Responsabilità [per il GDPR "accountability"] è il principio cardine attorno a cui si sviluppa tutto il GDPR.
Non basta adeguarsi, ma bisogna mantenersi "compliant" [conformi] al regolamento anche con il passare del tempo.
Ecco un utile vademecum con tutti i passaggi da compiere per non sbagliare, in particolare nella revisione e aggiornamento del Sistema di gestione privacy.
Per responsabilizzazione il GDPR intende non solo l'obbligo di conformarsi ai singoli adempimenti ma, soprattutto, di adottare un vero e proprio sistema di gestione privacy, un abito su misura cucito su ogni azienda, che renda i propri trattamenti conformi alla normativa.
Per far si che la conformità sia effettiva, deve però aggiungersi un ulteriore e fondamentale dovere: quello di essere in grado di “darne conto”, ovvero di dimostrare l’adeguatezza delle misure di sicurezza impiegate, soprattutto attraverso un riesame e aggiornamento delle stesse.
Tutte le misure tecniche e organizzative che vengono messe in atto, dovranno comprendere “una procedura per testare, verificare e valutare regolarmente” [arl. 32 gdpr] l’efficacia delle sesse misure per poterne garantire la sicurezza del trattamento.
La compliance alla normativa sulla data protection, infatti, non si esaurisce con la prima implementazione delle attività di adeguamento, ma presuppone un processo dinamico, che richiede di non fermarsi alla mappatura dello status quo dell’azienda oggi conforme al GDPR, ma che impone di mantenere tale conformità attuale nel tempo. L’efficacia di una tale revisione non va data per scontata, ma richiede, anzi, di tenere in considerazione molteplici fattori, che possono essere raggruppati in categorie.
L'aggiornamento del sistema di gestione privacy e della relativa documentazione (informative, procedure, atti di nomina, etc.) è necessario in primo luogo quando vi sono novità normative o giurisprudenziali: nuove norme, linee guida, sentenze, ecc.
Ad esempio è quello che succederà per il Regolamento e-Privacy che sostituirà la direttiva 2002/58/CE. Oppure come già avvenuto con le modifiche determinate dal D. Lgs. 101/2018 in relazione al Codice della Privacy. Oppure ancora quando intervengono sentenze, pronunce dei tribunali oppure di provvedimenti del Garante.
Ogni singola azienda dovrà, di conseguenza, verificare quale sarà l'impatto sulle sue attività di trattamento.
Quotidianamente nelle aziende possono essere prese delle decisioni che impattano sul trattamento di dati personali: dal cambio di modalità di gestione delle risorse umane all’adozione di nuove strategie di marketing, dall’inserimento di un form nel proprio sito web alla sostituzione di un fornitore, fino all’innovazione dei propri modelli di business.
Ad esempio la sostituzione o i nuovi inserimenti di personale. In questi casi esiste l'obbligo di garantire che tutti coloro che trattano dati in azienda sotto l’autorità del titolare siano adeguatamente formati per farlo ai sensi dell’art. 29 del GDPR.
Altri esempi possono riguardare la sostituzione dei PC o l'introduzione di nuovi software, la istallazione di un sistema di videosorveglianza, l'adozione di sistemi di controllo degli accessi [timbra cartellini, autenticazioni con impronta, ecc]
Sono rilevanti e determinano la necessità di revisione anche lo spostamento di archivi cartacei da un contenitore, da una stanza, o da un edificio a un altro, ad esempio per quanto riguarda l’affidabilità delle misure fisiche di protezione approntate.
Testare, verificare e valutare l’efficacia delle misure tecniche e organizzative è tanto più importante quando emergono segnali evidenti che il sistema di gestione dei dati adottato in azienda non è sufficientemente idoneo rispetto a quanto il Regolamento prescrive, e richiede degli opportuni aggiustamenti.
Un primo caso può essere quello in cui l’azienda subisca una violazione di dati o un incidente di sicurezza: sia che tale incidente ["data breach"] sia determinato da un errore umano, sia che dipenda da uno stumento informatico inadeguato, è necessario intervenire con degli interventi correttivi che, peraltro, il Garante richiede di indicare nella comunicazione di notifica della violazione da effettuare ai sensi dell’art. 33 del GDPR.
Così, ad esempio, può essere indicato acquistare un software privacy by design compliant per sostituire un programma informatico che non lo è e che ha causato l’incidente di sicurezza, ad esempio consentendo l’accesso da parte di tutte le risorse umane a dati che avrebbero dovuto essere trattati solo da alcuni dipendenti.
Dall’altro lato può essere appropriato ripetere la formazione del personale quando il data breach si è verificato perché uno o più dipendenti non hanno seguito le istruzioni operative precedentemente fornite dal titolare, ponendo in essere comportamenti che hanno causato violazioni di dati.
Ciò può riguardare l’ambito organizzativo, come nel caso in cui essi abbiano comunicato illegittimamente informazioni o abbiano omesso di chiudere a chiave un archivio o di far rispettare la distanza di cortesia.
Ma può riguardare anche l’uso degli strumenti informatici, che aprono l’azienda a delle vulnerabilità quando, ad esempio, il lavoratore installa erroneamente software malevoli nel sistema informatico aziendale.
Come fare? Quali sono le attività da svolgere per la revisione e l’aggiornamento del Sistema di gestione privacy?
Quello che trovate di seguito è un elenco delle attività che dovrebbero essere comprese in una corretta procedura che riguardi il tuo Sistema di gestione privacy.
