Un solo sportello per notificare le violazioni: cosa hanno chiesto EDPB ed EDPS sul pacchetto cybersicurezza

Lo sportello unico, che è la parte che ti riguarda ogni volta

In linea con il parere congiunto sul Digital Omnibus, il Comitato e il Garante europeo sostengono l'istituzione di un punto di ingresso unico per la notifica delle violazioni dei dati personali, perché ridurrebbe l'onere amministrativo per chi notifica senza abbassare il livello di protezione delle persone.

Chi ha gestito un incidente sa perché conta. Oggi lo stesso evento può far scattare la notifica al Garante entro settantadue ore, quella all'autorità di cybersicurezza entro tempi diversi, e negli enti regolati anche altre segnalazioni ancora: formati diversi, portali diversi, campi che chiedono la stessa cosa con parole diverse, tutto nelle ore in cui bisognerebbe contenere il danno. Non è un problema teorico, è il motivo per cui le prime dichiarazioni escono imprecise.

I paletti su ENISA

Il parere sostiene il rafforzamento del ruolo dell'Agenzia dell'Unione europea per la cibersicurezza e la diffusione della certificazione, e accoglie con favore che il parere di ENISA sia dato su previa richiesta del Comitato, perché così le responsabilità restano divise in modo chiaro. Suggerisce di aggiungere anche il Garante europeo fra i soggetti che possono chiedere quel parere.

• Se il consiglio di amministrazione di ENISA adotta misure per l'applicazione del regolamento sulla protezione dei dati, quelle decisioni devono limitarsi a dettagli molto tecnici, con previa consultazione del Garante europeo
• Il perimetro del quadro europeo di certificazione della cibersicurezza e il suo rapporto con la certificazione prevista dal GDPR vanno chiariti
• Prima di adottare uno schema di certificazione che riguardi la sicurezza del trattamento di dati personali, ENISA dovrebbe consultare il Comitato
• Gli schemi per prodotti e servizi destinati a essere usati in trattamenti dovrebbero tenere conto dei controlli di sicurezza utili a dimostrare la conformità al GDPR

La frase che vale la pena tenere

"Mentre la cibersicurezza sostiene la protezione dei dati personali limitando i rischi di accesso, modifica o indisponibilità non voluti, è essenziale garantire che i controlli di sicurezza siano attuati in modo da non compromettere i diritti e le libertà fondamentali delle persone."

È l'argomento da usare quando un fornitore propone una misura di sicurezza che raccoglie molto più di quanto serva: il registro completo di ogni battitura, la videosorveglianza sulle postazioni, l'ispezione del contenuto delle comunicazioni. La sicurezza non è una base giuridica che assorbe tutto il resto.

Sulle modifiche a NIS2

Il Comitato e il Garante europeo accolgono con favore la designazione dei fornitori dei portafogli europei di identità digitale e dei portafogli europei per le imprese come soggetti essenziali. È una scelta che ha conseguenze pratiche: chi gestirà quei portafogli entra nel regime più severo della direttiva, con gli obblighi di gestione del rischio e di notifica che ne derivano.

Sul lato delle competenze, il parere raccomanda che il quadro europeo delle competenze in cibersicurezza non si limiti ai professionisti del settore ma comprenda anche un profilo per la forza lavoro in generale. Tradotto: la sicurezza non è un mestiere di pochi dentro l'azienda, e la formazione non può fermarsi al reparto informatico.