Audita – Audita – Data Protection Information Security Cyber Defense Digital Forensic

Attacchi alla Supply Chain: quando il software di cui ti fidi è già infetto

Audita — Wed, 19 Aug 2026 14:16:12 +0000

La regola che ci hanno insegnato — “scarica solo da fonti ufficiali” — resta valida, ma non basta più. I casi di queste settimane mostrano che la minaccia può nascondersi dentro il software legittimo, prima ancora che arrivi sul tuo computer.

Per anni la difesa più ripetuta è stata anche la più semplice: scarica i programmi solo dai siti ufficiali, evita i canali sospetti e sarai al sicuro. È un consiglio ancora sensato, ma le cronache recenti raccontano un cambio di scenario che vale la pena capire. Gli aggressori hanno smesso di aspettare che l’utente sbagli: hanno iniziato a colpire il software alla fonte, infilando il codice malevolo dentro programmi legittimi, firmati e distribuiti attraverso i canali giusti. È quello che si chiama attacco alla catena di fornitura, la supply chain. E il suo tratto più insidioso è proprio questo: arriva vestito da software di cui ti fidi.

Quando l’installer ufficiale è già compromesso

Un caso emblematico riguarda i pacchetti di installazione ufficiali di DAEMON Tools Lite, un’utility molto diffusa: al loro interno sono stati trovati tre eseguibili legittimi e regolarmente firmati che contenevano però codice malevolo, con sfruttamento attivo già confermato. Il dettaglio che deve far riflettere è la firma digitale: è la garanzia su cui contiamo per fidarci di un programma, eppure qui è stata aggirata a monte. Chi ha scaricato l’installer “giusto”, dal posto “giusto”, ha comunque portato in casa la minaccia. Non c’è stato alcun errore da parte dell’utente: la trappola era già dentro il prodotto.

Il contagio che si propaga da solo

Lo stesso principio, spostato nel mondo di chi sviluppa software, mostra quanto possa diventare rapido. CSIRT Italia ha rilevato una campagna su larga scala nell’ecosistema npm, denominata “Mini Shai-Hulud”, che sfrutta un malware di tipo worm: si infiltra negli ambienti di sviluppo e nelle pipeline automatizzate, ruba le credenziali e si diffonde da solo pubblicando versioni infette di pacchetti legittimi. È un meccanismo a catena: ogni progetto colpito diventa il veicolo per contagiare il successivo. Per un’azienda che sviluppa o integra software, significa che il rischio può entrare non da una porta propria, ma da una dipendenza esterna di cui nemmeno si conosceva l’esistenza.

Cosa significa per te e per la tua azienda

La lezione non è smettere di fidarsi, ma spostare la fiducia dal “dove scarico” al “come verifico e come mi proteggo dopo”. Nessuno può controllare a mano il codice di ogni programma, ma alcune abitudini riducono in modo netto la superficie di rischio.

Mantieni aggiornati sistema operativo e applicazioni: le patch spesso chiudono proprio le falle sfruttate in questi attacchi.
Installa solo il software che serve davvero: ogni programma in più è una porta in più da sorvegliare.
In azienda, tieni un inventario di ciò che è installato e delle dipendenze usate nello sviluppo: non puoi proteggere ciò che non sai di avere.
Affidati a soluzioni di sicurezza che analizzano il comportamento dei programmi, non solo la loro firma.
Prevedi backup regolari, testati e scollegati dalla rete: sono la rete di sicurezza quando la prevenzione non basta.

Gli attacchi alla supply chain ci ricordano una cosa scomoda ma utile: la sicurezza non è un punto d’arrivo, è un processo che va mantenuto nel tempo. La buona notizia è che non richiede di diventare esperti, ma di adottare qualche accortezza stabile. Anche qui, la differenza tra un incidente e un rischio evitato non è quasi mai una tecnologia in più: è l’attenzione costante a ciò che entra nei nostri sistemi.

Il Backup: L’Indispensabile Difesa ai Ramsomware

Audita — Wed, 19 Aug 2026 13:14:43 +0000

L’importanza del backup

strategie 3-2-1 per la resilienza

Perché il backup è cruciale

I disastri succedono: guasti hardware, errori umani, malware o ransomware, eventi naturali, furti. Senza copie di sicurezza, la perdita può essere irreversibile.
Normative e compliance spesso impongono la capacità di recupero e la continuità operativa, oltre alla protezione dei dati personali (es. GDPR) e le responsabilità aziendali.
Avere backup affidabili riduce tempi di inattività (downtime), danni economici e danni di reputazione.

La regola 3-2-1: che cos’è

La strategia 3-2-1 è uno standard raccomandato per la protezione dei dati, semplice ma molto efficace.

I suoi pilastri sono:

Tre copie dei dati: il dato originale più almeno due copie aggiuntive;
questo per avere ridondanza in caso di guasto, corruzione o perdita.
Due tipi di supporto differenti: usare media diversi (es. disco rigido, NAS, tape, cloud, storage remoto) in modo che un tipo di media non sia un unico punto di fallimento.
Una copia off-site: almeno una delle copie deve trovarsi in un luogo geografico o fisico diverso (o nel cloud remoto) per proteggersi da disastri locali o eventi che compromettono l’intero sito.

Evoluzioni moderne: da 3-2-1 a 3-2-1-1-0

L’ambiente tecnologico e le minacce sono mutate, e alcune organizzazioni integrano la 3-2-1 con altri elementi:

Una copia “immutabile” o “air-gapped”: che non possa essere alterata o eliminata, utile contro ransomware che tentano di cancellare o criptare anche i backup.
Verifica del ripristino (zero errori): test periodici per assicurarsi che i backup siano effettivamente recuperabili. Un backup che non si può ripristinare è inutile.

Come implementare concretamente la strategia 3-2-1

Ecco una roadmap operativa per aziende che vogliono adottare (o migliorare) la strategia di backup:

Fase	Azioni consigliate
Valutazione iniziale	Identificare i dati critici; stabilire RPO (Recovery Point Objective) e RTO (Recovery Time Objective); comprendere le fonti del rischio (hardware, malware, errore umano, disastro fisico).
Selezione dei media	Scegliere supporti diversi: ad es. dischi locali, NAS, tape, cloud; valutare costi, performance, sicurezza.
Implementazione del backup off-site	Usare sistemi cloud, data center remoti, storage geografico separato; se possibile combinare con copia fisica conservata in luogo sicuro.
Air-Gap / Immutabilità	Prevedere almeno una copia separata dal network o protetta in maniera che non possa essere alterata da attaccanti.
Cifre regolari e automazione	Automatizzare i backup; schedulare in modo che le copie siano aggiornate con frequenza adatta al rischio.
Test di ripristino	Verifiche periodiche (simulazioni) per garantire che i backup siano integri e ripristinabili; documentare i risultati.
Monitoraggio e revisione	Controllo costante dei backup (log, integrità); revisioni della strategia in base a cambiamenti tecnologici, di scala o di minaccia.