L'articolo proviene da Informatore Informatico
Microsoft ha rilasciato un aggiornamento ma non è sufficiente scaricarlo per risolvere il problema con PrintNightmare. E' necessario seguire una procedura manuale. Ecco come fare. Questo articolo è un aggiornamento del precedernte (potete trovarlo cliccando qui), dato che la situazione è in continua evoluzione: aggiornamenti non ufficiali o che non funzionano, nuove patch rilasciate da Microsoft, istruzioni complicate per gli utenti, ecc. Cos'è PrintNightmare? La vulnerabilità PrintNightmare, che sta causando parecchi problemi agli utenti di Windows 10 ed ai reparti IT di supporto, è...
Scritto da: Luigi DuraccioAnche a causa della pandemia che ci ha indistintamente colpiti l'anno passato, questa estate le vacanze sono qualcosa a cui ciascuno di noi ambisce ancora con più intensità. Un periodo in cui "staccare la spina", scollegarsi dall'ufficio, dai colleghi, per tuffarsi in ciò che amiamo di più fare: dedicare tempo alla famiglia, sport, un viaggio (qualcosa di impensabile l'anno scorso!!), leggere uno o più libri, insomma, fare ciò che ci piace fare. Il periodo quindi che si avvicina in fretta porterà tutte le...
Scritto da: Luigi DuraccioPrintNightmare è una grave falla nella sicurezza di windows. Per gli utenti sta diventando un incubo. In attesa che Microsoft risolva vi dico cosa fare. Questo articolo è un po’ lungo ma, vista la pericolosità della minaccia, ho ritenuto necessario dare una informazione più completa possibile e soffermarmi su concetti che non sono proprio facili. Inoltre qui è in gioco la sopravvivenza della tua azienda! Dedica allora 5 minuti alla lettura dell’articolo fino in fondo: non te ne pentirai! Qualche giorno fa è emersa...
Scritto da: Luigi DuraccioNei codici QR si nascondono dei pericoli che i sistemi di protezione non rilevano. E i cyber criminali li usano per gli attacchi informatici. Con l’arrivo del green pass oramai tutti conosciamo i Codici QR. Per la verità vengono usati già da tempo, in molte occasioni, perché in un piccolo quadratino si possono inserire una grande quantità di informazioni. Inoltre è molto facile da usare: basta inquadrarlo con la fotocamera del cellulare ed automaticamente abbiamo accesso alle informazioni che contiene. Grazie alla versatilità e velocità con cui si possono trasmettere una...
Scritto da: Luigi DuraccioDi Marco Govoni Quotidianamente, per la mia attività lavorativa, mi trovo nel "maneggiare" una mole importante di informazioni che reperisco da fonti pubbliche o semi-pubbliche. In particolare sono dati figli di ricerche OSINT svolte su social network, forum, deep, dark e clear web: lo faccio per monitorare cosa accade nel mondo del cybercrime, analizzare cosa viene estratto (in maniera illecita) dalle aziende e ragionare quindi su quali siano i migliori approcci per una protezione e difesa efficace. Questo mi impone di trattare queste informazioni con cura, soprattutto quando...
Scritto da: Luigi DuraccioDi Marco Govoni E' un tema attuale quello del Green Pass, ovvero il certificato digitale emesso dal Ministero della Salute che raccoglie informazioni sul nostro stato di vaccinazione e ci permette quindi di muoverci in determinate aree o paesi. Questo certificato è composto principalmente da un QR Code, ovvero una immagine digitale che contiene determinate informazioni e che può essere letta con apposite applicazioni. In sintesi è un modo per concentrare tanti dati in un piccolo spazio :-) Il QR Code del Green...
Scritto da: Luigi DuraccioArrivano i primi green pass e subito vengono postate le immagini del codice QR sui social. E’ una pessima idea, parola del Garante Privacy. A lanciare l’allarme attraverso un videoclip diffuso online è Guido Scorza, componente dell’Autorità Garante per la protezione dei dati personali, a lanciare l’allarme, e lo ha fatto con un videoclip diffuso sui social: guardate la clip in fondo all’articolo! Il codice contiene infatti moltissimi dati personali e sensibili, non visibili ad occhio nudo, ma leggibili con un semplice scanner QR: chi siamo, se ci...
Scritto da: Luigi DuraccioI messaggi che il Ministero sta inviando ai vaccinati via sms sono diventati veicolo di phishing. Vi mostro come riconoscere quelli veri da quelli truffa. Era fin troppo facile immaginarlo: l’Sms che il Ministero della Salute sta inviando ai vaccinati per ricevere il Green Pass è diventato un perfetto veicolo di truffe on line. Il primo allarme in questo senso ha iniziato a suonare nello scorso fine settimana. Anche la polizia postale ha lanciato l'allarme e possiamo immaginare che non sarà neanche l'ultimo. Tutti siete invitati a prestare la...
Scritto da: Luigi DuraccioLa troviamo in quasi tutte le email, un messaggio, posto in calce, che fa riferimento alla privacy. Ma è davvero obbligatorio? E come deve essere redatto? Articolo originale su Informatore Informatico Vi sarà sicuramente capitato di trovare, in calce alle email, un messaggio in cui si avverte il destinatario della natura personale e riservata delle informazioni inviate. Tale messaggio coincide con il più noto termine disclaimer, tratto dal dizionario anglosassone. La prima cosa da sapere è che nessuna norma menziona esplicitamente il disclaimer, tantomeno ne impone un...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.