DIRITTO DEI DATI E DELLA SICUREZZA INFORMATICA
Stefano Aterno, Lorella Rita Bianchi
Obiettivi formativi
Il laboratorio mira a fornire agli studenti una conoscenza essenziale e applicata del diritto dei dati e della sicurezza informatica, quale secondo segmento del percorso formativo progressivo dedicato al rapporto tra macchine intelligenti e diritto. L’insegnamento intende sviluppare la capacità di comprendere il ruolo dei dati, della loro protezione, condivisione e sicurezza nell’ecosistema digitale europeo, favorendo l’acquisizione di competenze giuridiche, tecniche e operative necessarie per valutare le implicazioni delle tecnologie digitali e dell’intelligenza artificiale.
Attraverso un approccio laboratoriale, fondato sull’analisi di casi, decisioni delle autorità, giurisprudenza rilevante e simulazioni, il corso affronta i fondamenti della protezione dei dati personali, con particolare riferimento al GDPR, ai principi del trattamento, alle basi giuridiche, ai diritti degli interessati, all’accountability e ai doveri del titolare. Il laboratorio introduce inoltre il quadro europeo della regolazione dei dati, con attenzione alla condivisione, al riuso, all’interoperabilità, agli spazi comuni europei di dati e ai rapporti tra protezione dei dati personali e nuove forme di governance dei dati. Una specifica parte del percorso è dedicata alla sicurezza informatica, alle principali minacce e contromisure, nonché alla logica regolatoria della direttiva NIS2.
L’obiettivo è formare giuristi capaci di interpretare criticamente e applicare operativamente le regole in materia di dati e cybersicurezza, comprendendo la complementarità tra protezione dei dati personali, governance dei dati e sicurezza informatica nel contesto dell’innovazione digitale.
Prerequisiti
Nessuno.
Risultati di apprendimento attesi
Conoscenza e capacità di comprensione: acquisire una conoscenza di base del diritto dei dati e della sicurezza informatica, comprendendo il ruolo della protezione, governance e sicurezza dei dati nell’ecosistema digitale europeo.
Conoscenza e capacità di comprensione applicate: applicare le conoscenze acquisite all’analisi di casi pratici, decisioni delle autorità, giurisprudenza e simulazioni, individuando le questioni giuridiche rilevanti in materia di dati e cybersicurezza.
Autonomia di giudizio: raccogliere, selezionare e interpretare fonti normative, provvedimenti, dati e informazioni rilevanti, valutando criticamente le implicazioni giuridiche, tecniche e organizzative delle tecnologie esaminate.
Abilità comunicative: comunicare in modo chiaro e appropriato problemi e soluzioni relativi alla protezione dei dati, alla governance dei dati e alla sicurezza informatica, utilizzando un linguaggio tecnico-giuridico adeguato.
Capacità di apprendere: sviluppare le competenze necessarie per proseguire autonomamente il percorso in materia di macchine intelligenti e diritto e per aggiornare le proprie conoscenze rispetto all’evoluzione tecnologica e normativa.
Contenuti Del Corso
Fondamenti di protezione dei dati
Panorama della normazione EU in materia di dati
Data Governance Act e Data Act (riuso, condivisione, intermediari e altruismo dei dati)
interoperabilità e Spazi comuni europei di dati
la proposta di Digital Omnibus
pseudonimizzazione e anonimizzazione
Fondamenti di sicurezza informatica
minacce e attacchi informatici tipici
fattori di rischio e contromisure di sicurezza fisica, logica e organizzativa
struttura e logica della direttiva NIS2
Testi Di Riferimento
Il materiale didattico è costituito dal contenuto delle lezioni impartite dal docente, relative dispense e altri materiali condivisi su MyLuiss.
Eventuali letture consigliate (obbligatorie per gli studenti non frequentanti!):
Per diritto dei dati:
Manuale sul diritto europeo in materia di protezione dei dati
https://fra.europa.eu/sites/default/files/fra_uploads/fra-coe-edps-2018-handbook-data-protection_it.pdf
Per diritto della Sicurezza Informatica:
G. Corasaniti, Sicurezza informatica e intelligenza artificiale. Rischio e resilienza nello spazio giuridico europeo, Giappichelli, 2025.
