiranno lo status di segnalatori di fiducia a soggetti idonei o a organizzazioni indipendenti che abbiano dimostrato competenza nell’individuare, riconoscere e segnalare contenuti illegali online.

Inoltre, i coordinatori nazionali collaboreranno con la Commissione Europea e con altri organismi regolatori attraverso il Comitato europeo per i servizi digitali. Questo comitato avrà il compito di garantire un’applicazione uniforme del DSA in tutta l’Unione Europea, assicurando che gli utenti godano degli stessi diritti a prescindere dalla sede delle piattaforme online.

Infine, il Comitato si occuperà della supervisione delle grandi piattaforme online e dei principali motori di ricerca, pubblicando annualmente rapporti sui principali rischi sistemici e sulle migliori strategie per mitigarli.

Vi è da segnalare per completezza, che un’altra figura introdotta dal Digital Services Act è il Compliance officer, designato dalle “very large online platforms” con il compito di monitorare l’osservanza del regolamento da parte delle aziende. Una figura interna all’impresa, con precise competenze professionali indicate dal DSA e l’obbligo di imparzialità e chiarezza nel giudizio.

Conclusioni

Il Digital Services Act rappresenta un passo fondamentale verso una maggiore regolamentazione del mondo digitale, ponendo un freno ai comportamenti irresponsabili delle grandi piattaforme e garantendo maggiore protezione agli utenti. Con misure innovative sulla trasparenza, sulla moderazione dei contenuti e sulla protezione dei dati, il DSA mira a creare uno spazio digitale più sicuro, equilibrato e concorrenziale.

Tuttavia, la sua implementazione sarà una sfida, richiedendo un equilibrio tra regolamentazione e libertà di espressione, oltre a un’efficace collaborazione tra governi, piattaforme e società civile. Il successo del DSA dipenderà dalla sua applicazione pratica e dalla capacità di adattarsi alle sfide future dell’ecosistema digitale in continua evoluzione.

https://www.ictsecuritymagazine.com/articoli/servizi-digitali-dsa/

L’articolo rientra in una serie dedicata al Registro dei trattamenti nel contesto del GDPR. In questo focus, approfondiamo il concetto di trasferimento dei dati personali sulla base di una decisione di adeguatezza, come definito dall’articolo 45 del GDPR. Esploreremo i requisiti, le procedure e le implicazioni di tali decisioni, fornendo una panoramica completa di questo importante meccanismo per il trasferimento internazionale di dati.

Cos’è il trasferimento dei dati sulla base di una decisione di adeguatezza (art. 45 GDPR)

A norma dell’art. 45, par. 1 del GDPR il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all’interno del paese terzo, o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche. Il livello di protezione richiesto è dunque equivalente.

La decisione di adeguatezza, come sopra anticipato, è solo una delle possibili legittime modalità di trasferimento dei dati personali nei paesi extra-UE nonché la modalità da privilegiare qualora disponibile.

La lista aggiornata dei paesi adeguati da consultare nel caso di trasferimento dei dati personali è pubblicata nella pagina dell’Autorità.

Nel procedimento che la Commissione è tenuta ad avviare al fine di verificare l’esistenza dei requisiti essa è tenuta ad espletare le opportune valutazioni congiuntamente al Comitato europeo per la protezione dei dati a norma dell’art. 70, par. 1, lett. s) del GDPR e dei paesi coinvolti nel procedimento in virtù del principio di collaborazione.

Trasferimento dei dati e criteri per l’adozione di una decisione di adeguatezza nel GDPR

L’adozione di un atto di esecuzione richiede l’accertamento circa la presenza dei requisiti elencati dall’art. 45, par. 2 del GDPR e nel procedimento che la Commissione avvia è tenuta a prendere in considerazione i seguenti elementi:

a) Lo stato di diritto, il rispetto dei diritti umani e delle libertà fondamentali, la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorità pubbliche ai dati personali), così come l’attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un’altra organizzazione internazionale osservate nel paese o dall’organizzazione internazionale in questione, la giurisprudenza nonché i diritti effettivi e azionabili degli interessati e un ricorso effettivo in sede amministrativa e giudiziaria per gli interessati i cui dati personali sono oggetto di trasferimento.

b) L’esistenza e l’effettivo funzionamento di una o più autorità di controllo indipendenti nel paese terzo o cui è soggetta un’organizzazione internazionale, con competenza per garantire e controllare il rispetto delle norme in materia di protezione dei dati, comprensiva di adeguati poteri di esecuzione, per assistere e fornire consulenza agli interessati in merito all’esercizio dei loro diritti e cooperare con le autorità di controllo degli Stati membri.

c) Gli impegni internazionali assunti dal paese terzo o dall’organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali.

Trasferimento dei dati: processo di valutazione e adozione della decisione di adeguatezza

La Commissione, previa valutazione dell’adeguatezza del livello di protezione, può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo.

L’atto di esecuzione prevede, inoltre, un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell’organizzazione internazionale. L’atto di esecuzione specifica il proprio ambito di applicazione geografico e settoriale e, ove applicabile, identifica la o le autorità di controllo di cui all’art. 45, par. 2, lettera b) del GDPR. L’atto di esecuzione è adottato secondo la procedura d’esame di cui all’articolo 93, par. 2 del GDPR.