Conclusione

La regola 3-2-1 è un pilastro della resilienza digitale. Non offre certezze assolute da sola, ma combinata con automazione, test, immutabilità e backup off-site diventa una difesa solida contro molte forme di disastro informatico. Per aziende che vogliono restare operative in situazioni avverse, implementarla correttamente è una priorità.

Truffe online 2026: Smishing e Ransomware, come Difendersi?

Audita — Thu, 16 Jul 2026 13:45:58 +0000

Truffe online 2026:

Le minacce che circolano in queste settimane hanno un tratto comune: non cercano una falla nel software, ma un momento di distrazione nella persona. È un cambio di prospettiva che riguarda tutti, cittadini e imprese.

Per anni abbiamo immaginato l’attacco informatico come qualcosa di tecnico e lontano: un hacker incappucciato, righe di codice, sistemi violati nel cuore della notte. La realtà del 2026 è molto più prosaica e, proprio per questo, più insidiosa. Le campagne segnalate in queste settimane dalle autorità nazionali non sfondano alcuna porta blindata: bussano gentilmente, si presentano con un nome familiare e contano su un istante di fretta. Il bersaglio non è più soltanto la macchina. È la fiducia di chi la usa.

La truffa della consegna che non arriva mai

Il copione è ormai riconoscibile, eppure continua a funzionare. Arriva un SMS che annuncia una consegna non andata a buon fine e invita a “riprogrammarla” cliccando un link. CSIRT Italia ha rilevato questa campagna diffusa proprio con l’obiettivo di indurre le potenziali vittime a inserire i propri dati personali e quelli della carta di pagamento su una pagina che imita quella di un corriere. Il dettaglio che dovrebbe far scattare l’allarme è semplice: nessun corriere legittimo chiede gli estremi della carta per riconsegnare un pacco. Quel campo esiste solo per un motivo, ed è svuotare il conto di chi lo compila.

Quando a scriverti è un finto ente pubblico

La stessa logica cambia travestimento e sale di livello. CERT-AgID ha individuato numerose campagne di phishing che si spacciano per il Ministero della Salute, riproponendo lo stesso schema fraudolento su più domini differenti, tutte finalizzate a sottrarre ai cittadini dati personali e informazioni di pagamento. Impersonare un’istituzione è una scelta precisa: sfrutta la fiducia quasi automatica che accordiamo a una comunicazione “ufficiale”. Ma un ente pubblico non chiede pagamenti o dati sensibili tramite un link ricevuto via messaggio. Quando la richiesta arriva così, la veste istituzionale è parte dell’inganno, non una garanzia.

Ransomware: perché ora tocca anche alle piccole imprese

C’è la convinzione diffusa che gli attacchi con richiesta di riscatto colpiscano solo le grandi organizzazioni. I numeri raccontano altro. CSIRT Italia ha registrato dall’inizio dell’anno un numero significativo di attacchi ransomware riconducibili al gruppo Qilin, rivolti in prevalenza proprio alle PMI. Per una piccola realtà l’impatto è sproporzionato: file cifrati, backup resi inaccessibili, attività paralizzata per giorni, spesso senza le risorse interne per reagire in fretta. Per chi ha strutture ridotte, la prevenzione non è un costo: è la forma di assicurazione più economica che esista.

Il filo che unisce tutto: il fattore umano

Consegna fasulla, finto ministero, riscatto: tre minacce diverse, un’unica leva. Tutte puntano sull’urgenza, sull’autorità apparente, sulla routine che ci fa cliccare senza pensare. La sicurezza, oggi, non è più solo una questione di firewall e antivirus. Quegli strumenti restano indispensabili, ma la prima linea di difesa si è spostata: è fatta di attenzione, di abitudini e di un secondo di esitazione prima di agire. È una buona notizia, in fondo, perché è terreno su cui chiunque può migliorare, senza bisogno di competenze tecniche avanzate.

Le abitudini che fanno la differenza

Non aprire mai link ricevuti via SMS o email per “sbloccare” consegne, rimborsi o pagamenti: raggiungi il sito ufficiale digitando tu stesso l’indirizzo.
Diffida di qualsiasi messaggio che ti mette fretta o gioca sulla paura: l’urgenza è lo strumento di lavoro preferito dei truffatori.
Ricorda che nessun ente pubblico e nessun corriere chiede i dati della carta tramite un messaggio.
In azienda, tieni backup regolari, testati e scollegati dalla rete, e installa gli aggiornamenti senza rimandare.
Se un messaggio sembra provenire da un contatto noto ma ti chiede qualcosa di insolito, verifica su un canale diverso prima di rispondere.

Non si tratta di diventare diffidenti verso tutto, ma di riconoscere i pochi segnali che ricorrono in quasi ogni truffa. La differenza tra un incidente e un attacco sventato, molto spesso, non è una tecnologia in più: sono i cinque secondi di lucidità che ci prendiamo prima di cliccare. Nel 2026 la sicurezza si costruisce lì, nel gesto quotidiano di chi decide di fermarsi un istante a guardare meglio.

Aggiornamenti dal Garante

Audita — Tue, 07 Jul 2026 08:02:09 +0000

Le recenti indicazioni del Garante
Videosorveglianza, dati sanitari e tutela dei minori

Le ultime decisioni del Garante per la protezione dei dati personali offrono chiarimenti importanti su alcuni temi centrali per la compliance privacy e ribadiscono un principio di fondo: trasparenza, limitazione delle finalità e proporzionalità del trattamento restano i pilastri su cui misurare ogni scelta.

Videosorveglianza urbana: la finalità viene prima di tutto
Il Garante ha chiarito che i filmati raccolti da sistemi di videosorveglianza installati per finalità di sicurezza urbana non possono essere riutilizzati liberamente per scopi diversi da quelli originari.
Nel caso esaminato, un Comune aveva impiegato le immagini per ricostruire la dinamica di un incidente stradale e contestare una violazione del Codice della Strada. L’Autorità ha ritenuto questo utilizzo incompatibile con la finalità per cui i dati erano stati raccolti, sottolineando che ogni trattamento ulteriore richiede una specifica base giuridica prevista dalla legge.
Il provvedimento è un richiamo netto al principio di limitazione della finalità del GDPR: avere un’informazione a disposizione non ne legittima automaticamente qualsiasi uso successivo.

