Le 7 principali leggi sulla crittografia dei dati per le aziende
La crittografia dei dati non è più facoltativa. Con i danni previsti per la criminalità informatica $10,5 trilioni entro il 2025 e sanzioni per inadempienza che raggiungono milioni di dollari, comprendere le leggi sulla crittografia è fondamentale per le aziende. Questa guida illustra sette normative chiave che definiscono la protezione dei dati a livello globale:
- GDPR (UE): Incoraggia la crittografia dei dati personali con multe fino a 20 milioni di euro o 4% di fatturato annuo.
- CPRA (California, Stati Uniti): Richiede la crittografia; le violazioni dei dati non crittografati danno luogo a cause legali.
- LGPD (Brasile): Richiede misure di sicurezza come la crittografia; sanzioni fino a 2% di entrate.
- PIPEDA (Canada): Consiglia la crittografia per salvaguardare i dati personali.
- DPDPA (India): Impone "ragionevoli pratiche di sicurezza", tra cui la crittografia.
- PIPL (Cina): Richiede la crittografia approvata dal governo per i dati all'interno dei suoi confini.
- DORA (Settore finanziario UE): Standard di crittografia rigorosi per le entità finanziarie, che coprono i dati inattivi, in transito e in uso.
Confronto rapido:
| Legge | Giurisdizione | Mandato di crittografia | Penalità massima |
|---|---|---|---|
| GDPR | Unione Europea | Fortemente raccomandato | 20 milioni di euro o 4% di fatturato |
| CPRA | California, Stati Uniti | Necessario per la protezione dalle violazioni | $7.500/violazione |
| LGPD | Brasile | Sono richieste misure di sicurezza tecniche | 2% di entrate |
| PIPEDA | Canada | Incoraggiato, non obbligatorio | CAD $100.000/violazione |
| DPDPA | India | "Ragionevoli garanzie" | ₹250 Cr o fatturato 4% |
| PIPL | Cina | Crittografia obbligatoria approvata | ¥50M o 5% di fatturato |
| DORA | UE (settore finanziario) | Obbligatorio per i dati finanziari | 2% di fatturato annuo |
La crittografia protegge le aziende da violazioni, sanzioni e danni alla reputazione. Continua a leggere per approfondimenti su queste leggi e su come rimanere conformi.
9 normative sulla privacy dei dati che devi conoscere
1. Regolamento generale sulla protezione dei dati (GDPR) – Unione Europea
In vigore da maggio 2018, il GDPR ha rimodellato il modo in cui i dati personali vengono gestiti a livello globale.
Giurisdizione e ambito geografico
Il GDPR non è limitato all'Europa, ma ha una portata globale. Qualsiasi organizzazione, indipendentemente da dove abbia sede, deve conformarsi se elabora dati personali di residenti nell'UE. Ad esempio, le aziende con sede negli Stati Uniti che servono clienti dell'UE sono soggette a queste norme. Il regolamento separa le responsabilità tra titolari del trattamento dei dati (che decidono come e perché i dati vengono elaborati) e responsabili del trattamento dei dati (che gestiscono i dati per conto dei titolari del trattamento). Questa distinzione è particolarmente rilevante per i provider di hosting e le aziende che utilizzano servizi di colocation.
Requisiti di crittografia (obbligatori o consigliati)
Sebbene la crittografia non sia esplicitamente richiesta dal GDPR, è fortemente raccomandata come misura di sicurezza tecnica fondamentale. L'articolo 32 richiede misure tecniche e organizzative adeguate per proteggere i dati personali e la crittografia è spesso suggerita come uno dei metodi più efficaci. Questo vale per entrambi. dati a riposo e dati in transitoAutorità come l'Information Commissioner's Office del Regno Unito consigliano di utilizzare soluzioni di crittografia che soddisfano standard quali FIPS 140-2 e FIPS 197.
Uno dei principali vantaggi della crittografia è il suo impatto sulle notifiche di violazione. Ai sensi del GDPR, le organizzazioni devono segnalare le violazioni dei dati entro 72 ore. Tuttavia, se i dati crittografati vengono compromessi e resi illeggibili agli aggressori, questo requisito può essere derogato.
Applicabilità allo storage aziendale
Per le aziende che gestiscono dati in diversi ambienti di archiviazione, la conformità al GDPR può rappresentare una sfida. Il regolamento si applica ai dati personali archiviati su server dedicati, piattaforme cloud, O infrastrutture ibrideLe aziende devono classificare i dati in base alla loro sensibilità per determinare le misure di crittografia appropriate. È richiesta particolare attenzione ai trasferimenti transfrontalieri di dati, poiché il GDPR impone norme rigorose sul trasferimento di dati personali al di fuori dell'UE/SEE senza adeguate garanzie. La crittografia è fondamentale per garantire trasferimenti internazionali di dati sicuri. I provider di hosting, inclusi quelli come Serveriondevono allineare le proprie pratiche di crittografia agli standard GDPR per supportare gli sforzi di conformità dei propri clienti.
Sanzioni per inadempienza
Il GDPR impone un sistema sanzionatorio a più livelli che rende la non conformità finanziariamente dolorosa. Violazioni minori possono comportare sanzioni fino a 11,8 milioni di TP4T o 21 TP3T del fatturato annuo globale, a seconda di quale sia l'importo più elevato. Violazioni gravi possono comportare sanzioni fino a 23,6 milioni di TP4T o 41 TP3T del fatturato globale. Casi recenti dimostrano il rigore del regolamento. Nel 2023, Meta è stata multata per 1,2 miliardi di TP4T dalla Commissione irlandese per la protezione dei dati per non aver protetto i trasferimenti di dati. Analogamente, H&M ha dovuto pagare una multa di 41,8 milioni di TP4T nel 2020 per aver monitorato illegalmente i dipendenti.
La mancata conformità può comportare più di semplici sanzioni. Le organizzazioni potrebbero dover affrontare restrizioni operative, come l'ordine di interrompere il trattamento dei dati, e potrebbero anche essere ritenute responsabili per i danni richiesti dai soggetti interessati.