Monitoraggio continuo e revisione delle decisioni di adeguatezza

Gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni di adeguatezza, sono oggetto di controllo a norma dell’art. 45, par. 4 del GDPR da parte della Commissione.

Se risulta dalle informazioni disponibili, in particolare in seguito al che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale non garantiscono più un livello di protezione adeguato, la Commissione revoca, modifica o sospende nella misura necessaria la decisione precedentemente adottata mediante atti di esecuzione senza effetto retroattivo.

Tali atti di esecuzione sono adottati secondo la procedura ordinaria, o, in casi di estrema urgenza, secondo la procedura di cui all’articolo 93, paragrafo 3 del GDPR. Per imperativi motivi di urgenza debitamente giustificati, la Commissione adotta atti di esecuzione immediatamente applicabili secondo la procedura di cui all’articolo 93, paragrafo 3 del GDPR. Tali decisioni possono comunque essere oggetto, ricorrendone i presupposti di modifica, revoca o di sostituzione.

Trasferimenti in assenza di una decisione di adeguatezza: alternative e consultazioni

Sono fatti salvi i trasferimenti di dati personali verso il paese terzo, il territorio o uno o più settori specifici all’interno del paese terzo, o verso l’organizzazione internazionale in questione, a norma degli articoli da 46 a 49 del GDPR.

La Commissione avvia consultazioni con il paese terzo o l’organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5 del GDPR.

Trasferimento dei dati verso paesi terzi: pubblicazione delle decisioni di adeguatezza

La Commissione pubblica nella Gazzetta ufficiale dell’Unione Europea e sul suo sito web l’elenco dei paesi terzi, dei territori e settori specifici all’interno di un paese terzo, e delle organizzazioni internazionali per i quali ha deciso che è o non è più garantito un livello di protezione adeguato. Tale elenco è disponibile anche nella pagina istituzionale dell’Autorità.

Questo articolo ha analizzato il trasferimento dei dati personali basato su una decisione di adeguatezza, come previsto dall’articolo 45 del GDPR. Abbiamo esaminato i requisiti, le procedure e le implicazioni della decisione di adeguatezza, offrendo una panoramica completa per il trasferimento internazionale dei dati. Nel prossimo articolo della serie, ci concentreremo sul “Trasferimento di Dati Personali Soggetto a Garanzie Adeguate”, trattato dall’articolo 46 del GDPR. Per approfondire maggiormente questi temi, vi invitiamo a scaricare il white paper “La compilazione del Registro dei trattamenti nel nuovo quadro normativo del Reg. UE 679/2016”.

https://www.ictsecuritymagazine.com/articoli/trasferimento-dei-dati/

Questo articolo fa parte di una serie dedicata al Registro dei Trattamenti nel contesto del GDPR. In questa sezione, affronteremo l’argomento delle Norme Vincolanti di Impresa (Binding Corporate Rules – BCR) nel GDPR. Definiremo cosa sono le BCR e come funzionano, esplorando il loro ruolo come garanzie adeguate per il trasferimento di dati personali all’interno di gruppi imprenditoriali o tra imprese che svolgono un’attività economica comune.

Norme vincolanti di impresa nel GDPR: definizione e ambito di applicazione

L’art. 46 par. 2 lett. b) del GDPR prevede tra le ipotesi di garanzie adeguate le norme vincolanti di impresa (Binding Corporate Rules, di seguito “BCR”) che sono poi descritte più in dettaglio nel successivo art. 47 del GDPR, subordinandone però l’utilizzo all’approvazione dell’Autorità e comunque in coerenza con i dettami dell’art. 70, par. 1 lett. i) del GDPR, nonché nel rispetto del meccanismo di coerenza.

Definizioni e ambito delle norme vincolanti di impresa

Prima di illustrare la tematica in argomento è utile richiamare alcune definizioni contenute nell’art. 4 del GDPR e nella specie la definizione di «impresa» al n. 18, di «gruppo imprenditoriale» al n. 19 e di «norme vincolanti d’impresa» al n. 20.

Soffermandoci sulle norme vincolanti d’impresa, esse sono definite come le politiche in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno Stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o più paesi terzi, nell’ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un’attività economica comune.

Funzionamento e vantaggi delle norme vincolanti di impresa

La logica sottesa all’adozione delle norme vincolanti di impresa risiede nel fatto che, all’interno di un gruppo di imprese, i rapporti tra le diverse società possono considerarsi stabili e continuativi. Tuttavia, l’applicazione delle norme vincolanti di impresa non è circoscritta a un singolo gruppo imprenditoriale ma si estende anche a gruppi di imprese differenti a condizione, però, che svolgano in comune le attività economiche. Esso costituisce un forte salto in avanti, coerente con la volontà di adeguare la normativa relativa al trasferimento dei dati all’estero alle esigenze del mondo digitale e all’evoluzione delle nuove forme organizzative che il sistema economico ha sviluppato.

Il contenuto minimo delle norme vincolanti di impresa richiesto dall’art. 47 del GDPR deve essere interpretato come un requisito di validità delle stesse. Essendo menzionato anche il caso di BCR per imprese diverse (non appartenente a un singolo gruppo di Controllante/Controllate/Collegate) che svolgono solo “un’attività economica comune”, in tal caso si tratterà di una norma vincolante a livello “orizzontale” senza una capogruppo a dirigerne verticalmente l’applicazione – quindi molto simili al modello del codice di condotta, ma con la differenza sostanziale che la comunanza dovrà essere nello specifico dell’attività concretamente condivisa tra le imprese, e non semplicemente un’appartenenza delle medesime agli stessi settori o categorie.

