Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La condivisione di dati tra filiale e capogruppo UE non è automatica: il GDPR richiede una base giuridica, ruoli privacy chiari e piena trasparenza. Nei settori strategici, difesa e sanità si aggiungono vincoli su Golden Power, UAMA e segreto industriale. Senza governance e due diligence, il rischio è di sanzioni, responsabilità e reati.
La libera circolazione delle informazioni all’interno del mercato unico europeo è solo un mito, scontrandosi, infatti, quotidianamente con la complessa realtà delle normative nazionali e di settore. Problema che emerge in tutta evidenza quando una società controllata o una filiale italiana riceve dalla propria casa madre con sede in un altro Paese dell’Unione Europea la richiesta di condividere, trasferire o centralizzare i dati contenuti nei propri archivi. In questi casi, la risposta aziendale sovente oscilla tra una sorta diautomatismo superficiale e un blocco ingiustificato.
E’ bene da subito chiarire come l’idea diffusa secondo cui l’appartenenza al medesimo gruppo imprenditoriale renda i dati automaticamente accessibili a tutti costituisce un grave errore di valutazione giuridica ed operativa. Seguendo un approccio di questo tipo si espone l’organo amministrativo della filiale a responsabilità civili per cattiva gestione, a sanzioni amministrative milionarie e, nei casi più critici, a severe ripercussioni penali.
Nella mia esperienza professionale ho avuto modo di constare come la trasmissione infragruppo, specie quelle che coinvolgono gruppi industriali operanti in settori strategici e ad altissima tecnologia, imponga un rigoroso vaglio. Occorre, infatti, coordinare in modo estremamente equilibrato il diritto della protezione dei dati personali con le discipline nazionali ed europee poste a tutela della sicurezza e della sovranità degli Stati. Questo sta a significare che una simile operazione necessita che l’organizzazione dell’impresa e i relativi modelli di governance si dotino di idonee procedure di valutazione preventiva prima che qualunque flusso informativo varchi i confini dell’entità locale.
In primo luogo occorre analizzare la situazione tenendo conto quanto sancito dal Regolamento Europeo 2016/679 (GDPR). Ai sensi del Capo V, la trasmissione di dati personali svolta da una filiale italiana a favore della propria capogruppo con sede nel territorio dell’Unione Europea non integra un trasferimento verso un Paese terzo, beneficiando così del principio di libera circolazione delle merci e dei servizi vigente nello Spazio Economico Europeo.
Ciò detto, tuttavia, la sussistenza di un legame di controllo o di coordinamento societario non annulla la distinta personalità giuridica delle singole entità del gruppo. E’ importante, quindi, tener presente come la controllata italiana e la capogruppo europea rimangono soggetti distinti e qualsiasi passaggio di dati personali tra di esse costituisce a tutti gli effetti una comunicazione a terzi. La filiale per ritenere la sua comunicazione alla capo gruppo legittima deve individuare prelimiramente un’idonea base giuridica ex articolo 6 del GDPR e definire con precisione i ruoli privacy ricoperti dalle parti.
Nel caso in cui la capogruppo richieda i dati per perseguire autonome finalità gestionali o di pianificazione industriale, il rapporto si configura da titolare a titolare e può poggiare sul legittimo interesse di gruppo di cui al Considerando 48 del GDPR, a condizione che venga svolto un rigoroso bilanciamento con i diritti degli interessati e che l’operazione fosse ragionevolmente prevedibile da questi ultimi al momento della raccolta. Se ci si trova di fronte ad una situazione diversa ovvero che la casa madre tratta le informazioni esclusivamente per fornire servizi IT o cloud centralizzati nell’interesse della filiale, si applica il modello da titolare a responsabile del trattamento, rendendo vincolante e inderogabile la stipula di un contratto di nomina ex articolo 28 del Regolamento. Se le scelte su finalità e mezzi sono determinate congiuntamente, occorre formalizzare un accordo di contitolarità ex articolo 26 del GDPR.
