Attacco hacker maggio 2017: nei giorni scorsi è stato effettuato il più grande attacco hacker degli ultimi anni, anche se ora sembra tutto sotto controllo, la situazione è solo da considerare di calma apparente.
Infatti mentre abbiamo tutti avuto modo di avere a che fare almeno una volta con un criptoloker, questa volta la situazione è nettamente più grave, infatti con questo ultimo attacco il virus è in grado di spostarsi autonomamente dal pc infettato agli altri pc della rete, agli stessi server, compresi quelli di backup e questo comporta un rischio elevatissimo di perdita totale dei dati oltre che un fermo completo dell’azienda e rende parzialmente inefficaci i sistemi di backup e protezione che finora ci hanno permesso di garantire, in caso di infezione, tempi di fermo limitati e soprattutto nessuna perdita di dati aziendali.
Per il momento segnaliamo l'importanza di invitare tutti i dipendenti che lunedì mattina riaprono le e-mail alla massima attenzione con la posta visto che è molto probabile abbiano già ricevuto mail con allegati o link infetti nel weekend ed è imperativo che non vengano aperti.
Come ultima cosa suggeriamo di non considerare l’attacco come finito ma solo come una prima ondata che ne precede altre peggiori nei prossimi giorni, quindi anche se domani non verranno trovate mail sospette non va assolutamente abbassata la guardia.
L' allarme per il virus 'WannaCry' riparte dalla Cina. L'agenzia per la cyber-sicurezza di Pechino ha avvertito che sono almeno 18mila gli indirizzi Ip raggiunti con certezza dal virus.
Altri 5471 indirizzi, in gran parte localizzati a Pechino, Shanghai e sulla costa, sono stati colpiti con alta probabilità.
Da venerdì la diffusione del ransomware è in corso, anche se - assicurano le autorità - sta rallentando.
Sono state già colpite le reti intranet di diverse imprese nel settore bancario, dell'istruzione, dell'energia elettrica, ma anche l'assistenza sanitaria e i trasporti hanno subito conseguenze.
Sono "centinaia di migliaia" i pc infettati da 'Wannacry' in 29.372 sedi di istituzioni cinesi, incluse quelle di agenzie del governo. Università, ospedali e uffici della vasta burocrazia cinese, dal gradino più basso fino ai 'mandarini', si sono visti bloccati da un momento all'altro la possibilità di far scorrere le pratiche amministrative riguardanti milioni di persone. Hitachi è finita nell'attacco ransomware globale: il colosso giapponese ha reso noto di aver rilevato diversi suoi computer con problemi all'invio e alla ricezione delle email.
Il colosso hi-tech ha reso noto di aver notato problemi ai suoi sistemi nel weekend riuscendo comunque a risolvere alcuni problemi. Anche altre compagnie nipponiche hanno avuto problemi, tra cui Nissan (presso gli impianti britannici) e il colosso ferroviario East Japan Railway.
In Europa sembra definitivamente scampato il rischio, paventato ieri, di un lunedì nero mondiale a livello informatico.
Secondo Europol "il numero delle vittime non sembra aumentato e al momento la situazione appare stabile in Europa, ciò che equivale a un successo", ha detto alla France Presse il portavoce dell'Europol, Jan Op Gen Oorth.
"Sembra che in molti si siano messi al lavoro nel weekend e abbiano aggiornato i software di sicurezza". Secondo Europol circa 200.000 computer in tutto il mondo hanno subito "un attacco informatico senza precedenti" a partire da venerdì scorso: banche, ospedali e agenzie governative sono state bersaglio degli hacker che hanno sfruttato la vulnerabilità dei vecchi sistemi operativi dei computer Microsoft. "E' ancora troppo presto per dire che c'è dietro questo attacco, ma ci stiamo lavorando", ha aggiunto ancora Op Gen Oorth.
L'attacco informatico "WannaCry," che si diffonde molto rapidamente, è il primo al mondo che è riuscito a combinare un virus, capace di infettare l'intera rete da un singolo computer infettato, e una richiesta di riscatto, che richiede 300 dollari in BItcoin per sbloccare il sistema.
Europol: 'non pagate il riscatto' Europol raccomanda di non pagare il riscatto chiesto dagli hacker che hanno attaccato migliaia di computer in 150 paesi perchè "non c'è alcuna garanzia che il computer venga liberato". "La novità" di Wannacry ed il motivo della sua "diffusione così rapida" è la combinazione di ransomware (il malaware che blocca l'accesso ai dati fino al pagamento di un riscatto) con un'applicazione worm (un malaware capace di autoreplicarsi spedendosi direttamente agli altri computer, ad esempio tramite e-mail), viene spiegato.