S. Aterno, Come la Cybersicurezza influenzerà la privacy, 2016
Come la (cyber)sicurezza influenzerà la privacy - Formiche.net
S. Aterno, La sicurezza come diritto di libertà e il ruolo della privacy nel prossimo futuro (2 luglio 2015)
https://www.stefanoaterno.eu/documenti-accademici/
Metodologie Didattiche
Apprendimento: lezioni frontali
Pratica: studio di casi e simulazioni
Indagine: analisi di idee e informazioni fra una gamma di materiali e risorse, utilizzando le banche dati giuridiche per raccogliere e analizzare dati e confrontare testi
Collaborazione: lavori in piccoli gruppi, discussione dei risultati altrui e proposta di risultati comuni
Discussione: seminari, discussioni di gruppo in classe
Produzione (eventuale): relazioni, presentazioni
Modalità di verifica dell'apprendimento
Il voto finale, espresso in 30/trentesimi e rilevante per la media generale, deriverà dalla valutazione delle seguenti voci secondo le rispettive percentuali:
75% valutazione dei lavori intercorso. Almeno due esercitazioni/simulazioni in aula con valutazione, secondo le seguenti modalità:
Esercitazione in aula con voto, consistente nella simulazione della risoluzione di un quesito giuridico sugli argomenti trattati nelle lezioni precedenti.
Simulazione di un caso pratico con diverse implicazioni (gli studenti dovranno affrontare un caso pratico di un attacco informatico divisi in gruppi ed esporre poi al docente il fatto, le conseguenze, le norme rilevanti applicabili e le soluzioni adottate).
Il docente interrogherà gli studenti di ogni gruppo ponendo domande sia al gruppo sia ai singoli e attribuirà un voto che sarà valido come voto dell’esonero.
10% partecipazione attiva in aula
15% esame finale orale
Criteri per l’assegnazione dell’elaborato finale
---
Settimana 1
Inquadramento sistematico della materia.
Dal diritto alla riservatezza al diritto alla protezione dei dati personali.
Quali implicazioni per i dati e le informazioni personali: innovazione, nuove tecnologie e futuro digitale
Le norme internazionali ed europee
Le norme nazionali
Il rapporto con gli altri diritti e libertà fondamentali
Settimana 2
Definizioni e soggetti
• tipologie di dati
• operazioni di trattamento
• soggetti del trattamento (titolare, responsabile, responsabile della protezione dei dati (DPO), contitolari, sub-responsabile, autorizzato al trattamento, interessati)
Pronunce giurisprudenziali rilevanti (a titolo esemplificativo): Tribunale civile di Prato, sentenza n. 665 del 19 agosto 2024
Settimana 3
Principi del trattamento
liceità, correttezza e trasparenza del trattamento
protezione dei dati by design e by default
trasparenza
limitazione delle finalità
minimizzazione dei dati
esattezza, limitazione della conservazione e sicurezza
responsabilizzazione e accountability
Settimana 4
Diritti degli interessati
diritto di essere informato e diritto di accesso
diritto di rettifica
diritto alla cancellazione (focus su diritto all’oblio)
diritto alla limitazione del trattamento
diritto alla portabilità
diritto di opposizione
diritti contro il processo decisionale automatizzato, compresa la profilazione.
Analisi di provvedimenti rilevanti del Garante per la protezione dei dati personali e/o di pronunce giurisprudenziali, tra i quali (a titolo esemplificativo):
CGUE, C-131/12, Google Spain SL e Google Inc. c. Agencia Española de Protección de Datos (AEPD), Mario Costeja González [GC], 13 maggio 2014
Provv. GPDP n. 505 del 13/12/2018, doc. web n. 9075345
Cass. 22 giugno 1985, n. 3769 (caso Veronesi)
Settimana 5
Esercitazione in aula con voto, consistente nella simulazione della risoluzione di un quesito giuridico sugli argomenti trattati nelle lezioni precedenti.