Emirates sanzionata per la gestione dei dati sanitari dei passeggeri
Il Garante ha sanzionato Emirates con una multa di 180.000 euro nell’ambito del trattamento dei dati di passeggeri con disabilità o mobilità ridotta.
L’Autorità ha confermato la legittimità del trattamento dei dati sanitari quando è necessario a garantire la sicurezza del trasporto e l’assistenza durante il viaggio. Ha però rilevato criticità sia nelle informazioni fornite agli interessati sia nella conservazione dei dati: l’informativa privacy è stata giudicata poco chiara e incompleta, mentre il periodo di conservazione dei dati sanitari è risultato eccessivo rispetto alle finalità perseguite.
Il caso lo dimostra con chiarezza: una base giuridica corretta non basta a garantire la conformità se non è accompagnata dal rispetto di tutti gli altri principi del GDPR.

Minori sui social: serve il consenso di entrambi i genitori
Un ulteriore intervento riguarda la pubblicazione online di immagini di minori.
Il Garante ha ribadito che, per i minori di 14 anni, la diffusione di fotografie sui social network richiede il consenso di entrambi i genitori. La decisione nasce da un reclamo relativo alla pubblicazione delle immagini dei figli da parte di un genitore senza il consenso dell’altro.
Nel provvedimento si sottolinea che condividere contenuti che riguardano i minori costituisce a tutti gli effetti un trattamento di dati personali e che i rischi legati alla diffusione online possono incidere sulla futura autodeterminazione digitale dei ragazzi. L’Autorità ha inoltre precisato che né la natura affettiva della pubblicazione né l’uso di profili privati eliminano i rischi derivanti da un’eventuale ricondivisione delle immagini a soggetti terzi.

Data breach: verso una procedura europea più uniforme
Sul fronte della gestione delle violazioni dei dati personali, l’European Data Protection Board ha approvato e posto in consultazione pubblica un nuovo modello comune per la notifica dei data breach.
L’obiettivo è armonizzare le procedure adottate dalle Autorità europee e preparare l’integrazione con il futuro Single Entry Point, il sistema destinato a centralizzare gli obblighi di notifica previsti dalle diverse normative dell’Unione Europea. Un ulteriore passo verso una gestione più uniforme degli incidenti di sicurezza e verso la semplificazione degli adempimenti per organizzazioni e titolari del trattamento.

Il filo conduttore di questi provvedimenti è sempre lo stesso: la compliance non è un adempimento formale, ma un equilibrio quotidiano tra finalità, trasparenza e proporzionalità. Audita è al tuo fianco per trasformarlo in pratica.

PagoPA – La truffa del SMS

Audita — Tue, 16 Jun 2026 15:49:33 +0000

PagoPA – la truffa della «multa da pagare»

«Se guardi a lungo nell’abisso, anche l’abisso ti guarda dentro.»

— Friedrich Nietzsche

Vale lo stesso in rete. Se tu sei connesso, il mondo è connesso a te: e una minaccia che sembra riguardare “qualcun altro”, prima o poi, bussa alla porta di chiunque. La nuova truffa SEND lo dimostra bene.

Arriva un SMS. Sembra il tuo Comune, parla di una multa, ti invita a verificare. Tutto normale — se non fosse una truffa costruita per sembrare reale in ogni dettaglio. A lanciare l’allarme sono l’Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia: una campagna di phishing via SMS che sfrutta il nome del Servizio Notifiche Digitali (SEND) e di pagoPA per far pagare sanzioni inesistenti e rubare i dati della carta.

Quando il phishing diventa “amministrativo”

Il messaggio segnala una presunta violazione del Codice della Strada legata alla tua targa e invita a consultare i dettagli tramite un link. Cliccando, si apre una pagina che riproduce un portale istituzionale, completa di logo SEND e dei riferimenti grafici di pagoPA. Vederli abbassa di colpo la diffidenza: sono piattaforme che la Pubblica Amministrazione usa davvero.

Da lì lo schema è guidato passo dopo passo: inserisci la targa, compare un verbale con velocità rilevata, data, importo e spese di notifica. Tutto “torna”. Ed è proprio questa coerenza a disinnescare i sospetti.

E’ questa cari lettori è l’arte dell’ingegneria sociale, nata al tempo dai sofisti e mai invecchiata fino a giorni nostri. L’arte che ci permette di influire sul comportamento altrui.

Il dettaglio che abbatte le difese: l’importo “giusto”

Nel caso analizzato dal CSIRT la cifra richiesta è di circa 44,40 euro, con tanto di “sconto” per il pagamento rapido. Non abbastanza alta da insospettire, non così bassa da sembrare irrilevante: plausibile. E lo sconto aggiunge l’urgenza che spinge a chiudere subito. La decisione diventa quasi automatica — ed è lì che la trappola scatta.

Prima il dato, poi il denaro

Prima del pagamento il sito raccoglie nome, indirizzo e contatti; solo alla fine chiede i dati della carta. Non è quindi la sola frode del momento: come avverte l’ACN, l’inserimento può portare a transazioni non autorizzate e al riuso dei dati su altre reti fraudolente. L’impatto non si esaurisce con quei 44 euro.

Perché funziona: non è un problema di sistemi

Questo attacco non sfrutta una falla informatica, ma la fiducia delle persone: la familiarità con i servizi digitali, la credibilità di marchi noti, una messa in scena senza le solite anomalie. Quando una frode diventa indistinguibile da un processo legittimo, il margine d’errore si riduce per chiunque — anche per chi si crede attento.

Anche perché, ed è bene ricordarlo, il phishing non punta agli stupidi ma si concentra su quell’attimo di disattenzione, che può capitare a chiunque.

Non hackerano i sistemi: hackerano le persone.

I segnali e come difendersi

Fermati un istante se noti uno di questi elementi:

Un link per “verificare” o “pagare” ricevuto via SMS o e-mail, soprattutto se non atteso.
La richiesta di inserire la targa o dati personali per vedere una sanzione.
Un importo basso con sconto immediato che mette fretta.
Un indirizzo web simile ma non identico ai domini ufficiali.

E ricorda il principio chiave: SEND non funziona così. Comunica solo tramite l’App IO, una PEC intestata al destinatario, i contatti della tua area personale o la posta cartacea — mai con un link che chiede la carta. Nel dubbio, non cliccare e verifica accedendo direttamente ai canali ufficiali.

Il fattore umano resta il primo bersaglio.

In Audita aiutiamo enti e aziende a rendere le persone parte attiva della sicurezza, con percorsi di Cyber Awareness e servizi di Cyber Defense. Scopri i nostri servizi.

