Diritto e nuove tecnologie

Il processo di transizione digitale costituisce una rivoluzione epocale che coinvolge le imprese, pubbliche e private, e l’uomo in tutte le sue manifestazioni sociali.

La sicurezza delle reti, dei sistemi informativi e dei servizi informatici, nonché la protezione dei dati, non solo quelli personali ma anche quelli strettamente inerenti all’attività di impresa, costituiscono dei fattori fondamentali nell’ambito della corretta gestione dell’Azienda che non possono essere gestiti senza il coinvolgimento di professionisti specializzati.

Si tratta di investire nell’impresa e in ciò per cui si crede, con la certezza che la protezione degli asset digitali rappresenti il valore di qualsiasi impresa. Un valore che va preservato, tutelato e valorizzato.

Questa consapevolezza ha portato lo Studio Giuliano e Di Gravio a istituire il dipartimento “Diritto e nuove tecnologie” al fine di fornire consulenza specialistica in Cybersecurity, Data Protection e Business Continuity grazie al Team Cybersecurity & Data Protection.

Cybersecurity

Negli ultimi anni, la percezione circa l’importanza della sicurezza delle reti, dei sistemi informativi e dei servizi informatici è sicuramente aumentata, ma non ha ancora raggiunto un livello di consapevolezza sufficiente.

Molto spesso i top manager considerano la spesa per la sicurezza cibernetica come un costo invece di valutarla come un investimento. Questo incide fortemente sulla prevenzione e sulla risposta ad incidenti che possono comportare per l’Azienda, e per il sistema paese ampiamente inteso, un danno elevato sia in termini economici che di immagine, ma anche di mantenimento della posizione sul mercato.

Nel corso degli ultimi anni gli attacchi informatici, nelle loro articolate modalità di esecuzione, sono aumentati colpendo indiscriminatamente piccole, medie e grandi imprese. Contestualmente, i legislatori europei e nazionali, hanno predisposto strumenti normativi in grado di incrementare il livello di sicurezza, ma per farlo occorre che le aziende adottino un approccio nuovo di natura tecnica e legale. La tutela degli asset aziendali e del patrimonio informativo passa, oggi, attraverso una stretta sinergia tra tecnici ed esperti del diritto, funzionale a realizzare la piena compliance alle normative di settore in linea con i più importanti standard e framework esistenti in materia.

Lo studio Giuliano e Di Gravio assiste i propri clienti nel complesso percorso verso la realizzazione di una solida governance di Cybersecurity offrendo i seguenti servizi:

• Supporto nell’elaborazione di un’analisi volta a verificare lo stato AS-IS dei sistemi informativi funzionale all’implementazione di un modello di Information Security in linea con i principali standard internazionali di riferimento;
• Cyber Risk analysis e Cyber Risk Assessment;
• Supporto nella definizione e implementazione di un modello tecnico e legale per la sicurezza informatica e per la gestione della sicurezza delle informazioni conforme agli standard internazionali riconosciuti;
• Supporto agli OSE, FSD e alle aziende rientranti nel Perimetro di Sicurezza Nazionale Cibernetica, nell’adeguamento alle disposizioni derivanti dalle normative nazionali ed europee in materia di sicurezza delle reti, dei sistemi informativi e dei servizi informatici (Direttiva NIS, Perimetro di Sicurezza Cibernetica) e difesa dinanzi le autorità competenti in caso di provvedimenti sanzionatori emanati a seguito della violazione delle suddette disposizioni;
• Attività di Cybersecurity Culture e Cybersecurity Awareness;
• Redazione e gestione dei contratti rientranti nell’ambito della Cybersecurity aziendale;
• Invio di report sulle principali novità in tema di Cybersecurity al fine di aumentare la consapevolezza dell’azienda nei confronti della materia.

Cyber Criminal Law

L’evoluzione dei sistemi informatici ed il relativo affidamento della popolazione per soddisfare esigenze personali e professionali ha causato, nel corso del tempo, un aumento dei reati informatici, conosciuti anche con il nome di cybercrimes. Con tale termine si fa riferimento a quei reati commessi attraverso l’utilizzo della rete internet e di sistemi informatici o telematici, ovvero perpetrati contro tali sistemi. A questi reati si affiancano poi le tradizionali condotte illecite commesse attraverso l’impiego di un sistema informatico o telematico.

Il Legislatore italiano, nel corso del tempo, ha perfezionato la disciplina penalistica in tema di reati informatici dapprima con l’introduzione della Legge n. 547/1993 e poi con la Legge n. 48/2008, attraverso la quale è stata ratificata la Convenzione del Consiglio d’Europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001. Quest’ultimo intervento legislativo, oltre a modificare alcune disposizioni esistenti in materia di reati informatici è intervenuto anche sulla disciplina processuale concernente le indagini relative a tali crimini. Successivamente, la Legge n. 12/2012 ha disciplinato le nuove norme in materia di misure per il contrasto ai fenomeni di criminalità informatica. 

Infine, non va dimenticata l’introduzione, attraverso la Legge n. 119/2013 del reato di Cyberstalking, termine con il quale si identificano gli atti persecutori commessi mediante l’utilizzo di strumenti informatici o telematici.

I dati più recenti testimoniano un importante aumento delle attività criminose condotte all’interno dello spazio cibernetico. I reati informatici, infatti, grazie anche alle sempre più penetranti tecniche utilizzate da criminali e hacker professionisti, hanno subìto negli ultimi anni un aumento esponenziale con grave pregiudizio per i diritti e la sicurezza dei cittadini. In tal senso, non va dimenticata, inoltre, la rilevanza del cd. cyberspionaggio, ossia l’attività consistente nella ricerca e acquisizione, da parte di organizzazioni criminali, talvolta supportate da Stati stranieri, di informazioni riservate mediante l’utilizzo di sistemi informatici, condotta ai danni di imprese e aziende nazionali, con importanti conseguenze sia per i singoli operatori economici che per il sistema Paese ampiamente inteso.

