Two European rules, one question: are your data and your systems protected, and can you prove it? Here is what they ask, in brief. Due norme europee, una domanda sola: i tuoi dati e i tuoi sistemi sono protetti, e lo puoi dimostrare? Ecco cosa chiedono, in breve.
It applies to anyone who handles personal data of people in the European Union: customers, employees, suppliers, patients, members. It does not ask for a form, it asks you to know which data you hold, why, and how you protect it, and to be able to show it. Vale per chiunque tratti dati personali di persone nell'Unione europea: clienti, dipendenti, fornitori, pazienti, soci. Non chiede un modulo, chiede di sapere quali dati hai, perché li hai e come li proteggi, e di poterlo dimostrare.
Lawful, fair and transparent processing; data collected for a stated purpose; only the data needed; accurate; kept no longer than necessary; protected. And you are responsible for proving all of it (art. 5).Trattamento lecito, corretto e trasparente; dati raccolti per uno scopo dichiarato; solo quelli necessari; esatti; conservati non oltre il necessario; protetti. E tocca a te dimostrare tutto questo (art. 5).
Consent, a contract, a legal obligation, vital interests, a public task or a legitimate interest: every use of personal data needs one of these (art. 6), and some categories, such as health data, need more (art. 9).Consenso, contratto, obbligo di legge, interessi vitali, compito pubblico o legittimo interesse: ogni uso dei dati personali ne richiede uno (art. 6), e alcune categorie, come i dati sulla salute, chiedono di più (art. 9).
People must be told who processes their data, why and for how long (arts. 13 and 14), and must be able to access, correct, erase, restrict, move and object to it (arts. 15 to 22), within a month as a rule.Le persone vanno informate su chi tratta i loro dati, perché e per quanto tempo (artt. 13 e 14), e devono poter accedere, correggere, cancellare, limitare, portare altrove e opporsi (artt. 15-22), di norma entro un mese.
Which data, for which purpose, about whom, shared with whom, kept for how long, protected how (art. 30). The exemption for organisations under 250 employees does not apply to regular processing, which is the case for almost everyone.Quali dati, per quale scopo, di chi, condivisi con chi, conservati quanto, protetti come (art. 30). L'esenzione per chi ha meno di 250 dipendenti non vale per i trattamenti abituali, cioè quasi sempre.
Whoever processes data on your behalf, a software house, a cloud provider, a payroll office, must be bound by a written agreement that says what they may do and how they protect the data (art. 28).Chi tratta dati per tuo conto, una software house, un fornitore cloud, uno studio paghe, va vincolato con un accordo scritto che dice cosa può fare e come protegge i dati (art. 28).
Systems must be designed to collect and show only what is needed, by default (art. 25), and protected with measures suited to the risk: confidentiality, integrity, availability, the ability to restore, and regular checks that it all works (art. 32).I sistemi vanno pensati per raccogliere e mostrare solo il necessario, già in partenza (art. 25), e protetti con misure adeguate al rischio: riservatezza, integrità, disponibilità, capacità di ripristino e verifiche regolari che tutto funzioni (art. 32).
A breach that puts people at risk must be notified to the supervisory authority within 72 hours of becoming aware of it (art. 33), and to the people concerned when the risk is high (art. 34). Every breach goes in an internal record.Una violazione che mette a rischio le persone va notificata al Garante entro 72 ore da quando se ne viene a conoscenza (art. 33), e alle persone coinvolte quando il rischio è elevato (art. 34). Ogni violazione va annotata in un registro interno.
High-risk processing needs an impact assessment before it starts (art. 35). A data protection officer is mandatory for public bodies and for those who monitor people or handle sensitive data on a large scale (art. 37).I trattamenti ad alto rischio richiedono una valutazione d'impatto prima di partire (art. 35). Il responsabile della protezione dei dati è obbligatorio per gli enti pubblici e per chi controlla persone o tratta dati delicati su larga scala (art. 37).
Sending data outside the European Union requires specific safeguards (arts. 44 to 49). Fines reach 20 million euro or 4% of worldwide annual turnover, whichever is higher (art. 83).Portare dati fuori dall'Unione europea richiede garanzie precise (artt. 44-49). Le sanzioni arrivano a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83).