Validità e applicabilità delle norme vincolanti di impresa

Il concetto di norme giuridicamente vincolanti implica che non possono essere incluse in tale gruppo le norme di soft-law persuasive in quanto non cogenti. La platea degli interessati deve essere completa, cioè devono essere applicabili a tutti i componenti, i soggetti interessati, del gruppo imprenditoriale. Deve essere inoltre garantita quale elemento essenziale la possibilità per gli interessati di azionare i propri diritti davanti all’Autorità giudiziaria e all’Autorità.

Requisiti minimi delle BCR secondo l’articolo 47 del GDPR

I requisiti minimi che devono essere presenti nelle BCR sono elencati all’art. 47, par. 2 del GDPR e tra i quali qui si richiamano quelli di cui all’art. 47, par. 2 lett. e) del GDPR che così recita: i diritti dell’interessato in relazione al trattamento e i mezzi per esercitarli, compresi il diritto di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione ai sensi dell’articolo 22, il diritto di proporre reclamo all’autorità di controllo competente e di ricorrere alle autorità giurisdizionali competenti degli Stati membri conformemente all’articolo 79 del GDPR, e il diritto di ottenere riparazione e, se del caso, il risarcimento per violazione delle norme vincolanti d’impresa.

Linee Guida e raccomandazioni del Gruppo Art 29

Le precedenti linee guida redatte dal Gruppo Art 29 sono state revisionate (WP256 for Controllers e WP257 for Processors) e hanno ad oggetto i principi e gli elementi che le aziende dovrebbero incorporare nelle loro BCR. Le linee guida hanno rivisto la guida originale, sebbene rimangano in gran parte simili alle versioni precedenti.

Il successivo WP263 contiene i criteri e la procedura per l’approvazione delle BCR, nonché i criteri per l’individuare la Lead Autority a cui il gruppo richiedente dovrà rivolgersi quale competente a condurre la procedura di approvazione che, in virtù del ruolo istituzionale che ricopre, è tenuta a dialogare con la società che ha presentato le BCR (generalmente la società capogruppo), in rappresentanza di tutte le altre Autorità interessate al fine di predisporre un progetto di decisione condiviso da presentare al Comitato europeo a norma dell’art. 64 par. 1 lett. f) del GDPR.

A corredo delle disposizioni richiamate nella documentazione evidenziata si segnalano le raccomandazioni Wp 264 (Documento di lavoro che stabilisce una procedura di cooperazione per l’approvazione di “norme vincolanti d’impresa” per titolari e responsabili del trattamento ai sensi del GDPR) e Wp 265 (Raccomandazione sul modulo di domanda standard per l’approvazione delle norme aziendali vincolanti per il trasferimento dei dati personali del responsabile, adottato l’11 aprile 2018).

In questo articolo, abbiamo esaminato le Norme Vincolanti di Impresa (BCR, Binding Corporate Rules) come garanzie adeguate per il trasferimento di dati personali all’interno di gruppi imprenditoriali o tra imprese che svolgono un’attività economica comune, come previsto dall’articolo 47 del GDPR.

Vi invitiamo a proseguire la lettura con il prossimo contenuto della serie, dedicato alle clausole per la protezione dei dati in ottemperanza all’articolo 46 del GDPR. Per una panoramica completa e dettagliata su tutti gli aspetti del Registro dei Trattamenti, delle Norme Vincolanti di Impresa e delle altre garanzie adeguate per il trasferimento di dati personali nel GDPR, vi invitiamo a consultare il nostro white paper “La compilazione del Registro dei trattamenti nel nuovo quadro normativo del Reg. UE 679/2016“, che contiene tutte le informazioni necessarie per una corretta implementazione delle norme sulla protezione dei dati.

https://www.ictsecuritymagazine.com/articoli/norme-vincolanti/

È stata trasmessa alla Giunta Regionale la relazione annuale del 2024 del Responsabile della Protezione dei Dati personali, ruolo svolto dal 2019 da Lepida, che fornisce un quadro aggiornato sulle attività svolte in relazione agli adempimenti previsti dal Regolamento Europeo sulla protezione dei dati personali 2016/679, dal Codice Privacy e dai regolamenti e atti regionali in materia.

Nel corso del 2024 sono stati forniti 14 diversi pareri formali, svolte 47 diverse attività di istruttoria, supporto e consulenza, dato riscontro a 84 istanze da parte di interessati con un tempo medio di presa in carico pari a 1,28 giorni (nel caso degli interessati 0,75 giorni).

Inoltre sono stati svolti complessivamente 25 incontri con Giunta, Assemblea e Agenzie nell’ambito delle attività di sorveglianza, oltre a 8 incontri del Tavolo Regionale per il coordinamento delle misure in materia di protezione dei dati personali delle aziende e degli Enti del SSR, a 12 incontri del coordinamento tecnico della Commissione Affari Istituzionali Generali – Ambito Privacy della Conferenza delle Regioni e 3 incontri del Gruppo di Lavoro interregionale della Conferenza dei Presidenti delle Assemblee legislative.

