Avast multata per la vendita dei dati degli utenti: l’importanza della tutela della privacy

avast vendita dati

Avast, nota azienda produttrice di software antivirus, dovrà pagare una multa di 16,5 milioni di dollari a causa della vendita non autorizzata dei dati dei propri clienti. Secondo quanto emerso dagli inquirenti, questa pratica si sarebbe protratta dal 2014.

La difesa di Avast sulla vendita dei dati

L’azienda ha risposto alla Federal Trade Commission (FTC), l’ente americano che ha sancito la multa, sostenendo che i dati venduti non contenessero informazioni identificative degli utenti. Inoltre, la FTC ha formalmente proibito ad Avast di cedere i dati di navigazione degli utenti a terzi per fini pubblicitari.

Nel contesto di questo accordo, Avast ha anche annunciato la chiusura di Jumpshot, la sussidiaria a cui cedeva i dati, all’inizio del 2020.

L’investigazione condotta da Motherboard e PCMag ha rivelato che i dati venivano venduti ad aziende come Home Depot, Google, Microsoft, Pepsi e McKinsey. Anche se Avast aveva già annunciato di aver interrotto questa pratica dopo l’investigazione, sembra che non sia stato così. Successivamente a questa vicenda, l’azienda con sede a Praga ha subito dei gravi danni reputazionali. Questo perché sembra aver fallito la sua autoproclamata missione di proteggere i dispositivi degli utenti dal tracciamento online. Le ragioni dietro la vendita di dati da parte di Avast appaiono abbastanza chiare, ma il motivo rimane ancora un mistero.

Perché Avast ha venduto i dati dei propri clienti?

I dati rappresentano un’importante fonte di guadagno. Le aziende che li acquistano possono infatti utilizzarli per campagne pubblicitarie mirate e profilare gli utenti in modo dettagliato. Inoltre, incrociando questi dati con informazioni provenienti da sistemi di sicurezza come quelli di Avast, potrebbero anche monitorare specifici utenti, rendendo i dati appetibili anche per agenzie di intelligence.

Perché ogni azienda dovrebbe tutelare la privacy dei propri clienti

La tutela della privacy dei clienti è un pilastro fondamentale per qualsiasi azienda, soprattutto in quest’era in cui la raccolta e l’uso dei dati sono sempre più diffusi e sofisticati. Uno dei principali strumenti a disposizione per garantirne la tutela è il Regolamento Generale sulla Protezione dei Dati (GDPR), adottato dall’Unione Europea nel 2018.

Il GDPR rappresenta una pietra miliare nella regolamentazione della privacy dei dati personali, imponendo regole chiare e rigorose sul trattamento, definendo i diritti dei cittadini europei e le responsabilità delle organizzazioni che gestiscono tali dati.

Ecco principali punti del GDPR che evidenziano l’importanza di tutelare la privacy dei clienti:

Diritti degli individui

  • Consenso informato: le aziende devono ottenere il consenso esplicito degli individui per raccogliere e utilizzare i loro dati personali.
  • Libertà di accesso ai dati: Gli individui hanno il diritto di accedere ai propri dati personali e di richiederne la correzione o la cancellazione.
  • Portabilità dei dati: Le persone hanno il diritto di trasferire i propri dati da un servizio a un altro, garantendo il controllo su dove e come vengono utilizzati.

Obblighi delle aziende

  • Responsabilità: Le aziende sono tenute a proteggere i dati personali in modo adeguato, implementando misure di sicurezza adeguate.
  • Notifica di violazione dei dati: In caso di violazione dei dati, le aziende sono obbligate a notificarla entro 72 ore alle autorità competenti e, in alcuni casi, anche agli individui interessati.
  • Privacy by design e by default: Il GDPR incoraggia le aziende a progettare i propri sistemi e servizi con la privacy integrata fin dall’inizio, nonché a implementare impostazioni di privacy predefinite.

Benefici della tutela della privacy dei clienti

  • Fiducia e reputazione: Rispettare la privacy dei clienti aiuta a costruire fiducia e ad evitare danni alla reputazione.
  • Rispetto delle leggi: Con il GDPR e altre leggi sulla privacy, le aziende devono rispettare delle regole rigorose per evitare sanzioni significative.
  • Minimizzazione dei rischi: La protezione dei dati riduce il rischio di frodi, abusi o violazioni della sicurezza potenzialmente pericolose.
  • Differenziazione competitiva: Un’azienda che si impegna nella protezione dei dati si distingue positivamente dai concorrenti, attraendo i clienti più attenti alla privacy.