"Il Regolamento generale sulla protezione dei dati (GDPR) è la legge sulla privacy e sulla sicurezza più severa al mondo." – GDPR.EU
Per i fornitori di hosting e infrastrutture, queste sanzioni sottolineano la necessità di strategie di crittografia solide per proteggere le loro operazioni e garantire che i loro clienti soddisfino i requisiti di conformità.
Successivamente, analizzeremo il California Privacy Rights Act e le sue differenze nell'approccio alla privacy dei dati per le aziende.
2. California Privacy Rights Act (CPRA) – Stati Uniti
Dal 1° gennaio 2023, il CPRA rafforza il California Consumer Privacy Act (CCPA), introducendo norme più severe per le aziende che gestiscono informazioni personali appartenenti ai residenti in California.
Giurisdizione e ambito geografico
Il CPRA prende di mira specificamente imprese a scopo di lucro che raccolgono informazioni personali dai residenti della California e soddisfano determinati criteri. Tra questi:
- Aziende con fatturato lordo annuo superiore a $25 milioni.
- Le aziende che acquistano, vendono o condividono le informazioni personali di 100.000 o più Residenti, famiglie o dispositivi in California.
- Entità che guadagnano 50% o più del loro fatturato annuo derivante dalla vendita o dalla condivisione delle informazioni personali dei consumatori della California.
A differenza del GDPR, che ha una portata globale, il CPRA si concentra esclusivamente sulle aziende che servono i residenti in California, indipendentemente dalla loro ubicazione fisica. Una caratteristica fondamentale del CPRA è la sua principio di minimizzazione dei dati, che limita la raccolta e la conservazione dei dati a quanto strettamente necessario per le operazioni aziendali.
Requisiti di crittografia (obbligatori o consigliati)
La Sezione 1798.150 del CPRA impone alle aziende di implementare solide misure di sicurezza per proteggere le informazioni personali. In caso di violazione di dati non crittografati, i consumatori hanno il diritto di intentare una causa civile. Il regolamento stabilisce:
"Qualsiasi consumatore le cui informazioni personali non crittografate e non redatte... siano soggette ad accesso non autorizzato e ad esfiltrazione, furto o divulgazione a seguito della violazione da parte dell'azienda dell'obbligo di implementare e mantenere ragionevoli procedure e pratiche di sicurezza... può intentare un'azione civile."
La legge della California stabilisce Crittografia a 128 bit come standard minimo per alcuni sistemi, con moduli crittografici che necessitano di certificazione secondo Certificazione FIPS 140-2 Standard. Il CPRA impone la crittografia sia per i dati in transito che per quelli a riposo, e le aziende sono incoraggiate a conservare le chiavi di crittografia separatamente dai dati crittografati. Queste misure sono fondamentali per garantire la conformità e proteggere i sistemi di archiviazione aziendali.
Applicabilità allo storage aziendale
I sistemi di storage aziendali devono essere conformi ai rigorosi requisiti del CPRA. Le aziende devono garantire prestazioni valutazioni sulla protezione dei dati per identificare i rischi per la privacy e implementare le necessarie misure di sicurezza in tutti gli ambienti di archiviazione.
La legge impone inoltre alle aziende di de-identificare o aggregare le informazioni personali, con un impatto sulle modalità di archiviazione e gestione dei dati. Le organizzazioni che utilizzano servizi di hosting devono garantire che i propri provider siano conformi al CPRA, creando una catena di responsabilità lungo tutto il ciclo di vita del trattamento dei dati. Ad esempio, le aziende che si affidano ai servizi di Serverion devono garantire il rispetto degli standard di crittografia in tutte le configurazioni.
Gli elementi chiave della conformità includono l'esecuzione di audit di sicurezza periodici e l'applicazione di rigorosi controlli di accesso. Inoltre, il CPRA garantisce ai residenti della California il diritto di opporsi al processo decisionale automatizzato, richiedendo sistemi in grado di identificare e separare i dati utilizzati a tali scopi.
Sanzioni per inadempienza
Il mancato rispetto del CPRA può comportare sanzioni amministrative e azioni legali private. I consumatori colpiti da violazioni dei dati causate da misure di sicurezza inadeguate possono richiedere un risarcimento danni che va da Da $107 a $799 per incidente.
Come spiega Alfred Brunetti, preside della Porzio, Bromberg e Newman PC:
"Un'azienda, un fornitore di servizi o un'altra persona che viola il CCPA, come modificato dal CPRA, è soggetta a un'ingiunzione e a una sanzione civile non superiore a $2.500 per violazione e non superiore a $7.500 per violazione intenzionale."
Recenti azioni di contrasto evidenziano l'importanza di rispettare queste normative. Ad esempio, nel 2022, Sephora ha pagato 1,2 milioni di TP4T per risolvere le denunce di violazione del CCPA e, nel 2024, DoorDash ha dovuto pagare una multa di 1,4 milioni di TP4T375.000 per aver condiviso i dati dei clienti senza esplicito consenso. In particolare, il CPRA ha rimosso il periodo di 30 giorni per la risoluzione delle violazioni precedentemente previsto dal CCPA, il che significa che le aziende possono incorrere in sanzioni immediate se le violazioni non vengono affrontate tempestivamente.
Successivamente, esamineremo la Lei Geral de Proteção de Dados brasiliana per esplorare l'approccio alla crittografia in America Latina.
3. Lei Geral de Proteção de Dados (LGPD) – Brasile
La Lei Geral de Proteção de Dados (LGPD) brasiliana stabilisce regole rigorose, fortemente ispirate al GDPR dell'UE, per salvaguardare i dati personali.
Giurisdizione e ambito geografico
L'LGPD ha un ampia portata, applicabile alle organizzazioni di qualsiasi parte del mondo che gestiscono dati personali di persone in Brasile. Ciò include il trattamento dei dati da parte di persone o entità, pubbliche o private. Se la tua azienda ha clienti, dipendenti, appaltatori o partner in Brasile, la conformità alla LGPD è obbligatoria.