Infine si è concluso senza rilievi il procedimento avviato dal Garante nazionale della protezione dei dati personali a seguito della visita ispettiva del 14 e 15 marzo 2023 avente a oggetto i trattamenti di dati personali in ambito di lavoro agile.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/regione-emilia-romagna-la-relazione-2024-del-dpo/524007/

L’evoluzione tecnologica nel campo delle interfacce cervello-computer (Brain-Computer Interfaces, BCI) sta aprendo nuove frontiere nella medicina personalizzata, offrendo possibilità terapeutiche prima inimmaginabili. Come sottolineano Schroder e colleghi nel documento “Cyber Risks to Next-Gen Brain-Computer Interfaces: Analysis and Recommendations” questi dispositivi “consentono la comunicazione diretta tra il cervello e computer esterni, rappresentando una rivoluzione per il trattamento di patologie neurologiche come il morbo di Parkinson, l’epilessia e diverse malattie mentali resistenti alle terapie convenzionali”. Tuttavia, con l’avanzamento tecnologico emergono nuove vulnerabilità in ambito di sicurezza informatica che non possono essere ignorate.

L’era delle Brain-Computer Interfaces: tra potenziale e rischi

Le Brain-Computer Interfaces moderne si differenziano notevolmente dai loro predecessori. “In passato, questi dispositivi erano circuiti integrati per applicazioni specifiche (ASIC) che potevano eseguire solo una singola funzione sanitaria in un ciclo” (Schroder). Oggi, invece, si avvicinano sempre più a veri e propri computer personali impiantabili. Caratterizzati da capacità di aggiornamento software, memorizzazione di dati locale e trasmissione in tempo reale, questi dispositivi offrono possibilità terapeutiche senza precedenti, ma introducono al contempo superfici di attacco inedite.

La FDA (Food and Drug Administration) classifica le Brain-Computer Interfaces come dispositivi medici impiantabili di Classe III, la categoria a più alto rischio, soggetta alle normative più rigorose. Ciononostante, il quadro normativo fatica a tenere il passo con l’innovazione tecnologica. Se l’hardware è sottoposto a severe restrizioni, il software integrato gode ancora di regolamentazioni relativamente permissive, creando uno spazio liminale in cui i rischi informatici possono proliferare.

Classificazione FDA dei dispositivi BCI

La FDA classifica i dispositivi medici in tre categorie in base al loro rischio:

• Classe I: dispositivi a basso rischio;
• Classe II: dispositivi a rischio moderato;
• Classe III: dispositivi ad alto rischio

Le BCI sono classificate come dispositivi medici impiantabili di Classe III, che rappresenta la categoria a più alto rischio. Questa classificazione è giustificata dal fatto che le BCI sono dispositivi che supportano o sostengono la vita del paziente e vengono impiantati direttamente nel cervello.

Regolamentazione e lacune normative

Un punto cruciale evidenziato nello studio è che, sebbene le Brain-Computer Interfaces siano regolamentate come dispositivi impiantabili di Classe III con rigorose restrizioni sull’hardware, esiste una discrepanza significativa nella regolamentazione del software a bordo di questi dispositivi. Come spiega il documento:

“I dispositivi di Classe III sono soggetti alle normative più rigorose, ma faticano a tenere il passo con il cambiamento tecnologico, specialmente con le moderne BCI che sono dispositivi in rete con capacità di aggiornamento e accesso remoto.”

In pratica, questo significa che mentre l’hardware dei dispositivi neurali è sottoposto a controlli rigorosi, il software che gestisce questi dispositivi è regolamentato in modo più permissivo. Questa disparità crea quella che gli autori chiamano uno “spazio liminale”: le Brain-Computer Interfaces sono trattate come impianti con rigide restrizioni hardware, ma con componenti software più avanzati comparativamente meno regolamentati.

Evoluzione delle normative FDA

Il documento menziona anche l’evoluzione delle normative FDA riguardanti la cybersecurity. Fino a poco tempo fa, la sicurezza informatica era raramente considerata per qualsiasi classe di dispositivi medici. I dispositivi più vecchi (definiti “legacy devices“) spesso non hanno alcun metodo per aggiornare il software o correggere bug.

La situazione è cambiata nell’ottobre 2014, quando la FDA ha introdotto un requisito di pianificazione della cybersecurity: “Content of Premarket Submissions for Management of Cybersecurity in Medical Devices“. Tuttavia, fino al 2022, queste linee guida erano solo raccomandazioni non vincolanti.
Con il Food and Drug Omnibus Reform Act del 2022 (FDORA) e il Protecting and Transforming Cyber Health Care Act del 2022 (PATCH), è stata introdotta l’applicazione obbligatoria, richiedendo che le informazioni sulla cybersecurity vengano presentate insieme alle domande di commercializzazione di nuovi dispositivi.

Implicazioni per le Brain-Computer Interfaces

Questa evoluzione normativa è particolarmente rilevante per le Brain-Computer Interfaces poiché rappresentano una tecnologia emergente che non ha ancora raggiunto la disponibilità generale sul mercato. Gli autori sottolineano che questo è “un momento opportuno per suggerire modifiche alla regolamentazione della sicurezza informatica dei dispositivi medici”, prima che i dispositivi neurali diventino ampiamente disponibili.