The European cybersecurity directive, in force in Italy through Legislative Decree 138 of 4 September 2024, with the National Cybersecurity Agency (ACN) as the authority. It concerns far more companies than the previous rules, and it also reaches those who supply them. La direttiva europea sulla sicurezza informatica, in vigore in Italia con il decreto legislativo 4 settembre 2024, n. 138, e con l'Agenzia per la cybersicurezza nazionale (ACN) come autorità. Riguarda molte più aziende delle regole precedenti, e arriva anche a chi le rifornisce.
Medium and large organisations in the sectors listed by the law, from energy, transport, health and digital infrastructure to postal services, waste, chemicals, food, manufacturing and digital providers, plus some regardless of size. They are classed as essential or important.Le organizzazioni medie e grandi dei settori elencati dalla legge, da energia, trasporti, sanità e infrastrutture digitali fino a servizi postali, rifiuti, chimica, alimentare, manifattura e fornitori digitali, più alcune a prescindere dalle dimensioni. Sono classificate come essenziali o importanti.
Organisations within scope must register on the ACN digital platform and keep their information up to date every year. It is the first obligation, and the one from which all the others follow.Le organizzazioni che rientrano nell'ambito si registrano sulla piattaforma digitale dell'ACN e aggiornano i loro dati ogni anno. È il primo obbligo, quello da cui discendono tutti gli altri.
The management bodies approve the security measures, oversee their implementation and answer for them, and they must take part in training on cybersecurity risks.Gli organi di amministrazione approvano le misure di sicurezza, ne sovrintendono l'attuazione e ne rispondono, e devono seguire una formazione sui rischi informatici.
Written policies on risk analysis and on the security of information systems, an inventory of the assets to protect, and a regular check that the measures actually work.Politiche scritte sull'analisi dei rischi e sulla sicurezza dei sistemi informativi, un inventario di ciò che va protetto e una verifica periodica che le misure funzionino davvero.
Access control and staff security, multi-factor authentication where needed, protected communications, cryptography and encryption policies, basic cyber hygiene for everyone.Controllo degli accessi e sicurezza del personale, autenticazione a più fattori dove serve, comunicazioni protette, politiche di crittografia e cifratura, igiene informatica di base per tutti.
Business continuity, backup management, disaster recovery and crisis management: being able to restart, and having tested it before you need it.Continuità operativa, gestione dei backup, ripristino in caso di disastro e gestione delle crisi: saper ripartire, e averlo provato prima che serva.
The security of suppliers and of the software you buy or have built is part of your own: requirements in contracts, secure development and maintenance, management of vulnerabilities.La sicurezza dei fornitori e del software che compri o ti fai costruire fa parte della tua: requisiti nei contratti, sviluppo e manutenzione sicuri, gestione delle vulnerabilità.
A significant incident is reported to CSIRT Italia with an early warning within 24 hours, a notification within 72 hours and a final report within a month. Without a written procedure those times cannot be met.Un incidente significativo si segnala allo CSIRT Italia con una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Senza una procedura scritta quei tempi non si rispettano.
ACN can inspect and order corrections. Fines reach 10 million euro or 2% of worldwide turnover for essential entities, 7 million or 1.4% for important ones, whichever is higher.L'ACN può ispezionare e ordinare correzioni. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, a 7 milioni o all'1,4% per quelli importanti, se superiore.
We go through your systems, your data and your suppliers point by point, and we tell you what is already in order and what is missing, in order of priority.Passiamo in rassegna sistemi, dati e fornitori punto per punto, e ti diciamo cosa è già in regola e cosa manca, in ordine di priorità.
Access and second factor, records of who did what, backups that are actually tested, passwords and keys kept out of the code: we do not only write them down, we build them into the systems.Accessi e secondo fattore, registri di chi ha fatto cosa, backup davvero provati, password e chiavi fuori dal codice: non le scriviamo soltanto, le costruiamo dentro i sistemi.
Record of processing, policies, incident procedure, notes for suppliers: written on what is really there, and kept up to date when the systems change. For the legal side we work alongside your lawyer or DPO.Registro dei trattamenti, politiche, procedura per gli incidenti, note per i fornitori: scritti su quello che c'è davvero, e aggiornati quando i sistemi cambiano. Per la parte legale lavoriamo accanto al tuo avvocato o al tuo DPO.