Lo Studio, anche per mezzo di consulenti altamente specializzati e qualificati, offre consulenza preventiva ed assistenza in tutte le fasi e gradi di un procedimento penale attraverso il rilascio pareri pro veritate e la definizione delle migliori strategie difensive per far fronte alle complesse vicende penali che attengono i seguenti reati: 

• Accesso abusivo ad un sistema informatico o telematico (art. 615 – ter).
• Detenzione e diffusione abusiva di codici di accesso o sistemi informatici o telematici (art. 615 – quater).
• Trattamento illecito di dati (art. 167 Codice della Privacy).
• Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala (art. 167-bis Codice della Privacy).
• Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala (art. 167-ter Codice della Privacy).
• Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 615 – quinquies).
• Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617 – quater).
• Installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche (art. 617 – quinquies).
• Falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche (art. 617 – sexies).
• Danneggiamento di informazioni, dati e programmi informatici (art. 635 – bis).
• Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità (art. 635 – ter).
• Danneggiamento di sistemi informatici o telematici (art. 635 – quater).
• Danneggiamento di sistemi informatici o telematici di pubblica utilità (art. 635 – quinquies).
• Frode informatica (art. 640 – ter).
• Frode informatica del soggetto che presta servizi di certificazione di firma elettronica (art. 640 – quinquies).
• Diffamazione (art. 595).
• Diffusione illecita di immagini o video sessualmente espliciti (art. 612 – ter).
• Cryptocurrencies Scams.

Data Protection

Il Regolamento UE 2016/679 (GDPR – General Data Protection Regulation), applicabile in tutti gli Stati membri, ha cambiato radicalmente l’approccio verso il tema della protezione dei dati personali introducendo delle innovazioni rilevanti rispetto alle precedenti normative.

In un contesto economico-internazionale in continua evoluzione, l’esigenza di tutelare i dati personali delle persone fisiche ha spinto il legislatore europeo a definire un quadro normativo, coerente ed armonizzato, con lo scopo di garantire il rispetto dei diritti e delle libertà fondamentali nel cui alveo ricade anche il diritto alla protezione dei dati personali.

Il nuovo regolamento ha introdotto principi molto importanti come quello dell’accountability, della data protection by design e by default, dell’adozione di un approccio risk based, della notifica di eventuali data breach e molti altri.

Questa nuova impostazione necessita di un approccio che sia il più completo possibile, coinvolgendo personale tecnico ed esperti del diritto in grado di garantire la piena conformità alle disposizioni del legislatore, europeo e nazionale, nonché ai continui provvedimenti del Garante della Privacy. Il mancato rispetto di tali disposizioni, infatti, può portare all’applicazione di sanzioni molto elevate (per le imprese, il 2% o il 4% del fatturato mondiale) in base alla natura delle violazioni. 

Lo Studio Giuliano e Di Gravio assiste i propri Clienti nella predisposizione di tutti gli strumenti tecnico-giuridici necessari per conseguire il massimo livello di data protection offrendo i seguenti servizi:

• Attività di Privacy (Data Protection) Risk Assessment;
• Definizione di un Modello Organizzativo Privacy (Data Protection);
• Assistenza nella definizione e redazione della Policy Privacy (Data Protection) secondo i principi della privacy (Data Protection) by design e Privacy (Data Protection) by default;
• Assistenza nella redazione della modulistica prevista dal Reg. UE 2016/679, del registro dei trattamenti e del registro dei data breach;
• Fornitura del servizio di DPO esterno;
• Supporto nella esecuzione della Data Protection Impact Analysis (DPIA);
• Supporto legale relativo al trasferimento di dati al di fuori dallo spazio SEE (Spazio Economico Europeo);
• Supporto nella predisposizione della documentazione necessaria in caso di ispezione da parte del Garante della Privacy o del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza, nonché nella formazione di un Privacy Inspection Team.

Business Continuity

La necessità di mantenere la continuità operativa, ossia la capacità di reagire in caso di incidenti o eventi avversi che possono interrompere l’erogazione di prodotti o servizi, rappresenta un aspetto fondamentale per le aziende in quanto la sola interruzione delle attività per un periodo limitato potrebbe causare conseguenze rilevanti per l’intero business.

La Business Impact Analysis (B.I.A.) rappresenta l’attività operativa fondamentale per implementare e gestire la continuità dei servizi aziendali: essa è parte integrante delle operazioni che consentono di identificare e mappare i processi di business critici e definire le più efficaci strategie per garantire l’operatività dell’Azienda anche in caso di eventi avversi o disastrosi.

Attraverso la redazione di un Piano di Continuità Operativa, quale output dell’attività di Business Impact Analysis, l’Azienda sarà in grado di garantire la continuità dei processi e l’erogazione dei propri prodotti o servizi, preservando la disponibilità, l’integrità e riservatezza dei propri dati, senza particolari conseguenze per il business. 

Lo Studio Giuliano e Di Gravio supporta i propri Clienti in tutte le fasi necessarie per giungere alla definizione di un Piano di Continuità Operativa tra cui:

• Definizione del perimetro di intervento, mappatura dei processi e identificazione del Process Owner e del Service Owner IT;
• Analisi degli impatti e identificazione dei parametri di continuità (B.I.A., R.P.O., R.T.O.);
• Redazione del Piano di Continuità Operativa (PCO) e del Disaster Recovery Plan (DRP).