Le aziende e i professionisti non hanno più scuse per rimandare l’applicazione in maniera puntuale, efficace ed efficiente delle nuove disposizioni in materia di privacy e protezione dei dati personali: è arrivato il momento di adeguarsi al GDPR e passare dalla teoria alla pratica.
Il Regolamento Europeo 679/2016 è pienamente applicato da diversi mesi e la normativa nazionale (Codice Privacy, D.lgs. 196/03) è stata adeguata mediante il D.lgs. 101/18 ed è entrata in vigore il 19 settembre scorso.
In particolare, il titolare e i responsabili di trattamento, per quanto riguarda la gestione dei dati e dei sistemi, devono:
- analizzare/valutare i rischi per i diritti e le libertà fondamentali degli interessati;
- individuare, attivare misure di sicurezza in grado di assicurare la riservatezza, l’integrità, la disponibilità e la resilienza dei trattamenti eseguiti;
- monitorare e controllare che le citate misure restino attive ed efficaci nel tempo;
- mantenere evidenze per documentare l’attività svolta e la qualità delle valutazioni eseguite.
L’attività sopra indicata è sicuramente complessa, in particolare per aziende con numerosi trattamenti e asset da gestire; non deve essere considerata solo come obbligo di legge, ma deve rappresentare un punto di partenza fondamentale per una corretta gestione dei dati e dei rischi potenzialmente derivanti.
L’eventuale perdita dei dati, nella maggior parte dei casi, provoca gravi danni d’immagine e molto spesso la chiusura totale dell’azienda.
La normativa rappresenta quindi un’opportunità ed uno stimolo per verificare le modalità di gestione applicate, definire un modello organizzativo e un codice di condotta (politiche, processi, regole/disposizioni e controlli) in grado di migliorare i processi interni, definire e raggiungere gli obiettivi desiderati, assicurare la protezione di dati e sistemi con la corretta gestione e valutazione dei rischi.
Indice degli argomenti
GDPR, dalla teoria alla pratica: da dove partire
È sempre indispensabile conoscere e capire l’ambito dell’analisi (attività eseguite, dati trattati, flussi I/O, processi e controlli applicati).
Allo scopo, per ogni attività eseguita possiamo inserire nel registro dei trattamenti (imposto dall’articolo 30 dal Regolamento UE), oltre ai dati richiesti dalla normativa, indicazioni sul contesto e sulle caratteristiche principali del trattamento, quali:
- descrizione delle finalità, liceità/necessità ed esigenze/certificazioni;
- modalità di gestione e principali misure di sicurezza applicate (crittografia, salvataggi);
- tipologia, pertinenza e quantità dei dati trattati, durata della conservazione, presenza di decisioni automatiche o profilazione degli interessati, trasferimenti in paesi terzi;
- categorie degli asset utilizzati (sistemi informatici/archivi, personale/collaboratori);
- organigramma, responsabilità e riferimenti dei titolari e dei responsabili (interni e esterni);
- relazioni relative ai controlli eseguiti;
- obblighi a cui è sottoposta l’organizzazione (azienda, ente o associazione).
Dalla raccolta informatizzata delle caratteristiche relative ai trattamenti eseguiti, è possibile effettuare (rapidamente e automaticamente) una prima individuazione dei trattamenti maggiormente esposti a rischi (per i diritti e le libertà degli interessati) a fronte dell’eventuale perdita di:
- riservatezza,
- integrità,
- disponibilità,
- resilienza,
oltre ad altri rischi di tipo economico (al lordo e/o al netto delle contromisure applicate). Per esempio, consideriamo un trattamento a rischio alto quando sono trattati dati “particolari” (sensibili, biometrici o genetici) senza criptare e/o senza anonimizzare i dati, oppure quando un trattamento di dati personali su larga scala, con stringenti esigenze di continuità/disponibilità, utilizza sistemi non sicuri e con gravi non conformità di gestione.
L’assegnazione di un primo punteggio di valutazione del rischio potenziale consente l’individuazione dei trattamenti su cui focalizzare prioritariamente l’attenzione e svolgere analisi dei rischi e verifiche approfondite e se del caso procedere con la valutazione d’impatto sulla protezione dei dati (DPIA) e con l’eventuale consultazione preventiva all’Autorità di controllo, nei termini indicati dalla Sezione 3 del GDPR, agli artt. 35 e 36.
Analisi dell’adeguatezza delle misure di sicurezza
Prima di dare inizio a una nuova attività che prevede il trattamento di dati personali, è indispensabile:
- aggiornare il registro dei trattamenti, allo scopo è necessario designare un responsabile interno e definire il processo di gestione/approvazione da applicare;
- eseguire l’analisi preventiva per la conformità delle modalità di gestione e delle misure di sicurezza applicate agli asset utilizzati.
Dall’analisi dei dati inseriti nel registro dei trattamenti si ha una prima assegnazione del livello di rischio. In presenza di rischi elevati è necessario individuare specifiche contromisure di protezione, coinvolgere nell’analisi il DPO e, se gli stessi permangono, coinvolgere l’Alta Direzione per l’eventuale accettazione.
Controllo e monitoraggio dei rischi
I rischi e i processi di gestione non conformi agli standard o non adeguati alla normativa vengono individuati tipicamente dai controlli eseguiti (occasionali/pianificati, tecnici o di processo).