Privacy by Design

Audita — Thu, 04 Jun 2026 15:51:07 +0000

Privacy by Design

Definizione e Fondamento Normativo

Il concetto di “Privacy by Design”, o più correttamente secondo la terminologia del Regolamento (UE) 2016/679 (GDPR), “Protezione dei dati fin dalla progettazione e per impostazione predefinita”, è un principio giuridico e un obbligo fondamentale per i titolari del trattamento. È codificato nell’articolo 25 del GDPR e impone che la tutela dei diritti e delle libertà degli interessati sia integrata in tutte le fasi del trattamento dei dati personali, non come un elemento aggiuntivo da applicare a posteriori, ma come un requisito intrinseco fin dall’ideazione di prodotti, servizi e processi aziendali.

Questo obbligo si articola in due componenti complementari:

Protezione dei dati fin dalla progettazione (Data Protection by Design): Come stabilito dall’art. 25, paragrafo 1, il titolare del trattamento deve mettere in atto “misure tecniche e organizzative adeguate” (come la pseudonimizzazione) sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso. Lo scopo è attuare in modo efficace i principi di protezione dei dati (come la minimizzazione) e integrare le necessarie garanzie per tutelare i diritti degli interessati. Questo approccio proattivo richiede di considerare la protezione dei dati durante l’intero ciclo di vita del trattamento.
Protezione dei dati per impostazione predefinita (Data Protection by Default): Il paragrafo 2 dell’articolo 25 specifica che il titolare deve implementare misure per garantire che, per impostazione predefinita, “siano trattati solo i dati personali necessari per ogni specifica finalità del trattamento”. Questo obbligo riguarda la quantità di dati raccolti, l’ambito del trattamento, il periodo di conservazione e l’accessibilità. In particolare, le misure devono assicurare che, di default, i dati personali non siano resi accessibili a un numero indefinito di persone senza un intervento attivo dell’interessato.

L’articolo 25 è strettamente connesso al principio di responsabilizzazione (accountability) di cui all’articolo 5, paragrafo 2, del GDPR, che impone al titolare non solo di rispettare i principi, ma anche di essere in grado di comprovarlo. La Privacy by Design è, di fatto, lo strumento operativo principale per adempiere a tale obbligo.

I Principi Fondamentali della Protezione dei Dati “by Design”

Le Linee guida 4/2019 dell’European Data Protection Board (EDPB) chiariscono che l’obiettivo della Privacy by Design è l’attuazione efficace dei principi di protezione dei dati sanciti dall’articolo 5 del GDPR. L’applicazione pratica di questo approccio si traduce nell’integrazione dei seguenti principi nel design dei trattamenti:

Liceità, correttezza e trasparenza: I sistemi devono essere progettati per essere trasparenti. Ciò significa fornire agli interessati informazioni chiare, facilmente accessibili e comprensibili sulle modalità di trattamento dei loro dati. Ad esempio, attraverso interfacce utente intuitive, informative “stratificate” (layered notices) e notifiche tempestive.
Limitazione della finalità: Le misure tecniche e organizzative devono garantire che i dati siano raccolti per finalità determinate, esplicite e legittime e non siano trattati ulteriormente in modo incompatibile. Un esempio di misura “by design” è l’uso di controlli tecnici che impediscono l’utilizzo dei dati per scopi diversi da quelli per cui sono stati originariamente raccolti.
Minimizzazione dei dati: Questo è un pilastro della Privacy by Design. I sistemi devono essere progettati per raccogliere e trattare solo i dati personali “adeguati, pertinenti e limitati a quanto necessario” rispetto alle finalità. Il Garante Privacy, in diversi provvedimenti, ha sanzionato la mancata applicazione di questo principio, sottolineando come la minimizzazione debba essere operata ab origine a livello tecnologico. La pseudonimizzazione è una delle misure chiave per raggiungere questo obiettivo.
Esattezza: La progettazione deve facilitare il mantenimento di dati esatti e aggiornati, ad esempio prevedendo funzionalità che consentano agli interessati di rettificare facilmente le proprie informazioni.
Limitazione della conservazione: I dati devono essere conservati solo per il tempo necessario a conseguire le finalità. La Privacy by Design implica l’implementazione di policy di conservazione automatiche, con meccanismi di cancellazione o anonimizzazione sicura dei dati una volta scaduto il termine.
Integrità e riservatezza (Sicurezza): Il design deve garantire un’adeguata sicurezza dei dati, proteggendoli da trattamenti non autorizzati, perdite o distruzioni. Ciò si collega all’articolo 32 del GDPR e include misure come la cifratura, la gestione del controllo degli accessi (limitando l’accesso solo al personale autorizzato che ne ha necessità) e la sicurezza dei trasferimenti e della conservazione.

Roadmap Operativa per l’Implementazione

L’integrazione della Privacy by Design è un processo strutturato che coinvolge diverse funzioni aziendali (IT, legale, sviluppo, marketing). Di seguito una roadmap operativa basata sulle migliori prassi e sui requisiti normativi.

Fase	Attività Consigliata	Riferimenti Normativi e Risultati Attesi
1. Analisi Iniziale e Valutazione del Rischio	Identificare i trattamenti, mappare i flussi di dati, definire le finalità e valutare i rischi per i diritti e le libertà degli interessati.	Riferimenti: Art. 25(1), Art. 32 GDPR. Risultato: Mappa dei trattamenti e registro dei rischi, base per le scelte di progettazione.
2. Definizione di Policy e Ruoli	Adottare policy interne che rendano obbligatoria la PbD. Definire ruoli e responsabilità (es. DPO, team di sviluppo).	Riferimenti: Art. 24, Art. 5(2) GDPR (Accountability). Risultato: Governance chiara e consapevolezza diffusa.
3. Progettazione Tecnica e Organizzativa	Scegliere e implementare misure tecniche (es. pseudonimizzazione, cifratura) e organizzative (es. procedure di accesso) che attuino i principi di protezione dati.	Riferimenti: Art. 25(1), Art. 32 GDPR. Risultato: Sistemi con garanzie di privacy integrate.
4. Valutazione d’Impatto sulla Protezione dei Dati (DPIA)	Per i trattamenti a rischio elevato, condurre una DPIA (Art. 35 GDPR) non solo come adempimento, ma come strumento di progettazione per identificare e mitigare i rischi in fase precoce.	Riferimenti: Art. 35 GDPR, Linee guida EDPB 4/2019. Risultato: Mitigazione proattiva dei rischi e documentazione a supporto della conformità.
5. Test e Verifica Continua	Eseguire audit, test di sicurezza e revisioni periodiche per verificare l’efficacia delle misure implementate. Il concetto di “stato dell’arte” è dinamico e richiede un monitoraggio costante.	Riferimenti: Art. 32(1)(d) GDPR. Risultato: Dimostrazione dell’efficacia delle misure e adattamento alle nuove minacce.
6. Implementazione delle Impostazioni Predefinite	Configurare i sistemi in modo che le impostazioni di default siano le più protettive per la privacy (es. raccolta dati minima, nessuna condivisione con terzi non essenziali, periodi di conservazione brevi).	Riferimenti: Art. 25(2) GDPR. Risultato: Protezione automatica dell’utente, che non deve intervenire per essere tutelato.
7. Documentazione e Accountability	Mantenere una documentazione completa di tutte le scelte progettuali, le valutazioni dei rischi, le misure adottate e i test effettuati, per poter dimostrare la conformità.	Riferimenti: Art. 5(2), Art. 24, Art. 25(1) GDPR. Risultato: Prova documentale della conformità (“essere in grado di comprovarlo”).