La legge si applica a:
- Attività di elaborazione dati svolte in Brasile.
- Dati raccolti in Brasile.
- Dati personali di persone fisiche in Brasile, indipendentemente da dove si trovi il responsabile del trattamento dei dati.
Requisiti di crittografia (obbligatori o consigliati)
Sebbene la LGPD non richieda esplicitamente la crittografia, sottolinea la necessità di misure di sicurezza ragionevoli per proteggere i dati personali. L'articolo 46 specifica che le organizzazioni devono adottare misure di sicurezza tecniche, amministrative e di sicurezza per impedire l'accesso non autorizzato. I dati completamente anonimizzati o crittografati oltre il recupero non sono soggetti a queste normative.
Per conformarsi, le organizzazioni dovrebbero implementare un mix di strategie, quali:
- Politiche di sicurezza e piani di risposta agli incidenti.
- Formazione di sensibilizzazione per i dipendenti.
- Controlli di accesso e altre misure tecniche.
Per le aziende che utilizzano soluzioni di hosting come quelle di Serverion, mantenere protocolli di crittografia avanzati è fondamentale per soddisfare gli standard LGPD. Queste misure sono essenziali per proteggere i dati su diverse piattaforme di archiviazione.
Applicabilità allo storage aziendale
I sistemi di archiviazione aziendali devono essere conformi alle linee guida sulla sicurezza della LGPD. Ciò significa che le aziende devono documentare le modalità di raccolta, utilizzo, archiviazione e condivisione dei dati. Devono inoltre valutare i trasferimenti internazionali di dati per garantire la conformità alla legge.
I passaggi chiave includono:
- Stabilire quadri normativi per la protezione dei dati.
- Condurre regolarmente valutazioni d'impatto sulla protezione dei dati (DPIA).
- Nominare un responsabile della protezione dei dati (RPD) per supervisionare gli sforzi di conformità.
- Preparazione di piani di risposta alle violazioni dei dati.
- Formazione dei dipendenti sulle migliori pratiche in materia di protezione dei dati.
I fornitori di servizi devono inoltre rispettare gli standard di sicurezza conformi alla LGPD lungo l'intera catena di elaborazione dei dati.
Sanzioni per inadempienza
Il mancato rispetto della LGPD può comportare multe salate, fino a 2% del fatturato netto di un'azienda in Brasile, con un limite massimo di R$50 milioni per violazione. Ulteriori sanzioni includono:
- Multe giornaliere per problemi irrisolti.
- Divulgazione pubblica delle violazioni.
- Blocco o cancellazione dei dati personali.
- Sospensione o divieto delle attività di trattamento dei dati.
Recenti casi di applicazione della legge ne mettono in luce la portata. Ad esempio, il 6 luglio 2023, Telekall Infoservice è stata multata di 14.400 BRL (circa $2.938) per molteplici violazioni, tra cui la mancata nomina di un responsabile della protezione dei dati e la mancanza di una base giuridica adeguata per il trattamento dei dati. Analogamente, nell'ottobre 2023, il Dipartimento della Salute dello Stato di Santa Catarina ha dovuto affrontare sanzioni per problemi quali scarse misure di sicurezza e ritardi nella segnalazione degli incidenti.
Oltre alle sanzioni pecuniarie, la mancata conformità può comportare azioni legali da parte dei soggetti interessati, danni alla reputazione aziendale e persino la perdita dei privilegi di elaborazione dei dati. Per le aziende che operano in Brasile, soddisfare i requisiti della LGPD non significa solo evitare sanzioni: è essenziale per mantenere la fiducia e la continuità operativa.
Ora esamineremo come la legge canadese PIPEDA affronta sfide simili in materia di protezione dei dati.
4. Legge sulla protezione delle informazioni personali e dei documenti elettronici (PIPEDA) – Canada
del Canada Legge sulla protezione delle informazioni personali e sui documenti elettronici (PIPEDA) Stabilisce le regole per il trattamento dei dati personali da parte delle organizzazioni del settore privato. Basato sui principi di correttezza informativa, mira a proteggere la privacy individuale, supportando al contempo l'efficacia delle operazioni aziendali.
Giurisdizione e ambito geografico
La Legge sulla Proprietà Intellettuale (PIPEDA) si applica alle aziende che operano in Canada e che gestiscono dati personali in transazioni interprovinciali o internazionali. Regolamenta le organizzazioni del settore privato in tutto il Paese e include i dati personali dei dipendenti nei settori regolamentati a livello federale. Se la vostra azienda elabora dati che attraversano i confini provinciali o internazionali, la conformità alla Legge sulla Proprietà Intellettuale (PIPEDA) è obbligatoria.
Requisiti di crittografia (obbligatori o consigliati)
La legge PIPEDA non prescrive tecnologie di sicurezza specifiche, ma incoraggia vivamente le organizzazioni a implementare misure di sicurezza per proteggere le informazioni personali. Principio 7 (Misure di salvaguardia)Le aziende sono tenute a proteggere i dati personali da rischi come perdita, furto o accesso non autorizzato. La crittografia è una delle misure raccomandate per proteggere le informazioni sensibili durante l'archiviazione e la trasmissione. Tuttavia, è solo un tassello del puzzle. Una strategia di sicurezza completa dovrebbe includere anche strumenti come password complesse, firewall e aggiornamenti regolari, combinati con controlli fisici e organizzativi.
La scelta delle misure di sicurezza dipende da fattori quali la sensibilità dei dati, il loro volume, le modalità di distribuzione, il formato di archiviazione e i potenziali rischi connessi. Per le aziende che utilizzano soluzioni di hosting come Serverion, l'implementazione di una crittografia robusta in tutte le attività di elaborazione dei dati può contribuire a soddisfare le aspettative di sicurezza flessibili del PIPEDA.