"Questo significa che una volta entrato in un computer del network potrebbe facilmente propagarsi al resto della rete", ha precisato il portavoce di Europol Jan Op Gen Oorth.
Il cyberattacco ha raccolto solo 50mila dollari di riscatti Magro bottino ai tutt'ora misteriosi autori dell'attacco informatico su scala globale: tramite il virus battezzato "wannacry" avrebbero finora raccolto a malapena l'equivalente di 50mila dollari in Bitcoin, nonostante siano riusciti ad infettare oltre 200mila computer in mezzo mondo. Lo riporta Cnbc citando l'amministratore delegato di Elliptic, James Smith, una start up di Londra che effettua consulenze alle agenzie governative sul tracciamento dell'utilizzo illecito della criptovaluta.
Un'offensiva 'senza precedenti', sulla quale è necessaria un'indagine internazionale: è stato questo, secondo l'Europol, l'attacco hacker che ha colpito 99 Paesi in tutto il mondo. "Europol sta aiutando i Paesi, l'attacco di #Ransomware è a livelli senza precedenti e richiede un'indagine internazionale", si legge in un post di Europol su Twitter.
Il centro europeo di cybercriminalità "collabora con le unità omologhe dei Paesi colpiti e con i principali partner commerciali per attenuare la minaccia e assistere le vittime", si legge in una nota.
Intanto la giustizia francese ha aperto un'indagine con le accuse di intrusione nei sistemi di trattamento automatizzato di dati, ostacolo al loro funzionamento, estorsione e tentata estorsione. Delle indagini è incaricato il servizio della polizia specializzato in tecnologie informatiche e comunicazioni (OCLCTIC, cioè Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication).
"Ancora non possiamo dire chi c'è dietro l'attacco hacker", ma le indagini proseguono per individuare i responsabili, ha dichiarato il ministro dell'Interno inglese, Amber Rudd, alla Bbc radio, dopo che l'attacco, attraverso il virus Wannacry (Voglio piangere), ha messo fuori uso i pc delle strutture sanitarie pubbliche inglesi come i computer di FedEx, fino ai server della telco spagnola Telefonica. Sui monitor una schermata annunciava: "I tuoi dati saranno perduti per sempre se non paghi un riscatto di 300 dollari".
La ministra ha riferito che il National Cyber Security Center britannico è al lavoro con il servizio sanitario nazionale per assicurare che l'attacco abbia conseguenze contenute, mentre l'agenzia nazionale per la criminalità indaga per individuare chi c'è dietro.
Rudd, ha riferito che il governo ha raccomandato agli ospedali e ai centri sanitari colpiti di non pagare il riscatto chiesto dal software per recuperare i dati. "Il nostro consiglio è chiaro, non pagare", ha detto la ministra Tory, ricordando che le strutture sanitarie che conservano dati clinici dei loro pazienti devono tenere aggiornati i loro sistemi informatici per "non cadere nella trappola" di un attacco hacker.
"Finora tutto quello che abbiamo visto è che i pazienti hanno subito inconvenienti e alcuni ospedali e alcuni dottori sono stati costretti a cambiare la loro agenda della giornata". Il ministro ha aggiunto che il virus in questione "funziona particolarmente bene con sistemi interconnessi, per questo è probabile che abbia coinvolto grandi organizzazioni, più che individui". Rudd ha assicurato che "non sono state trasferite informazioni sui pazienti in nessun momento", ma ha aggiunto che l'accaduto deve servire ai gestori dei sistemi informatici della sanità pubblica perché "imparino" la lezione e tengano aggiornato il software con cui lavorano.
Quello che è certo è che per la sanità della Gran Bretagna si preannuncia un weekend di caos: migliaia di operazioni sono state annullate, i servizi sono stati sospesi, le ambulanze dirottate verso indirizzi sbagliati. Moltissimi pazienti sono in una sorta di limbo: a quelli non gravi è stato chiesto di tenersi lontani dagli ospedali, quelli con necessità più serie vengono dirottati verso ospedali i cui computer funzionano ancora.
Problemi per impianto Nissan in Gb. L'impianto di produzione della Nissan a Sunderland, nel nordest dell'Inghilterra, è stato colpito dal virus informatico. Lo riferisce un portavoce della ditta automobilistica giapponese, aggiungendo che "le nostre squadre sono al lavoro per risolvere la questione". Il portavoce si è rifiutato di confermare le notizie di stampa secondo cui la produzione del sito sarebbe stata fermata. Nell'impianto di Sunderland lavorano 7mila persone.
Al G7 si parla di cyber crime. Dei rischi legati agli attacchi informatici si parla anche al G7delle Finanze a Bari: "Siamo d'accordo su molte cose, sulla riforma delle banche multiregionali di sviluppo e sulla lotta al cyber crime, che è molto attuale", ha dichiarato il ministro dell'Economia, Pier Carlo Padoan, entrando al Castello Svevo per la giornata conclusiva del vertice.
Renault ferma impianti. L'attacco hacker ha colpito anche la Renault, ha fatto sapere oggi il management della casa automobilistica, prima impresa in Francia a confermare di essere stata interessata dall'azione dei pirati informatici. "Siamo stati colpiti", ha detto una portavoce di Renault, spiegando che da ieri i tecnici sono al lavoro per cercare una soluzione. "Stiamo facendo il necessario per reagire a questo attacco", ha aggiunto. Per evitare la propagazione del virus informatico il primo costruttore automobilistico francese è stato costretto a fermare alcuni impianti di produzione. Fra questi, secondo quanto si apprende, la fabbrica di Sandouville, in Normandia, che riaprirà lunedì.
In Germania colpite ferrovie. Anche i sistemi informatici di Deutsche Bahn, la società ferroviaria della Germania, sono stati colpiti dal cyber attacco. In una nota, la società riferisce che i servizi dei treni non ne hanno risentito, ma che hanno avuto problemi alcuni pannelli elettronici nelle stazioni per la segnalazione di arrivi e partenze. Anche in questo caso, nei computer colpiti compare una richiesta di pagamento di un riscatto in Bitcoin per potere nuovamente avere accesso al sistema. Il ministro dell'Interno tedesco, Thomas de Maiziere, ha riferito che i sistemi informatici del governo invece non sono stati infettati.
Assalto mondiale. E sono saliti a 99 i Paesi colpiti dall'attacco pirata: tra essi ci sono anche la Russia e la Cina, riferisce la BBC online, sottolineando come tra i siti più colpiti ci sia quello del sistema nazionale britannico della Sanità. La società di sicurezza informatica Avast parta di circa 75 mila casi di siti infestati in tutto il mondo.
Telegraph: "Virus rubato da russi". Ci potrebbe essere un gruppo di hacker con collegamenti con la Russia dietro l'attacco. Un gruppo che rubò il virus agli 007 americani all'indomani del raid aereo statunitense in Siria, forse come rappresaglia per il bombardamento ordinato dal presidente Donald Trump nella base aerea siriana.
A sostenere questa tesi è il quotidiano britannico Telegraph: ad aprile, la misteriosa organizzazione criminale Shadow Brokers rese noto di aver rubato un' 'arma digitale' da un'agenzia di spionaggio americana, un'arma che dava un accesso senza precedenti a tutti i computer che usano Microsoft Windows, il sistema operativo più diffuso al mondo.
Eternal Blue, il tool rubato da Shadow Brokers, era stato messo a punto dalla National Security Agency (Nsa), la potente unità di intelligence militare americana, che lo aveva voluto per introfularsi nei computer di terroristi e Stato nemici. Ma proprio quello strumento inaspettatamente gli fu rubato. I pirati scaricarono il virus su un oscuro sito web il 14 aprile, appena una settimana dopo che Trump aveva ordinato il bombardamento della base siriana, da cui erano partiti i raid con l'attacco chimico nella provincia di Idlib.
Ebbene, secondo gli esperti, questa tempistica è significativa e indica che Shadow Brokers ha legami con il governo russo. Sei giorni prima, con un inglese stentato, l'8 aprile, un giorno dopo l'attacco, Shadow Brokers aveva messo in guardia il presidente Trump: "Che c.....stai facendo? Shadow Brokers ha votato per te, ti sostiene. Shadow Brokers ha perso fiducia in te. Mr Trump sta aiutando Shadow Brokers, aiutandoti. Ora sembra che tu stia abbandonando 'la tua base', il 'movimento', la gente che ti ha eletto".
