SAS Italy - Lo sapevi che le aziende che nel 2018 non saranno conformi alle normative GDPR potrebbero essere multate fino a 20 Milioni di Euro? Scopri nella presentazione di Luciano Meschi, SAS Advisory Industry Consultant, quali sono le aree di intervento e le domande che le organizzazioni devono porsi, per farsi trovare pronte ad ottemperare alle nuove leggi dell’Unione Europea sulla Data Protection, dal trattamento dei dati personali alla loro libera circolazione.

1. Copyright © SAS Institute Inc. All rights reserved.
Trattamento dei dati vs privacy
GDPR EU Personal Data Protection Act 2018
Evitare le sanzioni con la compliance
Luciano Meschi - Advisory Industry Consultant, SAS

2. Copyright © SAS Institute Inc. All rights reserved.
InformationisBeautiful.net: http://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
ITGovernance.co.uk: http://www.itgovernance.co.uk/blog/list-of-data-breaches-and-
cyber-attacks-in-2016-1-6-billion-records-leaked/
Wallst.com: https://goo.gl/tS15XW
Identity Theft Research Center” (ITRC)

3. Copyright © SAS Institute Inc. All rights reserved.
472 GIORNI
Articolo 83
Condizioni generali per infliggere sanzioni amministrative pecuniarie
…………………..
5. In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a
sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4
% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore
…………………

4. Copyright © SAS Institute Inc. All rights reserved.
1. Responsabilità
a. ……., il titolare del trattamento dovrebbe essere responsabile dello svolgimento di una valutazione d'impatto sulla protezione dei dati per
determinare, in particolare, l'origine, la natura, la particolarità e la gravità di tale rischio. L'esito della valutazione dovrebbe essere preso in
considerazione nella determinazione delle opportune misure da adottare per dimostrare che il trattamento dei dati personali rispetta il presente
regolamento…….
b. Privacy by Design e Privacy by Default: Al fine di poter dimostrare la conformità con il presente regolamento, il titolare del trattamento
dovrebbe adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e
della protezione dei dati di default. Tali misure potrebbero consistere, tra l'altro, nel ridurre al minimo il trattamento dei dati personali,
pseudonimizzare i dati personali il più presto possibile….
2. Consenso
a. Il consenso per essere valido deve essere esplicito sia per i dati raccolti che per il loro utilizzo
b. I titolari del trattamento devono essere in grado di dimostrare che l'interessato ha acconsentito al trattamento e che il consenso può essere
revocato
3. Data Protection Officer
a. Assicurare la conformità all'interno dell'organizzazione
4. Violazione dei dati
a. Come pensate di reagire ad una violazione della sicurezza dei dati?
b. Obbligo giuridico di informare l'Autorità di vigilanza, senza ritardo
5. Diritto alla cancellazione («diritto all'oblio»)
a. L'interessato ha il diritto di ottenere la cancellazione dei dati
personali che lo riguardano senza ingiustificato ritardo o se
sussistono i motivi indicati nella normativa
6. Portabilità dei dati
a. Trasferire i propri dati personali da un sistema di elaborazione
elettronica in un altro
b. Cross-border data transfers
In cosa consiste? Il regolamento stabilisce norme relative alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati

5. Copyright © 2016, SAS Institute Inc. All rights reserved.
Cos’è un dato personale?
Controlliamo i diritti di
accesso?
Abbiamo i log delle attività
utente per ogni archivio dati?
La duplicazione e la scarsa qualità
dei dati rendono difficile
“cancellare e dimenticare i dati”?
E come possiamo identificare i
dati personali?
Abbiamo una overview di tutte
le fonti dati?
Qual è il livello di rischio per
ogni fonte dati?
Possiamo mostrare un report
che descrive dove si trovano i
dati personali?
Possiamo mostrare quali
processi sono compliance per
la gestione dei dati personali?
Esiste documentazione e
tracciatura audit?
Quali sono le domande alle quali si deve rispondere?
Di fronte alle Autorità Interne

6. Copyright © 2016, SAS Institute Inc. All rights reserved.
Aree di intervento
Internal
Control
• Amministrazione
Centralizzata
• Reporting
• Policy
• Piani di azione
• Workflow
• Risk Assessment
• Censimento Data
Breaches
Protect
• Anonimizzazione
(rimozione Dati
Personali)
• Pseudonimizzazione
(Sostituzione Dati
Personali)
• Crittografia (codifica
Dati Personali)
Govern
• Glossario dati
personali
• Collegamento di
Sistemi, Processi,
Policy e Business
Owner nei flussi dati
• Panoramica chiara dei
ruoli e responsabilità
• Definizione dei
Business Term per
allineare Business &
IT
Identify
• Identificazione dei Dati
Personali
• Ricerca automatica nei
file e DB per
identificare i Dati
Personali
• Identificazione a livello
campo, tabella e DB
• Profilazione
• Deduplicazione
Access
• Accesso a tutti i:
• Database
• Sistemi
• Dati strutturati e
dati non strutturati

7. Copyright © SAS Institute Inc. All rights reserved.
Identificazione Dati Personali
Parsing
Extraction
Pattern Analysis
Identification Analysis
Gender Analysis
Standardization, Casing
Matching
 Nomi
 Numero di telefono
 Codici Postali
 Indirizzi E-mail
 Indirizzi stradali
 Indirizzo IP
 Dati sulla salute
 Dati HR
 File Personali
 Numeri di previdenza sociale
 IBAN
 Numeri di carte di credito
 VISA (4571)
 MasterCard (55XX)
 American Express
 Etc.
Dati Personali supportati (es.)
Identify: Come