Un modello di minaccia per le Brain-Computer Interfaces

Utilizzando il Common Vulnerability Scoring System (CVSS), gli esperti hanno identificato quattro vettori di attacco principali per le Brain-Computer Interfaces: fisico, locale, locale adiacente e di rete. Mentre l’accesso fisico rappresenta un rischio contenuto per dispositivi impiantati, le connessioni locali e remote costituiscono vulnerabilità significative.

Le BCI generano enormi quantità di dati clinici e personali che devono essere memorizzati e protetti. Che si opti per la memorizzazione locale sul dispositivo o remota su computer esterni, questi dati rappresentano un tesoro di informazioni sensibili che richiedono adeguata protezione. Lo studio HALO di Karageorgos et al., citato nella ricerca di Schroder, ha rivelato una preoccupante realtà: “sette dei principali prodotti BCI sul mercato non supportavano la crittografia dei dati“, esponendo potenzialmente informazioni sanitarie personali a accessi non autorizzati.

Le minacce non si limitano al furto di dati. Un attacco informatico riuscito potrebbe comportare conseguenze drammatiche come la disabilitazione del dispositivo (che richiederebbe intervento chirurgico per il ripristino), la stimolazione cerebrale indesiderata, l’induzione di movimenti involontari, o l’alterazione dell’elaborazione della visione e della sintesi vocale. Sebbene alcuni di questi rischi non siano esclusivi delle BCI, la particolare invasività di questi dispositivi e la loro connessione diretta con il cervello amplificano le potenziali conseguenze.

Raccomandazioni per rafforzare la sicurezza

Per affrontare queste vulnerabilità, è essenziale implementare misure di sicurezza adeguate prima che le BCI raggiungano la disponibilità generale. Come affermano Schroder e colleghi:

“Ora è il momento opportuno per suggerire modifiche alla regolamentazione della sicurezza informatica dei dispositivi medici, poiché le BCI non hanno ancora raggiunto la disponibilità generale”.

Quattro aree principali richiedono interventi immediati:

Aggiornamenti Software

Gli aggiornamenti software rappresentano un elemento critico per la sicurezza, ma anche un potenziale vettore di attacco. I produttori dovrebbero fornire metodi di aggiornamento wireless o comunque non chirurgici, implementando controlli di integrità nelle fasi di download, trasferimento e installazione. Dal canto loro, i regolatori dovrebbero imporre che ogni dispositivo BCI abbia almeno un’opzione di aggiornamento non chirurgica e che verifichi l’integrità degli aggiornamenti prima dell’installazione.

Autenticazione e Autorizzazione

Le BCI necessitano di connettività wireless per funzionare efficacemente, ma questa comunicazione deve essere adeguatamente protetta. I produttori dovrebbero implementare controlli tecnici per l’autenticazione e l’autorizzazione nell’accesso ai dati e alle impostazioni del dispositivo, consentendo ai pazienti di gestire i permessi e ripristinare gli accessi. I regolatori dovrebbero richiedere questi sistemi e promuovere l’adozione di pratiche di sicurezza avanzate come l’autenticazione a due fattori.

Minimizzazione della Superficie di Attacco

Sebbene la connettività offra vantaggi significativi, espone anche i dispositivi a potenziali attacchi. Poiché le BCI necessitano di connessione solo durante il trasferimento di dati o l’aggiornamento delle impostazioni, i produttori dovrebbero implementare funzionalità che consentano ai pazienti di abilitare o disabilitare la connessione wireless. I regolatori, parallelamente, dovrebbero rendere obbligatorie queste funzionalità per ridurre la superficie di attacco.

Crittografia

La maggior parte delle BCI all’avanguardia non implementa la crittografia a causa delle limitazioni energetiche. Tuttavia, architetture hardware innovative hanno dimostrato che è possibile integrare routine di crittografia senza esaurire il budget energetico. La priorità dovrebbe essere data alla crittografia dei dati in transito, con i produttori che implementano routine crittografiche per i dati che lasciano il cervello e i regolatori che ne impongono l’adozione.

Verso un futuro più sicuro

Le Brain-Computer Interfaces rappresentano una frontiera terapeutica straordinaria, ma la loro adozione sicura richiede un approccio proattivo alla cybersecurity. Il momento per implementare misure di protezione adeguate è ora, prima che questi dispositivi raggiungano ampia diffusione. Come avvertono gli autori dello studio, “se queste raccomandazioni vengono ignorate, la sicurezza e la privacy dei pazienti sono a rischio“. Le conseguenze potrebbero spaziare dalla compromissione della privacy fino alla possibilità di interferenze dirette con le funzioni cerebrali.

La tecnologia BCI ha il potenziale per migliorare radicalmente la qualità della vita di molti pazienti, ma questo potenziale può realizzarsi pienamente solo se accompagnato da solide pratiche di sicurezza informatica. Schroder et al. concludono che “i dispositivi ad alto rischio non dovrebbero essere introdotti al pubblico finché i problemi di sicurezza essenziali non sono risolti“. Produttori, regolatori e ricercatori hanno la responsabilità condivisa di garantire che l’innovazione proceda di pari passo con la protezione della privacy e della sicurezza dei pazienti.