Ogni qual volta mi trovo a svolgere verifiche di compliance e redazione di un parere sul tema, noto come per spesso la società ritenga chela presenza di un contratto intercompany sia da sola sufficiente a legittimare l’operazione nei confronti degli interessati. Il trasferimento dei dati, invece, viola in modo strutturale il principio di trasparenza enunciato dall’articolo 5 del GDPR, qualora l’informativa originaria fornita dalla filiale a dipendenti, clienti o fornitori non indica espressamente la capogruppo o la categoria delle società controllanti tra i destinatari dei dati . Di fronte a tale omissione, viene a mancare il legittimo interesse e, quindi, la comunicazione va considerata come un trattamento sostanzialmente illecito, esponendo la società a sanzioni pecuniarie anche elevate, unitamente all’esercizio dei poteri inibitori da parte dell’Autorità Garante e al rischio di azioni risarcitorie per danni patrimoniali e non patrimoniali.
Particolare attenzione meritano le situazioni dove l’oggetto del trasferimento travalica i comuni dati commerciali per toccare settori ad alto rischio e regimi vincolistici speciali presidiati da norme nazionali ed europee. Se si tratta di dati sanitari, o relativi alla salute delle persone, la filiale agisce quasi sempre in qualità di responsabile del trattamento per conto di strutture ospedaliere o istituti sanitari che rivestono il ruolo di titolari. In tal caso, in virtù di quanto sancito dall’articolo 28 del GDPR, la filiale non può comunicare le informazioni alla propria capogruppo senza la previa autorizzazione scritta e documentata del titolare pubblico, rendendo qualsiasi condivisione non autorizzata un’illecita violazione contrattuale e normativa.
Nel settore della difesa, sicurezza nazionale e delle tecnologie a duplice uso i vincoli per il trasferimento sono ancora più stringenti. Sovente le banche dati delle imprese strategiche contengono progetti, frequenze operative, codici sorgente, specifiche tecniche e algoritmi che sono equiparati dalla normativa a materiali d’armamento di natura immateriale. La Legge 185 del 1990, come modificata dal Decreto Legislativo 105 del 2012, considera la trasmissione via cloud, server o e-mail di dati tecnici e software verso una capogruppo europea un vero e proprio trasferimento intracomunitario di tecnologia intangibile. Tali operazioni sono, quindi,subordinate all’obbligatoria iscrizione della filiale al Registro Nazionale delle Imprese di Difesa e al preventivo rilascio delle relative licenze autorizzative da parte dell’Unità per le Autorizzazioni dei Materiali di Armamento (UAMA) istituita presso il Ministero degli Affari Esteri.
Allo stesso tempo la massa informativa detenuta da tali imprese configura un attivo di rilevanza strategica tutelato dalla disciplina sul Golden Power di cui al Decreto Legge 21 del 2012. Vista la delicatezza della materia il trasferimento dell’intera banca dati alla casa madre finisce per alterare la disponibilità e la gestione esclusiva dell’attivo tecnologico sul territorio nazionale, facendo sorgere l’obbligo inderogabile di notifica preventiva entro dieci giorni alla Presidenza del Consiglio dei Ministri. Nel caso di omissione di questo adempimento gli atti o contratti posti in essere, sono nulli, nonchè sono applicatesanzioni amministrative pecuniarie commisurate al fatturato aziendale. Nel caso in cui gli archivi contengano notizie coperte da Nulla Osta di Segretezza (NOS) o derivanti da contratti militari secretati, la loro rivelazione a personale della capogruppo non espressamente autorizzato dall’Autorità Nazionale per la Sicurezza integra la fattispecie criminosa prevista dall’articolo 261 c.p. in materia di rivelazione di segreti di Stato. Sul piano del diritto industriale, la condivisione non protetta di know-how aziendale espone i soggetti agenti a responsabilità per concorrenza sleale e alle sanzioni penali di cui all’articolo 623 c.p. per rivelazione di segreti scientifici o industriali.
Emerge, in definitiva, come i flussi di dati infragruppo non possano essere considerati come semplici operazioni di routine contabile o informatica. E’ infatti sottilissimo il confine tra una legittima sinergia aziendale e un’illecita fuga di informazioni, o peggio, una violazione della sovranità tecnologica e della sicurezza nazionale. Diventa quindi indispensabile, in casi come questi, un’accurata due diligence legale, la mappatura preventiva dei rischi e un’architettura di governance rigorosa. Solo così l’organo amministrativo della filiale potrà valorizzare gli asset informativi dell’impresa e mettersi al riparo da sanzioni paralizzanti, responsabilità personali e irreversibili danni reputazionali.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/