Eternal Blue, una volta scaricato da Shadow Brokers, è entrato in possesso di qualcuno che lo ha utilizzato per guadagnare l'accesso remoto ai computer di mezzo mondo. Gli Usa non hanno mai confermato che gli strumenti utilizzati da Shadow Brokers appartenessero all'Nsa o ad altre agenzie di intelligence americane; ma ex agenti hanno confermato che ha tutte le caratteristiche di quelli messi a punto dall'unità dell'Nsa, che si infiltra nelle reti di computer all'estero, l'unità dedicata alle 'Tailored Access Operations', alle operazioni mirate. Di certo l'attacco di venerdì solleva interrogativi sui Paesi che, in numero sempre più crescente, mettono a punto e conservano armi informatiche; e inoltre punta l'indice sulla facilità con cui questi strumenti possano essere trafugati e utilizzati contro i cittadini.
Osservatorio Information Security & Privacy: "Siamo tutti sotto assedio". L'attacco hacker "dimostra che oggi siamo tutti sotto assedio", afferma Alessandro Piva, direttore dell'Osservatorio Information Security & Privacy del Politecnico di Milano. Quello di ieri è un attacco che rientra in una tipologia sempre più comune: "Secondo l'Internet Security Threat Report 2017 di Symantec le famiglie di ransomware sono aumentate da 30 a 101 dal 2015 al 2016 e i rilevamenti passati da 340.000 a oltre 460.000". È aumentato anche il 'riscatto' medio richiesto per rientrare in possesso dei propri dati, in crescita da 294 dollari a 1.077 nel giro di un anno", osserva l'esperto. "Questo attacco, che probabilmente ha sfruttato una vulnerabilità presente in sistemi più datati, impressiona per l'estensione nel giro di poche ore".
Con la pubblicazione, a settembre 2015, delle Norme UNI EN ISO 14001:2015 (Sistema di Gestione Ambientale) e 9001:2015 (Sistema di Gestione per la Qualità) è iniziato un processo di revisione e di adeguamento di tutto il panorama delle norme sui Sistemi di Gestione (Management System Standard) ad una Struttura di Alto Livello (HLS).
Tale struttura garantisce una sostanziale compatibilità tra i diversi sistemi di gestione, favorendo una cultura “globale” della gestione aziendale che tenga conto, in un panorama di piena integrazione, dei differenti aspetti che caratterizzano la vita e i processi di business di un’organizzazione, di un’azienda, di un’impresa.
A settembre 2018 nessun certificato emesso in conformità alle norme UNI EN ISO 14001:2004 e 9001:2008 avrà più valore.
Entro tale data le organizzazioni già certificate dovranno provvedere alla transizione.
Per quanto riguarda la norma OHSAS 18001:2007 (Sistema di Gestione per la Salute e Sicurezza nei luoghi di Lavoro), il processo di revisione è in atto e gli orizzonti di pubblicazione della nuova norma (ISO 45001) sono fissati a fine 2017 – inizi 2018.
Gruppo Errepi Srl offre ai propri clienti, già certificati o decisi ad affrontare un PERCORSO DI CERTIFICAZIONE 14001:2015 e/o 9001:2015, supporti e strumenti per la transizione al nuovo panorama normativo, nella definizione di:
- Analisi di contesto
- Identificazione delle parti interessate rilevanti e dei loro requisiti
- Analisi dei rischi e delle opportunità
- Applicazione del risk-based thinking
- Definizione, monitoraggio, analisi e valutazione degli Indicatori di performance dell’organizzazione.
Per i clienti interessati ai SISTEMI DI GESTIONE PER LA SALUTE E SICUREZZA NEI LUOGHI DI LAVORO, Gruppo Errepi Srl offre consulenza per la definizione, l’applicazione, il mantenimento di sistemi conformi alla norma OHSAS 18001:2007, orientando tuttavia gli interventi ai nuovi requisiti della Struttura di Alto Livello che caratterizzerà la futura norma ISO 45001.
Gruppo Errepi Srl guiderà i propri clienti a considerare il valore aggiunto derivante dalla scelta di definire e applicare Sistemi di Gestione Integrati Qualità – Ambiente – Sicurezza, che rappresentino un plus importante nello sviluppo della cultura gestionale dell’organizzazione.
Il processo di transizione considera anche l’aspetto fondamentale della valorizzazione delle “persone” che rappresentano il patrimonio di conoscenze che supporta il successo durevole di un’organizzazione.