L’episodio di Avast non è isolato e sembra essere parte di una tendenza più ampia in cui le aziende monetizzano i dati dei propri utenti nonostante gli sforzi dei regolatori per proteggere la privacy. Tutelare la privacy dei clienti, specialmente nel contesto del GDPR, non rappresenta solo una questione di conformità legale, ma anche di responsabilità etica e di vantaggio competitivo.

La tua azienda tutela i dati personali dei clienti? Contattaci per saperne di più e scoprire come essere GDPR compliant.

Cybersecurity: i trend del 2024

cybersecurity 2024

I maggiori trend del 2024 nello scenario della cybersecurity prevedono il crescente uso criminale dell’AI generativa e l’impatto dell’applicazione di normative come la NIS2: ecco cosa aspettarci.

Nel 2024, la cybersecurity assumerà un’importanza maggiore per diverse ragioni. Con il continuo avanzamento della tecnologia e l’ampia diffusione delle reti digitali, le minacce cyber diventano sempre più sofisticate e diffuse. Con sempre più dati e processi aziendali trasferiti online, la necessità di proteggere tali risorse diventa prioritaria per garantire la continuità operativa e la fiducia dei clienti.

Anche le normative sulla protezione dei dati personali e sulla sicurezza informatica saranno più rigorose. A livello europeo, l’introduzione della Direttiva NIS2 e altre leggi mirate alla cybersecurity impone alle aziende di adottare misure preventive e di conformarsi a standard più elevati, onde evitare rischi elevati e gravi sanzioni.

Per questi motivi, investire in cybersecurity diventa un elemento cruciale per la sostenibilità e la competitività.


Prospettive sul fronte della Cybersecurity nel 2024

Conoscere i trend emergenti è essenziale per mitigare e affrontare le sfide in arrivo nel panorama cyber in continua evoluzione.

Aumento del Cybercrime

Il 2024 sarà caratterizzato da un ulteriore aumento del cybercrime, alimentato dalla continua digitalizzazione in vari settori. Questo amplificherà gli ambiti e i metodi con cui i cybercriminali mireranno ad attaccare aziende e istituzioni pubbliche.

Tuttavia, i rischi associati alla digitalizzazione non devono scoraggiare l’adozione di tecnologie innovative, ma piuttosto spingere all’implementazione di misure efficaci per mitigare i pericoli, seguendo il principio di security by design. Si tratta di un approccio proattivo basato sull’integrazione della sicurezza dei sistemi informatici e dei prodotti digitali fin dalla fase di progettazione e sviluppo, anziché trattarla come un’aggiunta successiva o come una reazione ad una minaccia.

Questo implica una valutazione sistematica dei rischi, l’identificazione delle potenziali vulnerabilità e l’implementazione di contromisure adeguate.

L’adozione del principio della “security by design” aiuta a ridurre il rischio di violazioni della sicurezza e di compromissione dei dati, migliorando la resistenza complessiva dei sistemi alle minacce informatiche. Questo approccio è particolarmente importante in un contesto in cui gli attacchi cyber diventano sempre più sofisticati.

Applicazione della Direttiva NIS2

Per rafforzare le misure di cyber security è entrata in vigore il 17 gennaio 2023 e dovrà essere recepita dagli Stati membri UE entro il 18 ottobre 2024, la Direttiva NIS 2.

La nuova direttiva modifica la precedente NIS ed ha quale obiettivo quello di andare a creare una strategia comune e più forte tra gli Stati membri nell’ambito della cyber security. I vari stati dovranno impegnarsi nello sviluppo di piani nazionali per la sicurezza e di team specializzati nella materia.

Si tratta di una normativa che va ad aggiungersi ed integrarsi alle normative già presenti: GDPR, Regolamento DORA, Direttiva CER, Cyber Resilience Act, ed a livello nazionale al Perimetro di Sicurezza Nazionale Cibernetica.

In base alle nuove previsioni, verrà richiesto alle aziende di adottare delle misure di sicurezza più rigorose, nonché di adottare un sistema di segnalazioni più rapido. I fornitori di servizi digitali dovranno infatti notificare alle autorità gli incidenti entro 24 ore da quando ne sono venuti a conoscenza, contro le 72 ore attualmente previste dal GDPR.

Cosa comporta la violazione della normativa in termini di sanzioni?

La NIS 2 non prevede in modo specifico le sanzioni comminabili, ma fissa un massimo che corrisponde a 10 milioni di euro o il 2% del fatturato mondiale globale per i soggetti qualificati “essenziali” e 7 milioni o il 1,4% del fatturato mondiale globale per i soggetti “importanti”.