Riferimenti:

Schroder, T., Sirbu, R., Park, S., Morley, J., Street, S., & Floridi, L. (2025). Cyber Risks to Next-Gen Brain-Computer Interfaces: Analysis and Recommendations. Yale University Digital Ethics Center.

https://www.ictsecuritymagazine.com/articoli/brain-computer-interfaces-bci/

Mar 03, 2025 Stefano Silvestri Attacchi, Hacking, Leaks, Malware, News, Phishing, Privacy, Scenario, Tecnologia 0

---

Questa settimana, il CERT-AGID ha rilevato e analizzato 49 campagne malevole nel contesto italiano di sua competenza, di cui 19 mirate specificamente al nostro Paese e 30 di carattere generico che hanno comunque avuto un impatto sull’Italia.

Agli enti accreditati sono stati forniti i 840 indicatori di compromissione (IoC) individuati.

I temi della settimana

Tra questi, il tema Delivery è stato impiegato in attacchi di smishing rivolti ai clienti di Poste Italiane e per distribuire i malware Remcos, Vip Keylogger, Snake Keylogger e Formbook tramite email con diversi tipi di allegati.

Il settore Banking è stato bersaglio di campagne di phishing ai danni di Intesa Sanpaolo, veicolate via PEC, ed è stato sfruttato per diffondere i malware Lokibot, SpyNote, Irata e BingoMod.

L’argomento Pagamenti è stato utilizzato per la diffusione di diversi malware, tra cui Formbook, AsyncRat e Remcos.

Il tema Ordine ha permesso la propagazione di due campagne malware italiane, Nanocore e Snake Keylogger, oltre a tre campagne generiche che hanno diffuso Vip Keylogger, ModiLoader e Formbook.

Infine, il tema Documenti è stato sfruttato in campagne di phishing ai danni di DHL e dell’Agenzia delle Entrate, oltre a essere impiegato per distribuire i malware Lokibot e AgentTesla.

Tra gli eventi di particolare interesse, il CERT-AGID ha individuato nuove campagne di phishing che sfruttano il nome e il logo dell’INPS.

A differenza di attacchi precedenti, alcune di queste adottano un approccio intimidatorio: invece di promettere rimborsi o benefici, i cybercriminali minacciano gli utenti con presunte conseguenze penali per omissioni nella dichiarazione dei redditi.

In questo modo, li inducono a fornire dati sensibili, comprese copie di documenti d’identità e informazioni sulle carte di pagamento.

Per contrastare queste minacce, il CERT-AGID ha attivato le necessarie contromisure con il supporto dei registrar dei domini malevoli.

Nel frattempo, un hacker anonimo ha reso pubbliche conversazioni interne del gruppo BlackBasta, attivo dal 2022 come Ransomware-as-a-Service e già responsabile di attacchi con gravi impatti economici.

I dati diffusi includono credenziali SMTP, VPN e accessi a piattaforme online, rivelando dettagli sulle operazioni del gruppo.

Malware della settimana

Nel corso della settimana, sono state individuate 14 famiglie di malware che hanno colpito l’Italia.

Tra le campagne più rilevanti, FormBook è stato diffuso attraverso cinque campagne generiche legate ai temi “Prezzi”, “Pagamenti”, “Ordine” e “Delivery”, utilizzando email con allegati RAR, GZ e DOCX.

VipKeylogger è stato rilevato in una campagna italiana a tema “Fattura” e in quattro campagne generiche legate a “Delivery” e “Ordine”, distribuite tramite email con allegati RAR, TAR e Z.

Il malware Lokibot è stato veicolato attraverso tre campagne generiche a tema “Banking”, “Prezzi” e “Documenti”, con email contenenti allegati ZIP e RAR. Remcos è stato individuato in due campagne generiche a tema “Delivery”, diffuse tramite email con allegati GZ, e in una campagna generica a tema “Pagamenti” con allegato XLS.

AgentTesla è stato rilevato in una campagna generica a tema “Fattura”, diffusa tramite email con allegato IMG, e in una campagna a tema “Documenti” con allegato RAR.

Il malware XWorm è stato protagonista di due campagne italiane a tema “Booking”, veicolate tramite email contenenti link a script malevoli. AsyncRat è stato diffuso con una campagna generica a tema “Pagamenti”, sfruttando email con allegato ZIP.

Il trojan Irata è stato rilevato in una campagna italiana a tema “Banking”, trasmesso tramite un link malevolo inviato via SMS. Modiloader è stato individuato in una campagna generica a tema “Ordine”, diffusa tramite email con allegato TXZ.

Tra gli altri malware, Nanocore è stato diffuso in una campagna italiana a tema “Ordine” attraverso email con allegati 7Z e RAR, mentre Snake è stato veicolato in una campagna italiana con allegato Z.

SnakeKeylogger ha colpito con una campagna generica a tema “Delivery” tramite allegati RAR.

BingoMod e SpyNote sono stati distribuiti tramite link a file APK malevoli in campagne italiane a tema “Banking”, utilizzando SMS come vettore di diffusione.

Phishing della settimana

Questa settimana sono stati coinvolti 10 brand nelle campagne di phishing rilevate.

Tra i più colpiti spiccano INPS, Intesa Sanpaolo e PayPal, oggetto di numerosi attacchi volti a sottrarre credenziali e informazioni finanziarie agli utenti.