8. Copyright © SAS Institute Inc. All rights reserved.
• Dati Demografici
o Nome
o Gender
o Data di Nascita
o Età
o Nazionalità
• Canali
o Numero di telefono
o Indirizzo Postale
o Città
o Provincia
o Codice postale
o Nome strada e civico
o Indirizzo Email
• ID Nazionali
o Carta Identità
o Codice Fiscale
o Passaporto
o Targa Automobilistica
o Patente
• Organizzazione
o Nome
o Forma legale
• Conti finanziari
o IBAN
o BIC
• Numeri delle carte
o Bancomat
o American Express
o VISA
o MasterCard
o Dinners Club
o Discover
o JCB
o …
• Identificativi Digitali
o IP Address (V4, V6)
o MAC Address
o X/Y Coordinate Geografiche
• Social Media
o URL FaceBook
o URL Linkedin
o URL Pinterest
o URL Instagram
• Dati Sensibili
o Salute
o Politico
o Religioso
o Filosofico
o Genetico
o Biometrico
o Razza
o Etnia

9. Copyright © SAS Institute Inc. All rights reserved.
• Estrazione del codice fiscale usando
il Quality Knowledge Base per i Dati
Personali.
• Le stesse tecniche sono applicabili
per tutti i tipi di dati personali.
Identify

10. Copyright © SAS Institute Inc. All rights reserved.
• Automatizzare il Glossario dei
Dati personali
• Definire Termini di Business al
fine di allineare Business & IT
• Avere una panoramica chiara
dei ruoli e responsabilità
Govern

11. Copyright © SAS Institute Inc. All rights reserved.
Collegare Sistemi, Processi e
Business Owner con i flussi dati
Govern

12. Copyright © SAS Institute Inc. All rights reserved.
Il regolamento richiede
l’applicazione di tecniche per:
• Anonimizzare (rimozione dati personali)
• Pseudonimizzare (sostituzione dati personali)
• Crittografare (codifica dati personali)
Protect

13. Copyright © SAS Institute Inc. All rights reserved.
• Gestione delle Policy
Internal Control

14. Copyright © SAS Institute Inc. All rights reserved.
• Gestione delle Policy
• Gestione dei Workflow
Internal Control

15. Copyright © SAS Institute Inc. All rights reserved.
• Gestione delle Policy
• Gestione dei Workflow
• Valutazione d'impatto sulla protezione dei dati
e consultazione preventiva
Internal Control

16. Copyright © SAS Institute Inc. All rights reserved.
Identificare
flusso dati
Accesso
flusso dati
Mitigare
rischi flusso
dati
Reports
Report

17. Copyright © SAS Institute Inc. All rights reserved.
Funzionalità SAS per GDPR
• Accesso a tutti i:
- Database
- Sistemi
- Dati strutturati e
dati non strutturati
ACCESSO AI DATI
Per catalogare e ricercare i
Dati Personali su tutte le
fonti dati, è necessario
collegarsi ed essere in grado
di leggerne i contenuti
1
IDENTIFICAZIONE DEI
DATI PERSONALI
• Identificazione dei Dati
Personali
• Ricerca automatica nei file e
DB per identificare i Dati
Personali
• Ricerca a livello campo,
tabella e DB
• Profilazione dei dati
• Deduplicazione
Il QKB di SAS, strumento con le
codifiche per paese, è
fondamentale per
automatizzare il processo di
identificazione dei dati
personali. Si tratta di un
censimento dei dati personali
2
GOVERNO DEI DATI
PERSONALI
• Glossario dati personali
• Collegamento di Sistemi,
Processi, Policy e Business
Owner nei flussi dati
• Panoramica chiara dei ruoli
e responsabilità
• Definizione dei Business
Term per allineare Business
& IT
Censire i dati personali
richiede l’utilizzo di un
dizionario e glossario
centralizzato per mappare
l’intero flusso dei dati e
governarne il processo
3
MASCHERARE I DATI
PERSONALI
• Su Dataset SAS e DB:
‐ Anonimizzazione
(rimozione Dati
Personali)
‐ Pseudonimizzazione
(sostituzione Dati
Personali)
‐ Crittografia (codifica
Dati Personali)
• Portabilità dei dati
La normativa GDPR chiede
l’utilizzo delle tecniche di
Anonimizzazione,
Pseudonimizzazione e
Crittografia. SAS mette a
disposizione tutte queste
tecniche
4
PIANIFICAZIONE, AUDIT
E REAZIONE AGLI
EVENTI
• Amministrazione Centralizzata
• Report
• Policy
• Risk Assessment
• Gestione di eventi come:
‐ Richiesta di diritto all’oblio /
cancellazione
‐ Data Breaches
SAS mette a disposizione le
funzionalità per gestire le policy e
le azioni integrate nel framework
di governance. Questo permette di
reagire nei tempi richiesti dalla
normativa
5

18. Copyright © SAS Institute Inc. All rights reserved.
SAS per la
Governance di Sistemi e
Processi IT legati ai Dati
Personali
SAS per GDPR
SAS per il Data
Management
Accesso,
ldentificazione e
Mascheramento
Dati Personali
Sistemi
Attività
Analitiche
SAS per la
Risk Governance e
Controlli Interni sui DP
Perché SAS? Combina Risk Governance, Data Governance e Data Management
Per accelerare il setup e mantenimento dei Programmi di Compliance

19. sas.com
Copyright © SAS Institute Inc. All rights reserved.
Luciano Meschi – Advisory Industry Consultant, SAS
Grazie!
Luciano.Meschi@sas.com