Revisioni periodiche dei protocolli di sicurezza sono essenziali per mantenere una protezione efficace. Queste misure dovrebbero integrarsi perfettamente in un quadro più ampio di gestione della privacy per garantire che i sistemi di archiviazione aziendali soddisfino gli standard di conformità.
Applicabilità allo storage aziendale
Per le aziende, l'allineamento dei sistemi di archiviazione ai principi di privacy del PIPEDA è imprescindibile. Ciò include lo sviluppo di un programma di gestione della privacy, la chiara documentazione delle finalità del trattamento dei dati e l'applicazione di rigorosi controlli di accesso. Valutazioni di impatto sulla privacy (PIA) È un passaggio fondamentale per valutare l'impatto delle attività aziendali sulla privacy individuale. Altre misure chiave includono la definizione di periodi di conservazione chiari per le informazioni personali e la formazione dei dipendenti sulle migliori pratiche in materia di privacy.
"Un'organizzazione deve rendere facilmente accessibili ai singoli individui informazioni specifiche sulle proprie politiche e pratiche relative alla gestione delle informazioni personali." – Sezione 4.8.1 del PIPEDA
Le organizzazioni devono inoltre stabilire procedure rigorose per monitorare i modelli di accesso e condurre audit regolari per individuare attività non autorizzate. Gestire in modo efficiente i reclami relativi alla privacy e garantire l'accuratezza delle informazioni personali sono altrettanto importanti per mantenere la conformità.
Sanzioni per inadempienza
Il mancato rispetto della legge PIPEDA può comportare gravi conseguenze, sia finanziarie che reputazionali. Le sanzioni pecuniarie possono arrivare fino a CAD $100.000 per violazionee i casi potrebbero persino essere deferiti al Procuratore Generale del Canada per ulteriori azioni legali. Oltre alle multe, la cattiva gestione dei dati personali può danneggiare gravemente la reputazione di un'azienda, soprattutto perché 92% del pubblico ha espresso preoccupazione per il modo in cui vengono gestite le proprie informazioni.
La PIPEDA richiede inoltre alle organizzazioni di segnalare le violazioni dei dati che comportano un rischio reale di danno significativo. Tali incidenti devono essere segnalati all'autorità Commissario per la privacy del Canadae le persone interessate devono essere informate quando necessario. Tenere registri dettagliati di tutte le violazioni è fondamentale per una pianificazione efficace della risposta agli incidenti.
Questi requisiti evidenziano l'importanza di rigorose misure di conformità per le aziende che operano o servono il mercato canadese. La crittografia, insieme ad altre misure di sicurezza, svolge un ruolo fondamentale nel garantire che i sistemi di archiviazione aziendali soddisfino gli standard PIPEDA.
5. Legge sulla protezione dei dati personali digitali (DPDPA) – India
dell'India Legge sulla protezione dei dati personali digitali (DPDPA) stabilisce linee guida chiare per la gestione dei dati personali, sottolineando al contempo solide garanzie di tutela della privacy.
Giurisdizione e ambito geografico
Il DPDPA si applica a tutte le entità che trattano dati personali in India, siano esse nazionali o internazionali. Regolamenta il trattamento dei dati personali appartenenti a residenti indiani e persino a residenti stranieri quando i loro dati vengono trattati in India in base a contratti con entità estere. In sostanza, se la vostra azienda opera in India o tratta dati di residenti indiani, la conformità è obbligatoria.
La legge adotta un approccio territoriale, il che significa che anche le aziende con sede al di fuori dell'India devono conformarsi se trattano dati personali di persone all'interno dei confini indiani. Questa portata extraterritoriale rende fondamentale per le aziende globali che servono clienti indiani o che mantengono partnership nella regione dare priorità alla conformità. La crittografia e altre misure di sicurezza, come descritto di seguito, svolgono un ruolo chiave nel soddisfare questi requisiti.
Requisiti di crittografia
I mandati DPDPA "ragionevoli misure di sicurezza" per proteggere i dati personali. Queste includono crittografia, offuscamento, mascheramento o utilizzo di token virtuali come misure di base. Le organizzazioni devono implementare queste misure di sicurezza tecniche e organizzative per garantire più livelli di sicurezza per i dati sensibili.
Sono inoltre richiesti controlli di accesso dettagliati con revisioni regolari dei log. Inoltre, le aziende devono mantenere backup dei dati per garantire la continuità in caso di perdita di dati o interruzioni del sistema. Per le aziende che utilizzano soluzioni di hosting aziendale, una crittografia robusta è in linea con i rigorosi requisiti del DPDPA. Le organizzazioni sono tenute a conservare i dati e i registri di accesso per almeno un anno per facilitare il rilevamento, l'indagine e la prevenzione delle violazioni.
Applicabilità allo storage aziendale
I sistemi di archiviazione aziendali devono essere conformi al quadro normativo del DPDPA, classificando i dati personali e definendone i requisiti di trattamento. Questa classificazione è essenziale per l'elaborazione di strategie di conformità efficaci.
Le aziende devono inoltre stipulare contratti chiari con i responsabili del trattamento dei dati, garantendo il rispetto delle misure e degli obblighi di sicurezza lungo l'intera catena di trattamento. Tali accordi dovrebbero includere responsabilità e garanzie specifiche, che rispecchino quelle del fiduciario primario dei dati. Gli accordi formali sul trattamento dei dati sono un requisito legale ai sensi del DPDPA.
"Le aziende dovrebbero iniziare ad adottare strategie di conformità proattive investendo in tecnologie che migliorano la privacy, conducendo valutazioni del rischio normativo e implementando modelli di governance dei dati incentrati sull'utente." – Sig. Gaurav Bhalla, Partner, Ahlawat & Associates
I processi di risposta agli incidenti sono un altro elemento critico. Le organizzazioni devono essere preparate a notificare Consiglio indiano per la protezione dei dati (DPBI) e le persone interessate in caso di violazione. Una violazione, come definita dal DPDPA, include qualsiasi accesso non autorizzato, divulgazione accidentale, uso improprio, alterazione, distruzione o perdita di dati personali che ne comprometta la riservatezza, l'integrità o la disponibilità. Questi requisiti sono in linea con le più ampie strategie di conformità aziendale.