Non solo NIS 2

Il 30 novembre 2023 è stato raggiunto a livello europeo anche un accordo provvisorio sul Cyber Resilience Act relativamente alle nuove regole per proteggere i prodotti digitali nel territorio UE.

L’obiettivo del CRA è garantire che i dispositivi con funzionalità e componenti digitali siano sicuri nel loro utilizzo, resistenti alle minacce cyber e forniscano informazioni sufficienti sulle loro proprietà di sicurezza.

Ruolo dell’Intelligenza Artificiale (AI)

Il 2023 ha segnato l’inizio dell’interesse su larga scala per gli strumenti di AI generativa, trend destinato a consolidarsi nel 2024. L’utilizzo comune di tali strumenti diventerà la norma non solo nell’ambito lavorativo, ma anche nelle attività criminali. Questo implicherà una maggiore protezione da rischi e forme di attacco sia più specifici, che da quelli più tradizionali.

Sebbene le azioni automatizzate siano già impiegate per difendere i sistemi, soprattutto nei SOC, si prevede che gli attacchi basati sull’impersonificazione come i deep fake diventeranno più diffusi nel 2024.

L’AI ACT e la regolamentazione dell’intelligenza artificiale

Dallo sviluppo dell’intelligenza artificiale, non può che derivare la creazione della relativa normativa. L’idea fondamentale su cui si basa l’AI Act – approvato all’unanimità lo scorso 21 gennaio – è quello di regolamentare questa nuova tecnologia seguendo un approccio basato sul rischio.

Sostanzialmente, maggiori saranno i rischi legati al suo utilizzo, più le regole saranno rigorose e stringenti. Per esempio, per garantire una migliore protezione dei dati verrà previsto un obbligo a carico degli operatori di sistemi di AI ad alto rischio di effettuare una valutazione di impatto sui diritti fondamentali prima di utilizzare un sistema di AI.

Gli obiettivi specifici di detta normativa saranno:

  • assicurare che i sistemi di IA immessi sul mercato dell’Unione e utilizzati siano sicuri e rispettino la normativa vigente in materia di diritti fondamentali e i valori dell’Unione;
  • assicurare la certezza del diritto per facilitare gli investimenti e l’innovazione nell’intelligenza artificiale;
  • migliorare la governance e l’applicazione effettiva della normativa esistente in materia di diritti fondamentali e requisiti di sicurezza applicabili ai sistemi di IA;
  • facilitare lo sviluppo di un mercato unico per applicazioni di IA lecite, sicure e affidabili nonché prevenire la frammentazione del mercato.

Esternalizzazione dell’IT

Nel 2024 si assisterà a una maggiore esternalizzazione dell’IT e della gestione della sicurezza, data la crescente complessità tecnologica e la carenza di competenze interne. Questo comporterà un’adozione più diffusa dei servizi cloud, richiedendo una valutazione accurata e una gestione efficace per garantire la sicurezza dei dati e dei sistemi.

Nuove tecnologie di sicurezza

Il 2024 potrebbe segnare una svolta nell’abbandono dell’autenticazione basata solo su password a favore di metodi 2FA. Inoltre, il concetto di “zero trust” sarà sempre più discusso, sebbene molte aziende non abbiano ancora implementato adeguatamente le misure di sicurezza di base.

Il 2024 sarà un anno cruciale per la cybersecurity, con nuove sfide e opportunità che richiederanno una risposta innovativa e collaborativa da parte delle aziende. L’adozione di tecnologie avanzate e l’attenzione ai requisiti normativi saranno fondamentali per garantire una protezione efficace contro le crescenti minacce informatiche.

I tuoi dati aziendali sono davvero al sicuro? Contattaci per proteggere i tuoi sistemi.

Articolo realizzato in collaborazione con Orbyta Tax&Legal

Il DPO in Italia e in Europa, figura strategica nel GDPR

dpo gdpr

Con l’avvento del Regolamento Generale sulla Protezione dei Dati (GDPR) nel 2018, la figura del Data Protection Officer (DPO) ha assunto un ruolo di fondamentale importanza sia a livello nazionale che internazionale. Il regolamento ha introdotto una serie di nuove normative volte a garantire la privacy e la sicurezza dei dati personali dei cittadini europei, ponendo l’accento sulla responsabilità delle organizzazioni nel trattamento dei dati personali. In questo contesto, il DPO è emerso come una figura chiave per assicurare la conformità alle disposizioni del GDPR.

Ruolo del DPO nel GDPR

Noto anche come Responsabile della Protezione dei Dati (RPD), il DPO garantisce la tutela e la gestione appropriata delle informazioni personali. Il suo ruolo è quello di affiancare il titolare, gli addetti e i responsabili del trattamento, assicurando che la raccolta e la gestione dei dati avvengano in conformità con i principi e le direttive europee.