Settimana 6
Condizioni di liceità del trattamento (focus su consenso e legittimo interesse).
La direttiva e-Privacy e la disciplina in materia di cookie e altri strumenti di tracciamento
Analisi di provvedimenti rilevanti del Garante per la protezione dei dati personali e/o di pronunce giurisprudenziali, tra cui (a titolo esemplificativo):
CGUE, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde c. Rīgas pašvaldības SIA «Rīgas satiksme», 4 maggio 2017
Settimana 7
Concetti di sicurezza e di sicurezza informatica. Concetti di base e visione d'insieme.
La sicurezza cibernetica come funzione essenziale nel Sistema Paese.
Ambito europeo e nazionale.
Casi pratici che hanno determinato negli ultimi decenni un cambio di approccio della sicurezza informatica degli Stati sovrani.
Minacce e attacchi informatici tipici, fattori di rischio e contromisure di sicurezza fisica, logica e organizzativa (segue)
Settimana 8
Minacce e attacchi informatici tipici, fattori di rischio e contromisure di sicurezza fisica, logica e organizzativa (segue).
La regolamentazione normativa della Cybersecurity in Europa e in Italia. Principi e obblighi fondamentali delle diverse normative in materia di Sicurezza informatica (prima parte):
misure di sicurezza Art. 32 Regolamento europeo sulla protezione dei dati personali e principi applicabili. Casi pratici;
il Data Breach Art. 33 e 34 GDPR. Casi pratici
Settimana 9
La regolamentazione normativa della Cybersecurity in Europa e in Italia. Principi e obblighi fondamentali delle diverse normative in materia di Sicurezza informatica. Casi pratici (seconda parte):
direttiva NIS2 e Decreto legislativo n. 138/2024 (struttura e logica della direttiva NIS2);
il Cyber Resilience Act (Regolamento (UE) 2024/2847) relativo agli standard obbligatori di sicurezza informatica e gestione delle vulnerabilità per tutti i prodotti hardware e software venduti nell'Unione europea;
brevi cenni su DORA (Digital Operational Resilience Act) Regolamento dell'Unione Europea (Regolamento UE 2022/2554) sul rafforzamento della resilienza nel settore finanziario;
brevi cenni su Direttiva CER (Critical Entities Resilience Directive) norme sulla sicurezza e la resilienza delle infrastrutture critiche.
Settimana 10
Sicurezza e Intelligenza artificiale. Art. 15 (AI ACT- Regolamento europeo sull’Intelligenza Artificiale) Sicurezza dell’IA e nell’IA.
Il caso dei sistemi di IA della classe Mythos, Fable 5, ChatGPT Cyber e altri.
Quali obblighi di sicurezza e quali misure di sicurezza per chi utilizza sistemi di intelligenza artificiale.
Settimana 11
Come si gestiscono gli attacchi informatici e gli incidenti di sicurezza: obblighi e procedure per imprese, enti e pubbliche amministrazioni.
Le istituzioni e le Autorità competenti nel settore della Sicurezza dei dati e delle informazioni.
Illustrazione di casi reali di attacchi informatici con le diverse implicazioni e i diversi impatti sui servizi, sulle infrastrutture critiche e sui dati.
Analisi di casi reali e simulazioni di attacchi informatici in aula e partecipazione attiva degli studenti.
Settimana 12
Caso pratico/esonero con voto: simulazione di un caso reale con diverse implicazioni (gli studenti dovranno affrontare un caso pratico di un attacco informatico divisi in gruppi ed esporre poi al docente il fatto, le conseguenze, le norme rilevanti applicabili e le soluzioni adottate).
Il docente interrogherà gli studenti di ogni gruppo ponendo domande sia al gruppo sia ai singoli e attribuirà un voto che sarà valido come voto dell’esonero.