Conclusioni

La “Data Protection by Design and by Default” non è una mera raccomandazione tecnica, ma un obbligo legale sancito dall’articolo 25 del GDPR. Rappresenta un cambio di paradigma, spostando la protezione dei dati da un approccio reattivo (gestire i problemi quando si verificano) a uno proattivo (prevenire i problemi fin dall’origine). L’adozione di questo principio non solo garantisce la conformità normativa e riduce il rischio di sanzioni e violazioni dei dati, ma costituisce anche un fattore strategico per costruire la fiducia degli utenti e dimostrare un impegno concreto verso la tutela dei loro diritti fondamentali.

Attacco Cyber – Oracle Cloud

Audita — Wed, 20 May 2026 15:51:12 +0000

Oracle Cloud: 6 milioni di record esposti — cosa è successo davvero

Un attore di minaccia ha sottratto credenziali SSO e chiavi LDAP da Oracle Cloud Infrastructure. Il vendor ha inizialmente negato tutto. I dati erano già in vendita online.

Cos’è successo

A fine marzo 2025 un attore di minaccia conosciuto come “rose87168” ha pubblicato su BreachForums la disponibilità di un dataset contenente milioni di record estrapolati dai sistemi Oracle Cloud. Il campione pubblicato includeva hash di password, file Java KeyStore (JKS), chiavi private di cifratura e credenziali LDAP/SSO associate a istanze Oracle Identity Manager.

Secondo la ricostruzione dei ricercatori di CloudSEK — una delle prime aziende di threat intelligence a pubblicare un’analisi tecnica dettagliata — l’attaccante avrebbe sfruttato la vulnerabilità CVE-2021-35587, una falla critica (CVSS 9.8) in Oracle Access Manager che consente l’accesso non autenticato tramite URL malformati. Questa vulnerabilità era nota dal 2021 e patchata da Oracle, ma evidentemente non applicata su alcuni endpoint esposti.

Oracle ha inizialmente risposto con una dichiarazione pubblica in cui negava qualsiasi breach: “No Oracle Cloud customers experienced a breach or lost any data”. Tuttavia, giornalisti di BleepingComputer hanno verificato in modo indipendente l’autenticità di alcuni record del campione contattando direttamente le aziende citate, che hanno confermato la corrispondenza con i loro dati reali.

“La negazione iniziale di Oracle ha complicato la risposta agli incidenti per centinaia di organizzazioni, che non sapevano se agire o attendere.” — Kevin Beaumont, ricercatore di sicurezza indipendente (aprile 2025)

La cronologia dell’incidente

Fine marzo 2025 — L’attore “rose87168” pubblica il post su BreachForums con campioni di dati e richiede un pagamento per non diffondere l’intero dataset.

2 aprile 2025 — Oracle rilascia una dichiarazione pubblica negando qualsiasi violazione dei sistemi cloud e dei dati dei clienti.

4–7 aprile 2025 — BleepingComputer e CloudSEK confermano l’autenticità di record specifici. Alcune aziende riconoscono i propri dati nel campione pubblicato.

Metà aprile 2025 — Secondo report di BleepingComputer, Oracle avrebbe iniziato a notificare alcuni clienti in modo privato, descrivendo l’evento come breach di un “sistema legacy”.

Aprile–maggio 2025 — La CISA tiene monitorata la situazione. Diverse organizzazioni avviano procedure di incident response e rotazione delle credenziali compromesse.

Cosa contenevano i dati rubati

Il dataset pubblicato includeva diverse categorie di informazioni sensibili. Secondo l’analisi tecnica di CloudSEK, erano presenti:

Credenziali di autenticazione: hash di password (in formato bcrypt e altri), nomi utente e indirizzi email associati a tenant Oracle Identity Manager. Alcuni hash sono stati già tentati con attacchi offline.

Chiavi crittografiche: file Java KeyStore (JKS) contenenti certificati e chiavi private usati per la firma e la cifratura delle comunicazioni tra servizi Oracle. La compromissione di questi file può consentire attacchi di tipo man-in-the-middle o impersonificazione di servizi.

Dati di configurazione LDAP: credenziali e parametri di connessione ai directory server aziendali. Questi dati sono particolarmente critici perché spesso consentono l’accesso a infrastrutture Active Directory on-premise tramite federated identity.

La caratteristica più preoccupante non è il volume dei dati — è la qualità. Chiavi private e credenziali SSO offrono un punto d’ingresso diretto alle reti aziendali, non solo ai sistemi cloud.

La vulnerabilità alla base: CVE-2021-35587

La falla sfruttata è classificata con punteggio CVSS 9.8 (critico) e riguarda Oracle Access Manager, il componente responsabile della gestione delle identità e dell’autenticazione SSO in Oracle Fusion Middleware. La vulnerabilità consente a un attaccante remoto non autenticato di compromettere il sistema tramite l’invio di richieste HTTP appositamente costruite.

Oracle aveva rilasciato la patch nel Critical Patch Update di gennaio 2022. Tuttavia, la persistenza di sistemi non aggiornati — specialmente negli endpoint di Oracle Cloud esposti su Internet — ha reso possibile l’exploitation anche anni dopo. La CISA aveva già incluso questa CVE nel suo catalogo Known Exploited Vulnerabilities (KEV) nel novembre 2022, richiedendo alle agenzie federali statunitensi di applicare la patch entro tre settimane.