Sanzioni per inadempienza
Le sanzioni finanziarie per la non conformità sono elevate, con multe che possono arrivare fino a ₹250 crore (circa $30 milioni) o 4% di fatturato globaleQueste sanzioni sottolineano l'importanza di rispettare la legge e di attuare solide misure di sicurezza.
Oltre alle sanzioni, la non conformità può comportare danni alla reputazione e perdita di fiducia dei clienti nel mercato indiano. Per mitigare questi rischi, le aziende dovrebbero adottare un approccio globale, che includa la nomina di un Responsabile della protezione dei dati (RPD) con sede in India per fungere da collegamento normativo. Sistemi automatizzati di rilevamento delle minacce e modelli di notifica delle violazioni possono anche contribuire a garantire risposte rapide agli incidenti.
Valutazioni periodiche della vulnerabilità e misure tecniche e organizzative basate sul rischio sono essenziali. Le aziende devono inoltre valutare le potenziali restrizioni sui trasferimenti transfrontalieri di dati e considerare opzioni come il mirroring o l'archiviazione locale dei dati per rimanere pienamente conformi. Comprendere e soddisfare questi requisiti è fondamentale per allineare i sistemi di archiviazione aziendali agli standard di protezione dei dati sia locali che globali.
sbb-itb-59e1987
6. Legge sulla protezione delle informazioni personali (PIPL) – Cina
La legge cinese sulla protezione delle informazioni personali (PIPL) impone rigide norme per la protezione e la crittografia dei dati, stabilendo standard elevati per la conformità a livello globale.
Giurisdizione e ambito geografico
Il PIPL si applica a qualsiasi organizzazione che gestisca informazioni personali di individui in Cina. La sua portata va oltre i confini cinesi, con un impatto sia sulle aziende nazionali che su quelle internazionali. Se un'azienda raccoglie, archivia, utilizza o elabora dati appartenenti a individui in Cina, anche senza una presenza fisica nel Paese, è tenuta a conformarsi. Ciò include le aziende che forniscono prodotti o servizi a utenti cinesi o che ne analizzano i comportamenti.
Per quanto riguarda i trasferimenti transfrontalieri di dati, la legge impone severe restrizioni. Le aziende devono garantire che qualsiasi destinatario estero dei dati aderisca a standard di protezione equivalenti a quelli previsti dal PIPL. Inoltre, le aziende sono tenute a nominare un rappresentante nazionale in Cina per supervisionare la conformità e gestire eventuali responsabilità legali.
Requisiti di crittografia
La crittografia è un pilastro delle misure di sicurezza tecnica del PIPL. Le organizzazioni devono seguire le Regolamenti sulla crittografia commerciale, che impongono l'uso di algoritmi di crittografia approvati dal governo. Standard di crittografia comuni come AES non sono consentiti a meno che non siano specificamente certificati dalle autorità cinesi. Inoltre, tutti i dati sensibili crittografati e le chiavi di crittografia devono essere archiviati all'interno dei confini cinesi. Per le aziende multinazionali, ciò crea ostacoli significativi, poiché devono adattarsi ad algoritmi di crittografia e sistemi di gestione delle chiavi localizzati.
Applicabilità allo storage aziendale
Il PIPL stabilisce inoltre regole chiare per l'archiviazione dei dati aziendali in Cina. In genere, le informazioni personali devono rimanere all'interno del Paese, a meno che non vengano soddisfatte rigide condizioni per i trasferimenti transfrontalieri. Per eccesso di cautela, le aziende spesso classificano i dati incerti come "dati importanti", il che attiva protocolli di sicurezza aggiuntivi, inclusi requisiti di crittografia avanzata.
Per conformarsi, le aziende devono implementare misure come la crittografia e la de-identificazione per proteggere le informazioni personali da violazioni, furti o cancellazioni accidentali. I controlli di conformità di routine sono essenziali, inclusi audit delle pratiche di crittografia, verifica degli algoritmi approvati e garanzia che le chiavi di crittografia rimangano all'interno della giurisdizione cinese. Data la complessità di questi requisiti, la collaborazione con esperti legali e di sicurezza locali è fondamentale per affrontare le sfide di conformità.
Sanzioni per inadempienza
Le sanzioni per la violazione del PIPL sono severe. Amministrazione del cyberspazio della Cina (CAC) Fa rispettare la legge e può imporre multe significative o altre sanzioni. Le violazioni minori possono comportare multe fino a 1 milione di yuan (circa 150.000 yuan), mentre i responsabili possono incorrere in multe comprese tra 10.000 e 100.000 yuan (1.500-15.000 yuan). Le violazioni gravi possono comportare multe fino a 50 milioni di yuan (circa 7,7 milioni di yuan) o 513 milioni di yuan del fatturato dell'anno precedente, a seconda di quale sia l'importo maggiore. I soggetti coinvolti in violazioni gravi rischiano fino a 7 anni di carcere.
Casi recenti e di alto profilo hanno dimostrato quanto possano essere severe queste sanzioni, con multe multimilionarie e pene detentive. Per evitare tali conseguenze, le aziende devono istituire solidi quadri di conformità, che includano monitoraggio regolare, audit e procedure di notifica delle violazioni dei dati. Queste misure sono essenziali per rimanere al passo con questo rigoroso panorama normativo.
7. Legge sulla resilienza operativa digitale (DORA) – Unione Europea (settore finanziario)
Il Digital Operational Resilience Act (DORA) stabilisce rigorosi standard di sicurezza informatica e resilienza operativa per le entità finanziarie che operano all'interno dell'Unione Europea (UE). Il suo obiettivo è garantire che il settore finanziario possa resistere efficacemente alle minacce e alle interruzioni informatiche.