Gruppo Errepi Srl offre specifici PERCORSI DI FORMAZIONE per lo sviluppo di una profonda consapevolezza delle persone che lavorano sotto la Direzione dell’organizzazione, a garanzia di una partecipazione attiva delle stesse nell’applicazione concreta dei sistemi di gestione.
A distanza di diciannove anni dall'entrata in vigore – 8 maggio 1997 – della prima legge italiana in materia di privacy, lo scorso 4 maggio 2016 è stato pubblicato in Gazzetta Ufficiale Europea il Regolamento UE n. 2016/679 (in seguito anche il "Regolamento"), il quale entrerà in vigore il prossimo 25 maggio.
Tale Regolamento si inserisce all'interno di quello che, insieme alla Direttiva 2016/680, è stato definito il "Pacchetto europeo protezione dati".
Gli Stati membri ad ogni modo, sebbene il Regolamento, in quanto tale, non abbia bisogno di recepimento, hanno due anni per adeguare le proprie normative interne nonché, le aziende, per essere sensibilizzate alle novità introdotte.
Ciò, anche in considerazione del fatto che il Regolamento attribuisce alla Commissione europea il potere di adottare atti delegati e di esecuzione, al fine di rendere operativa la disciplina, ma lascia ai legislatori nazionali la facoltà di introdurre, a seconda delle circostanze, norme nazionali ad hoc.
Le novità introdotte con il Regolamento riguarderanno, dal punto di vista delle aziende (i c.d. "titolari" del trattamento dei dati personali) tutte quelle che – salvo qualche eccezione, una in particolare di cui si dirà tra breve, relativamente alle aziende medio e piccole – avendo uno stabilimento all'interno dell'UE, trattano dati personali, indipendentemente dal fatto che il trattamento sia effettuato nell'UE stessa.
Dal punto di vista, invece, delle persone fisiche – i c.d. "interessati" al trattamento dei propri dati – la nuova normativa si applicherà a tutti i soggetti presenti nell'UE anche quando, sebbene l'azienda titolare del trattamento non abbia uno stabilimento in territorio UE, il trattamento stesso riguardi (i) l'offerta di beni o la prestazione di servizi ai soggetti interessati o (ii) il monitoraggio del loro comportamento, nella misura in cui tale comportamento abbia luogo all'interno dell'UE.
Ma veniamo ora ad analizzare, nel dettaglio, alcune delle novità di maggior rilievo.
Tra le prime, merita sicuramente attenzione particolare una nuova figura – e professionalità – che va ad affiancarsi alla nomenclatura già conosciuta nel nostro Codice Privacy, ovvero al "titolare", al "responsabile" e all' "incaricato" del trattamento dei dati.
Tale nuova figura è quella del c.d. Data Protection Officer ("DPO"), il "responsabile della protezione dei dati".
Il DPO dovrà essere obbligatoriamente presente all'interno di tutte (i) le aziende pubbliche nonché in tutte quelle ove i trattamenti presentino specifici rischi, come ad esempio (ii) le aziende nelle quali sia richiesto un monitoraggio regolare e sistematico degli "interessati", su larga scala, e quelle (iii) che trattano i c.d. "dati sensibili".
Le società facenti parte di uno stesso gruppo, a livello nazionale o transfrontaliero, potranno nominare un unico DPO, a condizione che lo stesso sia facilmente raggiungibile da ciascuna società del gruppo stesso.
Il DPO, inoltre, potrà essere un dipendente della società titolare del trattamento o, in alternativa, assolvere i propri compiti in base ad un contratto di servizi. Ad ogni modo, ogni azienda dovrà rendere noti i dati del proprio DPO – il quale dovrà essere contattabile da tutti i soggetti "interessati" – nonché comunicarli al locale "Garante per la protezione dei dati personali".
Interessante, poi, il ruolo che il Regolamento destina al DPO. Leggendo l'art. 38, comma 3, si intuisce come il responsabile della protezione dei dati potrà avere, all'interno dell'azienda, una caratura che nulla avrà da invidiare a professionalità quali quella del CFO, o del General Counsel o HR Manager, in quanto, è stabilito, il DPO riferirà direttamente al CEO o comunque ai vertici gerarchici della società, senza intermediazioni, e con grande autonomia e indipendenza, rispetto agli altri dirigenti.