Fonti: CISA KEV Catalog · NVD/NIST CVE-2021-35587 · Oracle Critical Patch Update gennaio 2022 · BleepingComputer (aprile 2025) · CloudSEK (aprile 2025)

Perché Oracle ha negato — e cosa ci insegna

La risposta iniziale di Oracle ha suscitato forte critica nella comunità di sicurezza. Secondo alcune interpretazioni, la dichiarazione aziendale sarebbe stata tecnicamente vera ma deliberatamente fuorviante: Oracle avrebbe qualificato il sistema compromesso come “Oracle Classic” — un ambiente legacy — e non come “Oracle Cloud Infrastructure” nel senso moderno del termine, consentendo così la negazione formale del breach.

Questo schema comunicativo — negare un breach attraverso distinzioni semantiche — è problematico perché ritarda la risposta degli utenti colpiti. Ogni ora in cui le credenziali compromesse rimangono attive aumenta il rischio di uso malevolo. Il GDPR impone alle organizzazioni europee che abbiano subito la compromissione di dati personali di notificare l’autorità competente entro 72 ore dall’accertamento.

Il quadro più ampio: cloud e falsa percezione di sicurezza

Il breach Oracle non è un caso isolato. Nel 2024, secondo l’IBM X-Force Threat Intelligence Index 2025, il 30% di tutti gli incidenti analizzati ha riguardato ambienti cloud. Il vettore più comune rimane il furto di credenziali, seguito dallo sfruttamento di vulnerabilità note non patchate.

Il modello di responsabilità condivisa del cloud — in cui il provider garantisce la sicurezza dell’infrastruttura sottostante, ma il cliente è responsabile della configurazione, della gestione delle identità e del patching — richiede che entrambe le parti facciano la loro parte. Quando un provider nega o minimizza un incidente, rompe questo patto fiduciario e trasferisce un rischio inaccettabile agli utenti.

Business Continuity e Disaster Recovery

Audita — Fri, 08 May 2026 09:18:08 +0000

Differenze e Integrazione

Definizioni generali

Business Continuity (BC): insieme di strategie, processi e procedure che permettono a un’organizzazione di continuare ad erogare i servizi essenziali anche in presenza di eventi critici (disastri naturali, interruzioni di fornitura, guasti hardware/software, attacchi informatici, problemi relativi al personale, ecc.). Non riguarda solo la tecnologia, ma persone, processi, risorse, comunicazione.
Disaster Recovery (DR): parte della Business Continuity focalizzata sul ripristino dell’infrastruttura tecnologica, dei sistemi informatici e dei dati dopo un incidente grave. È più tecnica, con obiettivi misurabili su quanto tempo si può stare offline (RTO) e quanto dato si può perdere (RPO).

Differenze principali

Aspetto	Business Continuity	Disaster Recovery
Ambito	Totale: operazioni aziendali, processi, persone, sedi, fornitori, comunicazione etc.	IT/infrastruttura/dati; ciò che serve per ripristinare l’operatività tecnologica dopo l’evento critico.
Obiettivo temporale	Prevenire interruzioni, mitigare l’impatto, mantenere un livello minimo operativo anche durante la crisi.	Ripristinare il più rapidamente possibile sistemi e dati, ridurre il tempo di fermo e la perdita di dati.
Approccio	Proattivo: analisi dei rischi, analisi dell’impatto sul business (Business Impact Analysis, BIA), pianificazione, ridondanze, mitigazioni preventive.	Reattivo + pianificato: procedure da attivare dopo l’evento; resta fondamentale l’esistenza a priori di piani e risorse.
Componenti	Include anche comunicazione, gestione personale, continuità delle filiere, sedi alternative, processi non-IT, sensibilizzazione.	Backup, replica dei dati, infrastrutture ridondanti, procedure tecniche di recovery, test di ripristino.

Integrazione: come far convergere BC e DR

Perché non bastano separatamente; insieme costituiscono la strategia BCDR (Business Continuity & Disaster Recovery). Ecco come integrarle efficacemente:

Business Impact Analysis (BIA)
Identificare processi critici, valutare quali conseguenze ci sono se non funzionano, determinare le priorità di recovery (quali sistemi servono per primi) e stabilire RTO/RPO.
Definire ruoli e responsabilità
É importante che ci siano figure chiare per il piano di BC, per il DR, per la comunicazione in emergenza e per le decisioni operative. Gente che sa cosa fare, quando e come.
Prescrivere procedure sia preventive che reattive
Minimizzare le interruzioni tramite ridondanze, backup, misure preventive. E parallelamente definire procedure operative da attivare al momento di crisi per recuperare sistemi e dati.
Test e simulazioni regolari
Un piano che non viene testato rischia di non funzionare quando serve. Simulazioni periodiche, scenari realistici, prove di recovery, esercitazioni sono essenziali.
Pianificazione delle risorse / infrastrutture ridondanti
Backup offsite, siti secondari, cloud, sistemi ridondanti, strumenti per operare in modalità temporanea in caso di guasti.
Comunicazione e gestione del cambiamento
Durante un evento critico serve una comunicazione efficace sia interna che esterna, ma anche nella fase preparatoria è utile coinvolgere i team, spiegare misure, creare consapevolezza.
Revisione continua e miglioramento
Dopo ogni esercitazione o incidente, revisioni e aggiornamenti del piano, apprendimento delle lezioni, aggiornare rischi, infrastrutture, contingenze.

Benefici di un piano integrato BC + DR

Riduzione del downtime e dei costi associati agli incidenti IT o alle interruzioni operative.
Migliore resilienza complessiva: non solo la capacità di ripristinare, ma di mantenere operazioni anche in situazioni difficili.
Maggior fiducia da parte di clienti, partner e stakeholder; conformità normativa (ISO 22301, NIS2, etc.).
Vantaggi reputazionali: organizzazioni che rispondono bene agli imprevisti guadagnano credibilità.

Lo scenario al 2026

Negli ultimi anni il mondo del lavoro italiano ha spostato l’attenzione da una gestione “tecnica” della continuità a un approccio sistemico, allineato agli standard internazionali. Il riferimento più maturo in questo senso è la norma ISO 22301, oggi adottata come benchmark di fatto anche da molti enti pubblici per strutturare in modo verificabile il proprio sistema di gestione della continuità operativa.

Cos’è la ISO 22301

La ISO 22301:2019 (“Security and resilience – Business continuity management systems – Requirements”) è lo standard internazionale che definisce i requisiti per istituire, implementare, mantenere e migliorare un Business Continuity Management System (BCMS). Si fonda sul ciclo Plan-Do-Check-Act (PDCA) e copre l’intero perimetro organizzativo: contesto, leadership, pianificazione, supporto, operatività, valutazione delle prestazioni e miglioramento. Tra i requisiti centrali rientrano l’analisi dell’impatto sul business (BIA), la valutazione del rischio, la definizione di obiettivi misurabili come RTO (Recovery Time Objective), RPO (Recovery Point Objective), MTPD (Maximum Tolerable Period of Disruption) e MBCO (Minimum Business Continuity Objective), oltre alla pianificazione di test, esercitazioni e revisioni periodiche.