Giurisdizione e ambito geografico
Il DORA si applica a un'ampia gamma di entità finanziarie all'interno dell'UE, tra cui banche, imprese di investimento, istituti di credito, fornitori di servizi di criptovalute e piattaforme di crowdfunding. Si estende anche ai fornitori terzi di servizi ICT, anche quelli con sede al di fuori dell'UE, purché servano istituzioni finanziarie dell'UE. Tra questi rientrano i fornitori di servizi essenziali come le agenzie di rating del credito e le società di analisi dei dati. A partire dal 2025, le autorità di vigilanza europee – ESMA, EBA ed EIOPA – identificheranno i fornitori terzi di servizi ICT essenziali per una maggiore supervisione. Sebbene le entità più piccole possano beneficiare di requisiti di conformità semplificati, la maggior parte delle organizzazioni deve rispettare l'intero ambito di applicazione del regolamento.
Requisiti di crittografia
DORA adotta un approccio completo alla crittografia dei dati, richiedendo alle entità finanziarie di proteggere i dati in tre stati: a riposo, in transito e in usoQuest'ultimo requisito, la crittografia dei dati in uso, è particolarmente degno di nota in quanto non è ampiamente implementato a livello globale.
Il regolamento impone alle entità finanziarie di stabilire policy di sicurezza ICT che diano priorità alla disponibilità, all'autenticità, all'integrità e alla riservatezza dei dati. Ciò include la progettazione di strategie di crittografia basate sul rischio e l'esecuzione di valutazioni periodiche per affrontare le minacce alla sicurezza informatica in continua evoluzione.
"Le entità finanziarie devono progettare, acquisire e attuare politiche, procedure, protocolli e strumenti di sicurezza ICT che mirano a garantire la resilienza, la continuità e la disponibilità dei sistemi ICT, in particolare per quelli che supportano funzioni critiche o importanti, e a mantenere elevati standard di disponibilità, autenticità, integrità e riservatezza dei dati, siano essi a riposo, in uso o in transito." – DORA, Art. 9.2
DORA incoraggia inoltre le entità finanziarie a condividere informazioni sulle minacce e vulnerabilità informatiche all'interno di reti affidabili per rafforzare la resilienza dell'intero settore.
Applicabilità allo storage aziendale
Il regolamento pone una forte enfasi sui sistemi di storage aziendali, in particolare per le istituzioni che gestiscono dati finanziari critici. Le organizzazioni devono garantire che le loro soluzioni di storage includano solide funzionalità di backup, meccanismi di ripristino e monitoraggio continuo dei fornitori terzi.
Ad esempio, le aziende che utilizzano le soluzioni di hosting di Serverion, come server dedicati, VPS o servizi di colocation, devono garantire che questi sistemi siano conformi ai rigorosi requisiti di sicurezza e resilienza di DORA. Audit regolari e controlli di conformità automatizzati sono fondamentali per garantire il rispetto della normativa. Queste misure sottolineano l'importanza di strategie di archiviazione e ripristino sicure in tutto il settore finanziario.
Sanzioni per inadempienza
Il mancato rispetto del DORA può comportare pesanti sanzioni. Gli istituti finanziari possono incorrere in sanzioni fino a 2% del loro fatturato globale annuo totale o 1% del loro fatturato medio giornalieroPer le grandi organizzazioni, ciò potrebbe significare decine di milioni di dollari di multe. Inoltre, le sanzioni specifiche includono:
- Multe fino a $1,09 milioni per dirigenti e aziende.
- I fornitori di ICT di terze parti essenziali potrebbero dover affrontare multe fino a $5,45 milioni per le aziende o $545,000 per gli individui.
- Le falle nella sicurezza informatica possono comportare multe fino a $2,18 milioni o 2% di fatturato annuo.
- La segnalazione ritardata degli incidenti può comportare sanzioni a partire da $272,000.
"Sebbene la sicurezza informatica rimanga una priorità, è necessario che le istituzioni finanziarie elevino la responsabilità di questi rischi a un livello più elevato. Molte istituzioni finanziarie (IF) non comprendono ancora appieno il modello di responsabilità condivisa, credendo erroneamente che la resilienza dei servizi SaaS risieda esclusivamente nel fornitore." – Wayne Scott, Regulatory Compliance Solutions Lead presso Escode
Al 17 gennaio 2025, gli analisti stimano che il 99% delle entità finanziarie interessate non fosse preparato alla conformità DORA. Per evitare queste severe sanzioni, le organizzazioni devono dare priorità alla crittografia, condurre audit di sicurezza informatica regolari, istituire team dedicati alla conformità, formare i dirigenti sulle loro responsabilità legali e collaborare con fornitori di sicurezza informatica esperti per garantire la resilienza del sistema e un reporting accurato degli incidenti.
Tabella comparativa delle leggi sulla crittografia dei dati
Le leggi sulla crittografia dei dati variano notevolmente a seconda della giurisdizione. Ogni normativa affronta i requisiti di crittografia, le sanzioni e le tecniche di applicazione in modo diverso. La tabella seguente evidenzia i dettagli chiave di queste leggi, fornendo una base utile per le strategie di conformità trattate nelle sezioni successive.
| Legge | Giurisdizione | Requisiti di crittografia | Stati dei dati coperti | Penalità massime | Industrie primarie |
|---|---|---|---|---|---|
| GDPR | Unione Europea | "Misure tecniche appropriate" tra cui la crittografia | A riposo, in transito | 20 milioni di euro o 4% di fatturato globale | Tutti i settori |
| CPRA | California, Stati Uniti | "Procedure di sicurezza ragionevoli" | A riposo, in transito | $7.500 per violazione intenzionale | Tutti i settori |
| LGPD | Brasile | "Misure di sicurezza tecniche" tra cui la crittografia | A riposo, in transito | 2% di fatturato, max ~$9,3 milioni | Tutti i settori |
| PIPEDA | Canada | "Adeguate misure di sicurezza" | A riposo, in transito | N / A | Tutti i settori |
| DPDPA | India | "Pratiche di sicurezza ragionevoli" | A riposo, in transito | N / A | Tutti i settori |
| PIPL | Cina | "Misure tecniche" tra cui la crittografia | A riposo, in transito | N / A | Tutti i settori |
| DORA | UE (Finanziario) | Crittografia obbligatoria | A riposo, in transito | N / A | Solo servizi finanziari |
Differenze chiave nell'approccio
I requisiti di crittografia variano in base al grado di chiarezza con cui sono definiti. Ad esempio, il GDPR richiede "misure tecniche appropriate", offrendo flessibilità nell'implementazione. D'altro canto, il DORA impone esplicitamente la crittografia, in particolare per i servizi finanziari. Questa distinzione riflette i diversi livelli di specificità previsti dalle diverse normative.