Tuttavia, a preoccupare maggiormente sono le campagne di phishing legate alle webmail non brandizzate, che mirano a ingannare le vittime senza fare riferimento a marchi specifici.

Questo tipo di attacco, spesso più difficile da individuare, sfrutta email generiche per indurre gli utenti a fornire dati sensibili, come credenziali di accesso e informazioni personali, aumentando così il rischio di compromissione degli account.

Formati e canali di diffusione

Questa settimana il CERT-AGID ha individuato l’utilizzo di 28 diverse tipologie di file impiegate per la distribuzione di contenuti dannosi.

Tra i formati più sfruttati spiccano RAR, con 9 utilizzi, ed EXE, con 8, confermando la loro centralità nelle strategie di diffusione del malware.

Altri formati frequentemente impiegati includono HTML, GZ, APK e BAT, ciascuno utilizzato in 3 campagne. Seguono ARJ, Z, ZIP, VBS, HTA, PDF, TXT, BIN e TAR, ognuno con 2 rilevamenti.

Le restanti estensioni sono state individuate una sola volta, ma continuano a rappresentare una minaccia nel panorama delle campagne malevole.

Per quanto riguarda i vettori di diffusione, le email restano il principale strumento d’attacco, coinvolte in ben 41 campagne.

Seguono gli SMS, impiegati in 6 attacchi, mentre le PEC sono state utilizzate in 2 casi, a dimostrazione della crescente varietà di canali sfruttati dai cybercriminali per colpire le loro vittime.

---

---

---

https://www.securityinfo.it/2025/03/03/26008/?utm_source=rss&utm_medium=rss&utm_campaign=26008

Feb 28, 2025 Marina Londei Approfondimenti, Gestione dati, In evidenza, News, Privacy, Privacy, RSS 0

---

In Europa la sicurezza della crittografia sembra avere le ore contate. Le ultime notizie dalla Francia e dal Regno Unito hanno sollevato molte preoccupazioni e proteste da parte di utenti, provider di telecomunicazioni e compagnie orientate a preservare la privacy degli utenti.

Dopo l’annuncio di Apple dell’eliminazione di Advanced Data Protection per gli utenti del Regno Unito, in Francia il governo sta esaminando un emendamento per introdurre delle backdoor nelle comunicazioni cifrate.

La Francia propone una backdoor nella crittografia

È notizia degli ultimi giorni che in Francia si sta valutando un emendamento alla legge “Narcotrafic” che costringe i provider di comunicazioni a implementare delle backdoor nelle loro applicazioni.

“La Francia sta per emendare una legge contro il traffico di droga, la legge “Narcotrafic”, che obbligherà le app di messaggistica criptata come Signal e WhatsApp a inserire una backdoor nelle comunicazioni crittografate per poter consegnare i messaggi di chat decriptati di sospetti criminali entro 72 ore dalla richiesta” si legge in un post di Tuta, un provider tedesco di servizi email fortemente orientato alla privacy. L’emendamento è stato approvato dal Senato e ora è stato sottoposto all’Assemblea Nazionale.

Sia Tuta che altri nomi impegnati nel mondo della privacy hanno espresso la loro preoccupazione verso questa decisione, sostenendo che si tratta di una grave violazione della sicurezza delle comunicazioni digitali. “Imponendo le backdoor, il governo francese non sta compromettendo solo la sicurezza di tutti gli utenti – cittadini e business in egual misura – ma questa legge “Narcotrafic” emendata va in contraddizione anche con le leggi europee per la protezione dei dati come la GDPR, l’IT Security Act e il TKG” continua Tuta.

L’inserimento della backdoor non va a danno soltanto dei criminali, ma anche degli utenti: dal momento che esiste un canale di accesso alle comunicazioni, non solo i governi e i provider possono usarlo, ma anche cyberattaccanti e intelligence di altre nazioni. Come sottolinea Tuta, una volta che la crittografia è compromessa, è difficile distinguere tra chi può trarne vantaggio e chi no. È impossibile, in sostanza, creare una backdoor “solo per i buoni”.

Apple elimina Advanced Data Protection per il Regno Unito

La notizia dell’emendamento alla legge francese arriva quasi contestualmente all’annuncio di Apple di eliminare l’opzione Advanced Data Protection (ADP) per gli utenti del Regno Unito.

ADP utilizza la crittografia end-to-end per proteggere dati sensibili quali i backup dei messaggi, le note, le foto, i preferiti del browser, i dati del Wallet e molto altro, sincronizzandoli con iCloud. Introdotta nel 2022, la feature da adesso non è più disponibile per gli utenti che risiedono nel Regno Unito.

Stando a quanto rivelato da Apple, uno dei principali motivi dietro questa decisione sta nell’aumento di data breach contro gli utenti. iMessagi, FaceTime, iCloud Keychain e Health, insieme ad altre categorie di dati in cloud, rimarranno comunque crittografati; per il resto, l’opzione non sarà più disponibile.

Secondo quanto riportato dalla CNN, la scelta dipenderebbe piuttosto dall’ordine del governo britannico di accedere a materiale cifrato per questioni di sicurezza nazionale. Il governo avrebbe chiesto ad Apple di inserire una backdoor nei propri servizi; la compagnia, non volendo accettare la proposta, sarebbe stata quindi costretta a fare un passo indietro sulla sua offerta di crittografia, pur non dichiarandolo esplicitamente nel suo annuncio. “Non abbiamo mai creato una backdoor o una master key per nessuno dei nostri prodotti o servizi e non lo faremo mai” ha specificato Apple.