Per le amministrazioni come per i privati la ISO 22301 offre tre vantaggi concreti. Primo, fornisce un linguaggio comune con fornitori, partner e organi di controllo: parlare di RTO, RPO e BIA secondo lo standard riduce ambiguità nei contratti, nei capitolati e nelle gare. Secondo, è naturalmente integrabile con la ISO/IEC 27001 (sicurezza delle informazioni) e con la ISO 22313 (linee guida applicative): un ente che gestisce dati, servizi e continuità in modo coerente fra questi standard ottimizza tempi, costi e adempimenti, evitando documentazione duplicata. Terzo, la certificazione ISO 22301 — pur essendo volontaria — è sempre più valorizzata come elemento qualificante in sede di audit, di affidamenti e nelle valutazioni di resilienza dei fornitori cloud e applicativi a cui le PA, le PMI e le aziende in generale si poggiano.

Cosa significa per il piano BCDR

Adottare la ISO 22301 come bussola, anche senza arrivare alla certificazione formale, cambia l’orizzonte del lavoro. Significa passare dal “documento di piano” allo stato di un sistema di gestione, con responsabilità formali, indicatori di performance, evidenze documentali e ciclo di miglioramento continuo. In termini operativi, tre punti diventano dirimenti: la BIA deve essere realmente alla base delle priorità di recovery e non un esercizio formale; RTO e RPO devono essere coerenti con l’impatto sui servizi al cittadino, non con i limiti tecnologici esistenti; il piano va testato con frequenza definita e i risultati delle esercitazioni devono alimentare il riesame della direzione. Su questa base, la pubblica amministrazione che entra nel 2026 con un BCMS ispirato alla ISO 22301 non si limita a “saper ripartire”: dimostra di saper governare la propria continuità in modo strutturato, misurabile e verificabile.

Conclusione

Business Continuity e Disaster Recovery non sono concetti sovrapposti, ma complementari. Il DR è il tassello tecnico che permette di riprendere l’attività IT; la BC è il quadro più ampio che assicura che l’azienda nel suo insieme possa continuare a funzionare, limitando danni e interruzioni.

Un buon piano integrato (BCDR) è quindi essenziale: non basta avere backup o procedure di recovery se non si sa come integrare tutto nel contesto operativo aziendale, chi fa cosa, con che priorità, con che risorse.

Cybersecurity 2026 – AI fuori controllo?

Audita — Wed, 15 Apr 2026 12:03:51 +0000

Cybersecurity 2026: tra AI fuori controllo, vulnerabilità critiche e summit a Roma — cosa sta davvero succedendo

La cybersecurity entra in una nuova fase critica. Tra eventi istituzionali, report allarmanti e vulnerabilità concrete, il 2026 segna un punto di svolta: l’intelligenza artificiale non è più solo una risorsa, ma anche un rischio sistemico.

Roma al centro della cyber defence: torna il Summit ANGI

Il 14 e 15 aprile 2026 Roma ospita la VI edizione dell’Innovation Cybersecurity Summit, evento nazionale dedicato a cyber defence e innovazione.

Il summit riunisce istituzioni, industria e mondo della ricerca per affrontare un tema sempre più centrale: la sicurezza digitale come pilastro della resilienza del Paese.

Al centro del dibattito tre direttrici strategiche:

Intelligenza artificiale per la prevenzione
Cybersecurity per la protezione delle infrastrutture
Tecnologie avanzate (incluse quelle legate alla space economy)

Il messaggio è chiaro: senza integrazione tra innovazione e difesa, la sovranità tecnologica è a rischio.

IBM lancia l’allarme: l’AI è la nuova frontiera del rischio cyber

Parallelamente, i dati del report IBM confermano uno scenario preoccupante:
– il 97% dei sistemi AI compromessi non ha adeguati controlli di accesso

Non solo:

La “shadow AI” aumenta i danni medi di una violazione di circa 670.000 dollari
Meno della metà delle aziende italiane ha policy per gestire l’AI
Gli attacchi che sfruttano AI (phishing, deepfake) sono in crescita

Il paradosso è evidente:
– l’AI accelera la difesa, ma se non governata crea nuove superfici d’attacco.

Vulnerabilità reali: IBM corre ai ripari su sistemi critici

Il rischio non è teorico. IBM ha recentemente segnalato vulnerabilità gravi nei sistemi Verify Identity Access e Security Verify Access.

Possibile esecuzione di codice remoto
Escalation dei privilegi fino al livello root
Accesso a dati sensibili e compromissione completa dei sistemi

Alcune falle hanno raggiunto livelli di criticità elevati (CVSS fino a 9.3), rendendo necessario l’aggiornamento immediato dei sistemi.

Il vero problema: l’innovazione corre più veloce della sicurezza

Dalle evidenze emerge un filo conduttore unico:

I summit discutono strategie
I report segnalano rischi crescenti
Le vulnerabilità dimostrano impatti concreti

Ma il gap resta: l’adozione dell’AI sta superando la capacità di controllo e governance.

Questo “debito di sicurezza” espone aziende e istituzioni a:

violazioni su larga scala
interruzioni operative
perdita di proprietà intellettuale

Conclusione: la cybersecurity entra nell’era dell’AI (e non è più opzionale)

Il 2026 segna un cambio di paradigma:
la cybersecurity non è più solo difesa IT, ma leva strategica nazionale e aziendale.

Tra summit, vulnerabilità e dati IBM, il messaggio è uno solo:
chi non governa l’AI, diventa il prossimo bersaglio.

Il Principio di Minimizzazione dei Dati nel GDPR: Definizione, Applicazione e Implicazioni

Audita — Fri, 03 Apr 2026 08:16:12 +0000

Il Principio di Minimizzazione

Definizione e Fondamento Normativo

Il principio di minimizzazione dei dati è uno dei pilastri fondamentali del Regolamento (UE) 2016/679 (GDPR), sancito all’articolo 5, paragrafo 1, lettera c). Tale disposizione stabilisce che i dati personali devono essere:

«adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati».

Questo principio impone al titolare del trattamento un obbligo di proporzionalità e necessità. In termini pratici, significa che non è consentito raccogliere dati personali in modo indiscriminato o con la giustificazione che “potrebbero servire in futuro”. Ogni singolo dato raccolto deve essere strettamente necessario per il raggiungimento di uno scopo specifico, esplicito e legittimo, definito a monte del trattamento stesso (in ossequio al principio di “limitazione della finalità” di cui all’art. 5, par. 1, lett. b) del GDPR).