L'Autorità bancaria europea fornisce indicazioni dettagliate per la conformità, affermando:
"I PSP dovrebbero garantire che, durante lo scambio di dati sensibili tramite Internet, venga applicata una crittografia end-to-end sicura tra le parti comunicanti durante l'intera sessione di comunicazione, al fine di salvaguardare la riservatezza e l'integrità dei dati, utilizzando tecniche di crittografia solide e ampiamente riconosciute."
Strutture penali
Le conseguenze finanziarie della non conformità variano significativamente. Il GDPR impone alcune delle sanzioni più elevate, con multe che raggiungono i 20 milioni di euro o il 4% del fatturato globale. Il CPRA, invece, utilizza un modello sanzionatorio per violazione, che può comportare sanzioni crescenti in caso di violazioni ripetute. Per altre normative, i dettagli delle sanzioni sono definiti meno chiaramente, il che sottolinea la necessità di comprendere le prassi di applicazione locali.
Ambito geografico e industriale
Sebbene la maggior parte delle normative si applichi a tutti i settori all'interno delle rispettive giurisdizioni, DORA rappresenta un'eccezione, concentrandosi esclusivamente sui servizi finanziari. Questo approccio mirato riflette l'importanza cruciale della sicurezza dei dati nelle operazioni finanziarie. È interessante notare che uno studio di Sectigo ha rilevato che il 25% delle banche europee non dispone ancora di un sistema di convalida estesa. Certificati SSL, evidenziando le sfide in corso nel soddisfare gli standard di sicurezza.
Variazioni nell'applicazione della legge
Anche le filosofie di applicazione differiscono. Alcune leggi consentono flessibilità per adattarsi all'evoluzione delle tecnologie, mentre altre, come la DORA, forniscono linee guida rigorose, come l'obbligo di crittografia end-to-end sicura per gli scambi di dati su Internet. Queste differenze sottolineano l'importanza di adattare le strategie di crittografia in base a specifici requisiti normativi.
Per le aziende che operano in più giurisdizioni, comprendere queste sfumature è essenziale. Che si utilizzino server dedicati, VPS o servizi di colocation di provider come Serverion, allineare le pratiche di crittografia alle leggi locali è un passo fondamentale verso la conformità.
Come le aziende possono soddisfare i requisiti di conformità
Per rispettare i requisiti di conformità in materia di crittografia, le aziende necessitano di più di semplici strumenti di sicurezza avanzati: necessitano di un framework di conformità strutturato. Ciò implica un monitoraggio continuo, audit regolari, una documentazione completa e un'applicazione coerente delle policy. Ecco come le organizzazioni possono soddisfare efficacemente queste esigenze.
Stabilire pratiche di audit regolari
Gli audit sono la spina dorsale di qualsiasi strategia di conformità. Sia gli audit interni che quelli esterni svolgono un ruolo fondamentale. Gli audit interni sfruttano la profonda conoscenza dell'organizzazione per identificare potenziali lacune, mentre gli audit esterni offrono una prospettiva nuova e imparziale che può portare alla luce vulnerabilità trascurate. Insieme, questi audit garantiscono che le misure di sicurezza non solo siano implementate, ma rimangano efficaci nel tempo.
Costruire sistemi di documentazione solidi
Una documentazione chiara e dettagliata è fondamentale per la conformità normativa. Come afferma Peter Schawacker, Cyber Staffing & Recruiting Business Innovator & Strategist ed ex CISO:
"Una policy è la dichiarazione esplicita delle intenzioni del management. È la stella polare dell'organizzazione. Senza di essa, l'allineamento è difficile, se non impossibile, da raggiungere. E la responsabilità diventa una questione molto delicata, se si riesce a chiedere conto alle persone."
Le organizzazioni devono documentare la gestione delle chiavi di crittografia, i protocolli di gestione dei dati e i piani di risposta agli incidenti. Piani di risposta agli incidenti adeguatamente gestiti, ad esempio, possono ridurre significativamente i tempi di inattività e mitigare l'impatto delle violazioni. Questo è particolarmente cruciale poiché si prevede che i costi globali della criminalità informatica raggiungeranno 10,5 trilioni di dollari all'anno entro il 2025.
Applicazione coerente delle politiche
La coerenza nell'applicazione delle policy è fondamentale per evitare lacune nella conformità. Coinvolgere i dipendenti di diversi reparti nello sviluppo delle policy garantisce che le linee guida siano pratiche e pertinenti. Aggiornamenti regolari di queste policy aiutano le organizzazioni a rimanere allineate con l'evoluzione delle minacce e dei cambiamenti normativi, rendendo la conformità un processo continuo piuttosto che un impegno una tantum.
Scegliere l'infrastruttura giusta
Un'infrastruttura adeguata può semplificare la gestione della conformità. I provider di hosting con funzionalità di sicurezza integrate, come protezione DDoS, certificati SSL e operazioni di data center sicure, offrono una solida base. Ad esempio, l'infrastruttura globale di Serverion supporta la conformità grazie alle sue solide pratiche di sicurezza e alle opzioni di residenza dei dati, semplificando il rispetto degli standard normativi da parte delle aziende.
Formazione e integrazione della sicurezza nella cultura
Programmi di formazione regolari assicurano che i dipendenti comprendano il loro ruolo nel mantenimento degli standard di crittografia e della conformità. Promuovendo una cultura in cui la sicurezza è una responsabilità condivisa, le organizzazioni possono creare un ambiente in cui la conformità diventa una seconda natura.