Ora il timore è che anche altri stati europei seguano l’esempio di Regno Unito e Francia e compromettano la privacy degli utenti, pur mossi da motivi di sicurezza. La risposta dei provider di servizi di comunicazione non è tardata ad arrivare: tra i tanti, Meredit Whittaker, CEO di Signal, sta valutando di interrompere l’erogazione del servizio in Svezia dopo che il governo del Paese ha annunciato di voler accedere alla cronologia dei messaggi di utenti sospetti.

Mentre la tensione tra governi europei e provider sale, la crittografia rischia di essere stravolta per sempre.

---

---

---

https://www.securityinfo.it/2025/02/28/brutto-momento-per-la-crittografia-in-europa-la-privacy-vacilla/?utm_source=rss&utm_medium=rss&utm_campaign=brutto-momento-per-la-crittografia-in-europa-la-privacy-vacilla

Feb 28, 2025 Stefano Silvestri Hacking, News, Privacy, Scenario, Tecnologia, Vulnerabilità 0

---

L’identità digitale europea è a un punto di svolta. L’introduzione degli Implementing Acts di eIDAS 2.0, prevista per maggio 2025, porterà infatti cambiamenti significativi per cittadini e aziende.

L’obiettivo è rafforzare la sicurezza online e restituire agli utenti il controllo sui propri dati personali.

E si tratta di una trasformazione che arriva in un momento critico: secondo il report Clusit 2024, il 56% degli italiani teme il furto d’identità, mentre gli attacchi informatici sono aumentati del 79%.

Le novità degli Implementing Acts

L’Unione Europea spinge per un ecosistema digitale più sicuro e interoperabile tra i Paesi membri.

Il cuore di questa rivoluzione sarà l’EUDI Wallet, un portafoglio digitale che permetterà di conservare e condividere documenti ufficiali, come passaporto, patente, certificato di nascita e tessera elettorale.

Si tratta di un’evoluzione che mira a garantire maggiore controllo ai cittadini, limitando l’esposizione ai cyber attacchi e rafforzando la fiducia nei servizi digitali.

Il regolamento eIDAS 2.0 (electronic IDentification, Authentication and trust Services) introduce concetti chiave per la protezione dell’identità digitale.

Tra questi troviamo il Selective Disclosure, che consente agli utenti di decidere quali informazioni condividere coi fornitori di servizi, e lo Zero Knowledge Proof, che permette di autenticarsi senza rivelare dettagli sensibili.

Se per i cittadini il cambiamento promette più sicurezza e trasparenza, per le aziende si apre un capitolo complesso: l’adeguamento ai nuovi standard implicherà investimenti in tecnologia, certificazioni e formazione.

Gli Implementing Acts definiranno nel dettaglio le regole per l’adozione dell’EUDI Wallet e le imprese dovranno scegliere se assumere il ruolo di Verifier, limitandosi ad abilitare l’accesso ai propri servizi tramite il wallet, o di Issuer, diventando anche fornitori di attributi digitali validati per terzi.

Le sfide per le imprese: adeguarsi o restare indietro?

Secondo gli esperti, il passaggio agli standard di eIDAS 2.0 non sarà semplice ma rappresenta una tappa fondamentale per il futuro digitale dell’Europa.

Intesa (Kyndryl), tra i principali attori del settore e membro del Consorzio POTENTIAL, sottolinea l’importanza di un approccio proattivo.

“L’entrata in vigore degli Implementing Acts sarà un passaggio delicato e importante per tutta l’UE, in particolare per le imprese, che dovranno rivedere i propri sistemi di gestione”, spiega Simone Baldini, Head of Business Compliance di Intesa.

Che poi prosegue: “Perché l’ecosistema funzioni, è essenziale che tutti gli attori coinvolti diventino parte attiva del cambiamento, per promuovere privacy e sicurezza”.

Per adeguarsi, le aziende dovranno adottare soluzioni crittografiche avanzate, garantire l’integrità dei dati e ottenere certificazioni conformi alle nuove normative.

Chi fornirà soluzioni Wallet, in particolare, dovrà assicurare elevati standard di sicurezza e gestire in modo trasparente i rischi e le vulnerabilità.

La transizione verso il nuovo modello di identità digitale sarà allora una grande sfida nei prossimi mesi. Intesa (Kyndryl) offre supporto alle aziende nel percorso di adeguamento, attraverso consulenza, soluzioni tecnologiche e formazione.

E ricorda che per chi volesse approfondire gli scenari normativi e le opportunità legate agli Implementing Acts, il 27 febbraio si terrà un webinar gratuito.

L’identità digitale europea sta dunque cambiando e chi non si adeguerà, rischia di restare indietro in un mercato sempre più regolamentato e attento alla sicurezza.

---

---

---

https://www.securityinfo.it/2025/02/28/cybersecurity-e-identita-digitale-leuropa-accelera-con-eidas-2-0/?utm_source=rss&utm_medium=rss&utm_campaign=cybersecurity-e-identita-digitale-leuropa-accelera-con-eidas-2-0