Per chiudere sul punto, ecco i principali compiti cui sarà adibito il DPO:
(i) informare e consigliare il titolare o il responsabile del trattamento, nonché i dipendenti, in merito agli obblighi derivanti dal Regolamento;
(ii) verificare l'attuazione e l'applicazione della normativa, oltre alla sensibilizzazione e formazione del personale e dei relativi auditors;
(iii) fornire, se richiesto, pareri in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliare i relativi adempimenti;
(iv) fungere da punto di contatto per gli "interessati", in merito a qualunque problematica connessa al trattamento dei loro dati nonché all'esercizio dei loro diritti;
(v) fungere da punto di contatto per il Garante per la protezione dei dati personali oppure, eventualmente, consultare il Garante di propria iniziativa.
Altra novità di rilievo, è l'introduzione dell'obbligo, per ogni azienda titolare del trattamento dei dati, di tenere un "registro delle attività di trattamento", svolte sotto la propria responsabilità, nonché quello di effettuare una "valutazione di impatto sulla protezione dei dati".
Quest'ultimo adempimento, in particolare, è richiesto ad esempio in relazione (i) ai trattamenti automatizzati, ivi compresa la profilazione, o con riguardo (ii) ai trattamenti su larga scala di categorie particolari di dati (sensibili), nonché relativamente ai dati ottenuti dalla sorveglianza sistematica, sempre su larga scala, di zone accessibili al pubblico. Sarà ad ogni modo il Garante Privacy (per quanto riguarda l'Italia), a redigere e rendere pubblico l'elenco delle tipologie di trattamenti soggetti al requisito della "valutazione di impatto sulla protezione dei dati".
Per chiudere sul punto si rileva come (ed ecco l'eccezione cui si è fatto riferimento in apertura) il comma 5 dell'art. 30 del Regolamento esoneri dagli adempimenti appena accennati le piccole e medie imprese, quelle dunque con meno di 250 dipendenti, a meno che, però, "…il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati (sensibili)…o i dati personali relativi a condanne penali…" (si vedrà come sarà interpretato ed applicato tale articolo, nella prassi).
Ancora, andando a concludere, il Regolamento:
(i) riconosce espressamente il "diritto all'oblio", ovvero la possibilità per l'interessato di decidere che siano cancellati e non sottoposti ulteriormente a trattamento i propri dati personali non più necessari per le finalità per le quali sono stati raccolti, nel caso di revoca del consenso o quando si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al Regolamento;
(ii) stabilisce il diritto alla "portabilità dei dati", in virtù del quale l'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti, qualora l'interessato abbia fornito il proprio consenso al trattamento o se questo sia necessario per l'esecuzione di un contratto;
(iii) sancisce il principio di "accountability", per cui il titolare dovrà dimostrare l'adozione di politiche privacy e misure adeguate in conformità al Regolamento;
(iv) introduce il principio della "privacy by design" (dal quale discende l'attuazione di adeguate misure tecniche e organizzative sia all'atto della progettazione che dell'esecuzione del trattamento) nonché quello della "privacy by default" (che ricalca il principio di necessità di cui all'attuale disciplina, stabilendo che i dati vengano trattati solamente per le finalità previste e per il periodo strettamente necessario a tali fini).
Infine, per quanto concerne il "sistema sanzionatorio", il Regolamento ha aumentato l'ammontare delle sanzioni amministrative pecuniarie, che potranno arrivare fino ad un massimo di 20 milioni di Euro o fino al 4% del fatturato mondiale totale annuo, lasciando peraltro ciascuno Stato membro libero di adottare norme relative ad altre sanzioni.
Vedremo dunque nel futuro, in concreto, come verrà recepito (meglio, percepito) questo nuovo impianto normativo all'interno di ciascuno Stato, in particolare da imprese e soggetti privati, pensando ad esempio che, se da una parte, come ben evidenziato da Giovanni Buttarelli (Garante europeo della protezione dei dati) l'introduzione di una nuova figura come quella del DPO "può creare spazi occupazionali e di mercato socialmente utile assai interessanti", dall'altro si tradurrà anche in costi ed oneri aggiuntivi per le aziende, le quali, si spera, cercheranno di sfruttare al meglio la neonata professionalità, dotandosi di virtuosi DPO in modo da massimizzare la resa di tale nuovo costo. Ad ogni buon conto, una rivelazione del Censis del 2013 registrava come il 96,2% degli italiani ritenesse la riservatezza un "diritto inviolabile" ed il 93% temesse di vedere attaccata la propria privacy on line; preoccupazione che si accompagnava ad una richiesta di regole di protezione più stringenti (per il 53% degli intervistati).