Professionista esperto nella protezione dei dati, si occupa di valutarne e organizzarne la gestione all’interno di imprese, enti o associazioni. La sua missione è quella di garantire che i dati siano trattati in modo legale e pertinente, rispettando le normative del paese in cui opera. Date le modalità prevalenti di acquisizione e gestione digitale dei dati, il Responsabile della Protezione dei Dati deve possedere competenze sia legali che informatiche.

Agisce infatti come consulente tecnico e legale con poteri esecutivi, contribuendo alla progettazione, verifica e mantenimento di un sistema organizzato di gestione dei dati personali. Collabora con i sistemi aziendali per implementare delle misure di sicurezza atte a proteggere i dati da rischi di distruzione, perdita, accesso non autorizzato o trattamento non consentito. La sua funzione non si limita solo alla consulenza, ma include anche il ruolo di mediatore tra l’organizzazione e le autorità competenti.

Le mansioni principali del DPO

In conformità con l’articolo 39 del GDPR, il DPO ha tre principali compiti: informare, sorvegliare e cooperare. Quando viene designato come “responsabile della protezione dei dati”, deve rapportarsi direttamente alla dirigenza e rispondere gerarchicamente ad essa. Il titolare e il responsabile del trattamento devono sostenere il DPO, fornendo tutte le risorse necessarie, come finanziamenti, personale e attrezzature.

L’organigramma aziendale può prevedere la presenza di uno o più responsabili della protezione dei dati, specialmente nelle grandi aziende e multinazionali. Questa struttura consente di affrontare le complessità legate alla gestione dei dati personali in contesti estesi.

L’articolo 39 del GDPR dettaglia ulteriormente i compiti del DPO. Tra questi l’informazione e il consiglio al titolare del trattamento, la sorveglianza dell’osservanza delle leggi europee sulla protezione dei dati e l’agire da punto di contatto con l’autorità di controllo per questioni legate al trattamento dei dati personali. Inoltre, deve seguire corsi di aggiornamento specializzati e operare in modo indipendente, evitando conflitti di interessi e mantenendo segretezza e riservatezza nell’adempimento dei suoi compiti.

Il contesto italiano e l’adozione del GDPR

In Italia, l’adozione del GDPR ha avuto un impatto significativo sulle pratiche aziendali e sul modo in cui le organizzazioni gestiscono i dati personali. Il DPO ha svolto un ruolo fondamentale nell’assistere le imprese italiane nell’adeguarsi alle nuove normative e nell’implementare politiche e procedure per garantire la conformità. Data la complessità delle disposizioni del GDPR e le potenziali sanzioni pecuniarie per la non conformità, molte aziende italiane hanno scelto di investire in risorse qualificate per ricoprire il ruolo di DPO. Le organizzazioni che non si conformano ai requisiti previsti dagli articoli da 37 a 39 del GDPR possono infatti ricevere multe fino a 10 milioni di euro o al 2% del fatturato di gruppo.

DPO interno o esterno?

La scelta tra un DPO interno ed esterno è un tema che merita attenzione, soprattutto considerando quanto emerso negli ultimi anni a livello operativo. Nominare un DPO interno offre il vantaggio di una migliore comprensione del contesto aziendale, che può favorire una gestione più efficace dei compiti. A lungo termine, mantenere un DPO interno non comporta inoltre i costi continui associati alla consulenza esterna.

In caso di violazioni dei dati o altre emergenze, un DPO interno interviene tempestivamente e coordina le risposte necessarie all’interno dell’organizzazione senza dover dipendere da risorse esterne.

D’altro canto, affidare i compiti strategici del DPO a un consulente esterno garantisce solitamente maggiore indipendenza. Tuttavia, è richiesta una conoscenza approfondita dell’organizzazione, raggiungibile attraverso un costante coordinamento con le figure chiave dell’azienda.

Va anche considerata l’espansione del ruolo del DPO in relazione alle nuove sfide legate all’utilizzo, alla protezione e alla valorizzazione dei dati, specialmente in considerazione dell’impatto e della diffusione dell’Intelligenza Artificiale in tutti i settori. L’Unione Europea ha avviato un ambizioso programma di innovazione legislativa nel campo tecnologico. Si propone infatti di affermare la propria leadership mondiale nella regolamentazione del digitale e dell’IA, seguendo il successo del GDPR.

Sai se la tua azienda è GDPR compliant? Contattaci per saperne di più.

Articolo realizzato in collaborazione con Orbyta People