PRIVACY: NOVITA' IN ARRIVO
L’appuntamento con l’entrata in vigore della nuova normativa europea sulla tutela dei dati personali è sempre più vicino, ma permangono le perplessità sul come muoversi
L’appuntamento con l’entrata in vigore della nuova normativa europea
sulla tutela dei dati personali è sempre più vicino, ma le imprese e la P.A.,
ad oggi, hanno ancora molte perplessità su come muoversi. La cosa certa è che i
controlli ci saranno e le sanzioni saranno molto pesanti, fino a 20 milioni di
euro!
Vediamo di fare un po' di chiarezza, almeno sui concetti fondamentali, facendo una sintesi dei principi base su cui si basa la normativa.
Come prima cosa dobbiamo considerare un approccio di tipo “olistico”, dato che il legislatore, quando parla di “ privacy by design ” e “ privacy by default ” intende esprimere due concetti basilari di tutta la normativa:
1) È necessario implementare i principi normativi del regolamento all'interno di tutti i processi aziendali, esistenti e futuri;
2) I dati personali e sensibili devono essere utilizzati esclusivamente per la finalità condivisa con l’interessato, cioè il soggetto che ha fornito i suoi dati al responsabile del trattamento.
Il primo step da affrontare è quello dell’analisi dettagliata dei processi aziendali, in relazione al trattamento dei dati, per capire come impattano sui principi di liceità previsti dal regolamento.
Sarà quindi indispensabile analizzare chi, all’interno dell’azienda, raccoglie, modifica, cancella, diffonde, memorizza e trasferisce i dati personali e che tipo di dati vengono trattati, se sono dati personali comuni o sensibili, cioè se attengono alla sfera economica, politica, religiosa, sanitaria, ideologica o se sono dati di tipo biometrico, cioè immagini della persona, impronte digitali, immagini della cornea (per esempio, nei processi di identificazione agli accessi bancari), etc.
Alcuni processi saranno da integrare con quelli esistenti per far fronte alle nuove direttive, per esempio, la possibilità di recuperare velocemente i dati conservati e trasmessi a terzi per garantire il principio del diritto all’ oblio, della cancellazione successiva al periodo previsto di trattamento del diritto alla tempestiva informazione all’interessato in caso di: data breach (in questo caso la comunicazione dovrà essere fatta anche all'ufficio del Garante entro un periodo prestabilito); trasferimento dei dati a terze persone/organizzazioni; utilizzo differente dei dati da quello previsto in fase di consenso.
E’ necessario redarre un report sui supporti utilizzati, informatici e/o cartacei, la loro affidabilità, i luoghi dove sono conservati e i rischi connessi alla location fisica. Ricordiamoci che i concetti fondamentali sulla tutela e la gestione del dato si basano sui seguenti principi: disponibilità, controllo, verifica, integrità, riservatezza, consistenza.
In molti casi saranno previste delle procedure ad hoc, come l’analisi di impatto privacy, il registro dei trattamenti e l’assunzione di una figura con specifiche competenze nel campo della tutela dei dati, il DPO ( Data Protection Officer). Approfondiremo questi punti in seguito.
IL SISTEMA INFORMATICO E IL SITO INTERNET
Sarebbe impensabile scindere il concetto di tutela del dato da quello di corretta, sicura e affidabile architettura informatica, data la pervasività dei sistemi digitali nella vita aziendale e privata.
Una prima verifica riguarda la presenza di tutti gli elementi che compongono la rete informatica, sia hardware che software, in pratica un censimento ed una valutazione di massima dei componenti del sistema, le soluzioni adottate per la sicurezza e le procedure di log management , lo stato di vetustà dei software e delle macchine, le soluzioni di business continuity e di disaster recovery . Fortemente consigliata è un’analisi delle vulnerabilità della rete, che consente di rilevare i punti deboli del sistema ed ottenere un report dettagliato al quale è logico far seguire una procedura di mitigazione. Nei casi di gestione massiva di dati e/o di trattamento di dati particolarmente sensibili, in alcuni casi, è consigliabile anche un penetration test , durante il quale, la società di riferimento per la sicurezza informatica, dietro consenso esplicito e manleva, prova a “sfondare” il muro della sicurezza aziendale per simulare una violazione dei sistemi e delle informazioni riservate.
Un ruolo molto importante sarà quello dell’ Amministratore di Sistema
Il sito aziendale rappresenta non solo il biglietto da visita della società, ma l’elemento di immagine a più alta e diffusa visibilità, quindi anche più soggetto a verifiche e frequentazioni, non solo da parte di curiosi, concorrenti e clienti, ma anche da parte di organi di controllo. Per questo motivo è necessario che sia assolutamente perfetto e compliance rispetto alle normative previste.
Da questa prima parte, introduttiva al nuovo regolamento, anche se estremamente sintetica ed essenziale si capisce perfettamente come le competenze richieste per affrontare la materia siano estremamente varie e specifiche e riguardino l’organizzazione aziendale, la conoscenza dell’impianto normativo e contrattualistico, fino alla capacità di realizzare un sistema informatico, non solo funzionale ed efficiente, ma anche sicuro ed affidabile.
Per questo motivo, FLEMING TECNA , già riconosciuta come un’autorevole organizzazione di riferimento nell’area della sicurezza sul lavoro e dei processi di certificazione è affiancata da tecnici esperti nel settore della sicurezza informatica e della tutela del dato per rispondere elle esigenze di tutte le aziende.
Per valutare la propria posizione aziendale e ricevere un preventivo scrivete a privacy@flemingtecna.it oppure telefonate al nuemero 030.3390840
Nuovo titolo
SICUREZZA & SALUTE