Esistono diversi standard, con specifiche check list, che possiamo prendere come riferimento (ISO27001, COBIT, PCI: la bibliografia in argomento è molto ampia): la scelta su quale utilizzare dovrà essere adeguata agli asset sottoposti al controllo, alla tipologia e all’importanza del trattamento.
Per esempio, i controlli relativi ai processi di gestione per i sistemi informatici sono sicuramente molto diversi dalla valutazione del rischio sismico di uno stabile, così come i controlli fatti sul personale sono diversi tra dipendenti, collaboratori o fornitori di servizio e diversificati in funzione delle attività eseguite.
Inizialmente possiamo inserire check list ridotte/minime per avviare il processo/modello di gestione e migliorarle nel tempo con questionari più ampi e tecnicamente qualificati.
Tutte le organizzazioni svolgono ogni anno molteplici controlli. Spesso, però, vengono eseguiti solo per rispondere ad una specifica finalità, a un obbligo e/o sono necessari per ottenere una certificazione: non vengono presi in considerazione nella valutazione dei rischi dei trattamenti eseguiti.
L’individuazione di una nuova non conformità grave, rilevata ad esempio nella gestione di un sistema informatico (mancato aggiornamento del sistema operativo o la mancanza di regole e controlli), deve fare aumentare il livello di rischio dei trattamenti svolti su quella tipologia di asset, se non sono state immediatamente attivate specifiche contromisure di attenuazione/monitoraggio del tipo di rischio.
È grave non considerare nella valutazione dei rischi le minacce rilevate e/o gli incidenti accaduti per i quali non siano state attivate contromisure di attenuazione. Importante, quindi, è riuscire ad avere l’evidenza dei risultati di tutti i controlli eseguiti nell’organizzazione, degli incidenti accorsi e dei relativi piani di adeguamento, mantenendo in archivio la documentazione storica derivante.
La rilevazione di nuovi rischi nel trattamento dei dati, come nel processo di privacy by design, deve essere comunicata tempestivamente al DPO e compensata rapidamente da adeguate contromisure.
Il cosiddetto “ciclo di Deming” (Plan–Do–Check–Act, in italiano: pianificare–fare–verificare–agire in continuo) è alla base di un corretto processo di gestione e controllo sia per il rispetto della normativa GDPR, sia per il miglioramento continuo dell’attività svolta dall’organizzazione e delle misure di sicurezza applicate.
Possiamo quindi dire che l’applicazione della normativa GDPR aiuta la corretta gestione dell’attività? Oppure, possiamo dire che un’attenta gestione facilita il rispetto del GDPR? La domanda è chiaramente retorica (chi è nato prima, l’uovo o la gallina?): rileviamo, comunque, che l’adeguamento dei processi di gestione alla normativa rappresenta una grossa opportunità per rivedere, aggiornare, migliorare i processi interni e gli strumenti di gestione utilizzati.
Un modello di gestione e automazione dei processi
L’Autorità di controllo ha emanato ultimamente delle semplificazioni nella tenuta del registro dei trattamenti per PMI e la raccolta dei dati suggerita potrebbe sembrare non giustificata.
Abbiamo visto, però, che una corretta gestione e la valutazione dei rischi, deve considerare tutte le attività di trattamento eseguite e moltissime informazioni, per essere credibile.
La conoscenza, la raccolta di documentazione e l’interscambio delle informazioni all’interno dell’organizzazione, con un processo di gestione controllato, è indispensabile anche se non richiesta dalla normativa.
Il classico foglio Excel aggiornato manualmente, per organizzazioni complesse, non è più sufficiente, per gestire problematiche così articolate. È indispensabile, in questi casi, attivare un sistema informatico che possa facilitare la definizione del work flow operativo dei processi interni e che possa coinvolgere nelle valutazioni l’intera struttura, mantenendo traccia di quanto eseguito. In poche parole, applicare al GDPR il modello Business Process Security Management (BPSM).
L’attivazione di un sistema informatico per la gestione dei processi di gestione della sicurezza aziendale facilita certamente:
- la raccolta e l’archiviazione dei documenti relativi ai trattamenti (es: contratti e evidenze storiche);
- l’applicazione di iter approvativi;
- il coinvolgimento, tracciato, del DPO e dei responsabili;
- l’organizzazione e la gestione dei piani di audit/controlli, dei follow-up e delle revisioni periodiche;
- la raccolta dei documenti utili alle certificazioni;
- la gestione dei piani di miglioramento e delle richieste d’implementazione;
- l’adozione di nuovi processi operativi e di eventuali codici di comportamento;
- la comunicazione e la gestione di potenziali rischi e degli incidenti;
- l’analisi dei rischi per trattamento/settore di attività/controparte;
- la lavorazione dei contratti con i clienti/fornitori;
- il monitoraggio delle varie fasi con un cruscotto personalizzabile per attività;
- formazione del personale;
- l’applicazione ed il controllo dei codici di condotta definiti.
Questo elenco non esaustivo dei punti di miglioramento, giustifica l’impegno per la raccolta delle informazioni e ci consente di prevedere nel medio periodo un miglioramento notevole dei processi di gestione della sicurezza e della qualità dei processi.