Monitoraggio e miglioramento continui
Il monitoraggio continuo è essenziale, dato l'evolversi sia dei sistemi che delle minacce informatiche. Questo include la revisione dei controlli di accesso, la gestione delle rotazioni delle chiavi di crittografia e il rinnovo dei certificati di sicurezza. Gli strumenti automatizzati possono segnalare potenziali problemi di conformità in tempo reale, consentendo ai team di adottare rapidamente misure correttive e rafforzare costantemente il proprio livello di sicurezza.
Conclusione
Orientarsi tra le leggi globali sulla crittografia dei dati non significa solo spuntare caselle legali: è un passaggio fondamentale per proteggere la tua azienda da ingenti danni finanziari e reputazionali. I numeri parlano chiaro: le aziende possono perdere fino a 25% della loro quota di mercato a seguito di un attacco informatico, e i costi di non conformità sono sbalorditivi 2,71 volte più alto rispetto alle spese necessarie per rimanere conformi. Se questo non sottolinea l'urgenza, niente lo farà.
Le autorità di regolamentazione stanno intensificando i controlli e le conseguenze per chi non rispetta le norme sono più gravi che mai. Casi recenti evidenziano il prezzo elevato della negligenza. Prendiamo ad esempio Solara Medical Supplies: dopo aver divulgato dati sanitari sensibili di oltre 114.000 persone, ha dovuto affrontare una... Penalità di $3 milioni nel gennaio 2025. Questo caso è un monito concreto: saltare la conformità non fa risparmiare denaro; a lungo termine costa molto di più.
L'avvocato Joan Wrabetz lo spiega perfettamente: la privacy è passata dall'essere un semplice requisito legale a diventare un strategia aziendale centrale, con la crittografia che ora rappresenta un elemento di differenziazione chiave per i leader di mercato.
Per mitigare questi rischi, le aziende devono agire ora investendo in infrastrutture sicure. Ciò significa collaborazione con i provider di hosting che offrono funzionalità di sicurezza integrate come Protezione DDoS, Certificati SSLe data center sicuri con copertura globale. Ad esempio, Serverion offre solide misure di sicurezza e opzioni flessibili per la residenza dei dati, aiutando le aziende a soddisfare complesse esigenze normative senza sacrificare l'efficienza operativa.
Man mano che i governi impongono norme più severe sulla protezione dei dati, le organizzazioni che danno priorità alla crittografia e alle soluzioni di archiviazione sicura si posizioneranno come leader nell'economia digitale odierna.
Domande frequenti
In che modo differiscono i requisiti di crittografia dei dati del GDPR e del CPRA?
IL Regolamento generale sulla protezione dei dati (GDPR) e il Legge sulla privacy della California (CPRA) adottare approcci diversi quando si tratta di crittografia dei dati e del loro obiettivo generale. Il GDPR impone requisiti più severi, obbligando le organizzazioni ad adottare misure tecniche e organizzative, come la crittografia, per salvaguardare i dati personali e prevenire violazioni. Il suo ambito di applicazione è ampio, coprendo tutti i dati personali dei residenti nell'UE e sottolineando un atteggiamento proattivo in materia di sicurezza dei dati.
Al contrario, il CPRA si orienta maggiormente verso diritti dei consumatori e trasparenza Per i residenti in California. Pur incoraggiando la crittografia come buona pratica, non la rende un requisito rigoroso. Il CPRA si concentra invece molto sulla notifica delle violazioni e sulla gestione dei rischi dopo che si è verificato un incidente, piuttosto che sull'applicazione di rigorose misure preventive. Queste differenze evidenziano le priorità fondamentali di ciascun regolamento: il GDPR mira a una solida protezione dei dati, mentre il CPRA dà priorità al controllo e alla responsabilità dei consumatori dopo le violazioni.
Quali misure dovrebbero adottare le aziende per garantire che i loro metodi di crittografia siano conformi alle leggi internazionali sulla protezione dei dati?
Per conformarsi alle leggi internazionali sulla protezione dei dati, le aziende devono implementare standard di crittografia elevatiPer la crittografia simmetrica, AES-256 è una scelta affidabile, mentre RSA con chiavi a 2048 bit o più funziona bene per la crittografia asimmetrica. Altrettanto importante è gestione delle chiavi di crittografia, che prevede la generazione, l'archiviazione, la distribuzione e la revoca delle chiavi in modo sicuro per impedire l'accesso non autorizzato.
È inoltre fondamentale rimanere aggiornati su quadri normativi specifici, come il GDPR, che sottolinea l'importanza dell'elaborazione sicura dei dati e riconosce la crittografia come una salvaguardia tecnica essenziale. Rivedere e aggiornare regolarmente i protocolli di crittografia in linea con attuali pratiche del settore garantisce che le aziende rimangano conformi in diverse aree geografiche. Concentrarsi su sicurezza e flessibilità è fondamentale per stare al passo con il panorama in continua evoluzione delle normative sulla protezione dei dati.
Quali sono i rischi per le aziende che non rispettano le leggi sulla crittografia dei dati, come DORA e PIPL?
Mancata conformità alle leggi sulla crittografia dei dati come DORA e PIPL può comportare gravi ripercussioni per le aziende. Ad esempio, ai sensi del DORA, le aziende potrebbero incorrere in multe fino a 2% del loro fatturato annuo globale. Analogamente, le violazioni del PIPL possono comportare sanzioni fino a 50 milioni di yen (circa $7,2 milioni) o 5% del reddito annuo.
Ma le conseguenze non si limitano alle sanzioni finanziarie. Le aziende potrebbero anche dover affrontare azioni legali, sospensioni della licenza e interruzioni operative, tutti fattori che possono compromettere la salute finanziaria e la reputazione aziendale. Rimanere conformi non significa solo evitare questi rischi, ma anche rafforzare la fiducia con clienti e partner dimostrando un forte impegno nella protezione dei dati.