La Corte di Giustizia dell’Unione Europea ha sottolineato come il requisito di necessità sia intrinseco a diversi principi del GDPR. Un trattamento, anche se inizialmente lecito, può diventare incompatibile con il Regolamento se i dati non sono più necessari per le finalità perseguite. Di conseguenza, la raccolta deve essere limitata fin dall’inizio e per tutta la durata del trattamento.

Il Collegamento con i Principi di Protezione dei Dati fin dalla Progettazione e per Impostazione Predefinita (Privacy by Design & by Default)

Il principio di minimizzazione non è un concetto isolato, ma è intrinsecamente legato all’obbligo di “protezione dei dati fin dalla progettazione e per impostazione predefinita” (Privacy by Design e by Default), disciplinato dall’articolo 25 del GDPR.

Privacy by Design (Art. 25, par. 1): Impone al titolare di mettere in atto, fin dal momento della progettazione di un sistema o di un processo (“sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”), misure tecniche e organizzative adeguate ad attuare in modo efficace i principi di protezione dei dati, tra cui la minimizzazione. Questo significa che la valutazione su quali dati siano strettamente necessari deve avvenire prima che il trattamento abbia inizio.
Privacy by Default (Art. 25, par. 2): Richiede che, per impostazione predefinita, siano trattati solo i dati personali necessari per ogni specifica finalità. Questo obbligo riguarda la quantità di dati raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. Ad esempio, un modulo di registrazione online non dovrebbe, di default, richiedere dati opzionali o preselezionare caselle per consensi a trattamenti ulteriori.

Le Linee Guida dell’European Data Protection Board (EDPB) chiariscono che il titolare deve attivamente verificare se le finalità possano essere raggiunte trattando una quantità inferiore di dati, dati meno dettagliati, dati aggregati, o addirittura senza trattare affatto dati personali. Il Garante per la protezione dei dati personali ha sanzionato titolari che non hanno previsto, ab origine, misure tecniche e infrastrutturali volte a garantire l’effettiva applicazione del principio di minimizzazione, evidenziando come non sia sufficiente applicare misure generiche, ma siano necessarie soluzioni specifiche e correlate ai rischi.

III. L’Applicazione Pratica del Principio di Minimizzazione

Implementare correttamente il principio di minimizzazione richiede un approccio proattivo e documentato. Le aziende possono seguire i seguenti passi concreti, fondati sui dettami del GDPR e sulle indicazioni delle autorità:

Mappatura dei Dati e Definizione delle Finalità: Prima di qualsiasi raccolta, è indispensabile definire in modo chiaro e granulare le finalità del trattamento. Per ogni finalità, occorre porsi la domanda: “Questo specifico dato è indispensabile per raggiungere questo scopo?”. Se la risposta è negativa, il dato non deve essere raccolto.
Valutazione della Pertinenza e Adeguatezza: Non basta che un dato sia utile; deve essere “adeguato” e “pertinente”. Ad esempio, per l’iscrizione a una newsletter è necessario l’indirizzo e-mail, ma non la data di nascita o l’indirizzo di residenza. Le Linee Guida EDPB specificano che il titolare deve essere in grado di dimostrare la pertinenza di ogni categoria di dati trattati.
Limitazione della Conservazione: La minimizzazione si applica anche alla dimensione temporale. I dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati solo “per un arco di tempo non superiore al conseguimento delle finalità” (art. 5, par. 1, lett. e). Una volta raggiunta la finalità, i dati devono essere cancellati o resi anonimi. La Corte di Giustizia ha confermato che la conservazione di dati personali oltre il tempo necessario alla realizzazione delle finalità (ad esempio, per test informatici) costituisce una violazione di questo principio. È quindi essenziale implementare policy di data retention e procedure di cancellazione sicura.
Implementazione di Misure Tecniche: Laddove possibile, il titolare deve ricorrere a misure tecniche che riducano la quantità e l’identificabilità dei dati. Le principali sono:

- Pseudonimizzazione: Trattare i dati in modo che non possano essere attribuiti a un interessato specifico senza informazioni aggiuntive conservate separatamente. La pseudonimizzazione è considerata una misura chiave per attuare la minimizzazione, specialmente in contesti come la ricerca scientifica o statistica.

- Anonimizzazione: Processo irreversibile che rende impossibile re-identificare l’interessato. I dati anonimi non sono più considerati dati personali e non rientrano nell’ambito di applicazione del GDPR.

- Aggregazione: Utilizzare dati in forma aggregata (es. statistiche) anziché dati individuali, quando ciò è sufficiente per la finalità perseguita.

Formazione e Monitoraggio Continuo: Il personale autorizzato al trattamento deve essere formato sull’importanza della minimizzazione. Inoltre, i processi devono essere monitorati e riesaminati periodicamente per assicurare che i dati raccolti rimangano necessari e pertinenti nel tempo, soprattutto in caso di cambiamento delle finalità o dei processi aziendali.

Rischi e Conseguenze della Non Conformità

Il mancato rispetto del principio di minimizzazione espone il titolare del trattamento a rischi significativi, che vanno oltre l’aspetto puramente sanzionatorio.

Sanzioni Amministrative Pecuniarie: La violazione dei principi fondamentali del trattamento, inclusa la minimizzazione (art. 5 GDPR), è soggetta al regime sanzionatorio più severo previsto dall’art. 83, par. 5, del GDPR, che può arrivare fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo. Diversi provvedimenti del Garante hanno contestato la violazione del principio di minimizzazione come elemento centrale dell’illecito.
Danno Reputazionale e Perdita di Fiducia: Le organizzazioni che raccolgono dati in modo eccessivo sono percepite come poco rispettose della privacy. Questo può portare a una perdita di fiducia da parte di clienti e utenti, con conseguenti danni all’immagine e al business.
Aumento dei Rischi di Sicurezza e dei Costi: La gestione di grandi volumi di dati aumenta la “superficie di attacco” e la complessità delle misure di sicurezza da implementare (art. 32 GDPR). In caso di data breach, un maggior numero di dati compromessi si traduce in un impatto più grave per gli interessati e in maggiori responsabilità per il titolare. Inoltre, la gestione di dati non necessari comporta costi operativi più elevati (storage, backup, gestione).
Violazione del Principio di Responsabilizzazione (Accountability): Ai sensi dell’art. 5, par. 2, del GDPR, il titolare non solo deve rispettare i principi, ma deve anche essere “in grado di comprovarlo”. La raccolta di dati non necessari rende estremamente difficile, se non impossibile, dimostrare la conformità durante un audit o un’ispezione da parte dell’Autorità di controllo.