Passa ai contenuti principali

PRIVACY: come completare l'adeguamento al GDPR in 10 mosse



Ormai manca poco più di un anno ed il nuovo regolamento europeo sulla privacy meglio conosciuto come GDPR sarà operativo a tutti gli effetti comprese le pesanti sanzioni per le aziende che non si adegueranno alla normativa. Ma come si può fare per verificare che la nostra attività sia effettivamente a posto col regolamento? Ecco una sintetica roadmap in 10 punti ognuno dei quali andrebbe sicuramente approfondito ma si tratta comunque di una buona base di partenza.
  1. Condurre un data audit interno. Predisporre un'analisi di tutti i trattamenti e le tipologie di banche dati che trattano dati personali presenti in azienda. Verificare se esistono particolari tipi di trattamenti che richiedono particolari accorgimenti. Portare alla luce tutte le vulnerabilità che potrebbero portare l'azienda a non essere in linea con il GDPR.
  2. Creare e manutenere un inventario di tutto l'ambiente digitale aziendale, comprensivo di tutte le piattaforme dove sono contenute le banche dati che trattano dati personali. Verificare che anche i trattamenti eseguiti nelle sedi distaccate siano comprese nell'elenco.
  3. Creare una timeline per ogni tipologia di trattamento che specifichi per quanto tempo è strettamente necessario conservare i dati in base alle finalità del trattamento. Se la conservazione dei dati non è necessaria questi devono essere cancellati mediante appositi sistemi di cancellazione sicura certificati.
  4. Per rispondere ad eventuali richieste da parte degli interessati sulla cancellazione dei propri dati non più necessari (diritto all'oblio) predisporre un apposita policy che permetta di dare prova scritta dell'avvenuta cancellazione.
  5. Predisporre un sistema per la gestione delle informative in modo da informare gli interessati circa il trattamento dei loro dati personali e le policy perseguite dall'azienda in materia di protezione dei dati personali. Informare gli interessati sui lori diritti.
  6. Gestire l'uso dei dispositivi mobile all'interno delle reti aziendali, mettere ben in chiaro mediante apposito disciplinare le best practices per il loro uso a seconda che siano personali o aziendali.
  7. Predisporre un approccio globale alla privacy aziendale favorendo lo scambio di informazioni tra i vari dipartimenti, evitando che ogni dipartimento/ufficio svolga politiche autonome e in contrasto tra di loro.
  8. Uno dei cardini della compliance al GDPR è la predisposizione di un piano formativo rivolto al personale sul corretto uso degli strumenti informatici all'interno dell'ambiente digitale dell'azienda onde acquisire una buona consapevolezza relativa al rischio cyber.
  9. Identificare all'interno dell'organigramma aziendale un ruolo che abbia le caratteristiche e le competenze tecniche di Data Protection Officer (DPO) o in alternativa rivolgersi ad un consulente esterno certificato.
  10. Svolgere un'analisi del rischio informatico e valutare se e come mettere in campo prodotti tecnologici e servizi nelle varie fasi del trattamento dei dati personali. Mettere a punto un piano per la gestione degli incidenti informatici che coinvolga anche l'ufficio comunicazione e relazioni con il pubblico. Predisporre delle simulazioni ad-hoc per verificare la solidità delle contromisure pro-attive

Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca