PRIVACY: come completare l'adeguamento al GDPR in 10 mosse

Ormai manca poco più di un anno ed il nuovo regolamento europeo sulla privacy meglio conosciuto come GDPR sarà operativo a tutti gli effetti comprese le pesanti sanzioni per le aziende che non si adegueranno alla normativa. Ma come si può fare per verificare che la nostra attività sia effettivamente a posto col regolamento? Ecco una sintetica roadmap in 10 punti ognuno dei quali andrebbe sicuramente approfondito ma si tratta comunque di una buona base di partenza.

1. Condurre un data audit interno. Predisporre un'analisi di tutti i trattamenti e le tipologie di banche dati che trattano dati personali presenti in azienda. Verificare se esistono particolari tipi di trattamenti che richiedono particolari accorgimenti. Portare alla luce tutte le vulnerabilità che potrebbero portare l'azienda a non essere in linea con il GDPR.
2. Creare e manutenere un inventario di tutto l'ambiente digitale aziendale, comprensivo di tutte le piattaforme dove sono contenute le banche dati che trattano dati personali. Verificare che anche i trattamenti eseguiti nelle sedi distaccate siano comprese nell'elenco.
3. Creare una timeline per ogni tipologia di trattamento che specifichi per quanto tempo è strettamente necessario conservare i dati in base alle finalità del trattamento. Se la conservazione dei dati non è necessaria questi devono essere cancellati mediante appositi sistemi di cancellazione sicura certificati.
4. Per rispondere ad eventuali richieste da parte degli interessati sulla cancellazione dei propri dati non più necessari (diritto all'oblio) predisporre un apposita policy che permetta di dare prova scritta dell'avvenuta cancellazione.
5. Predisporre un sistema per la gestione delle informative in modo da informare gli interessati circa il trattamento dei loro dati personali e le policy perseguite dall'azienda in materia di protezione dei dati personali. Informare gli interessati sui lori diritti.
6. Gestire l'uso dei dispositivi mobile all'interno delle reti aziendali, mettere ben in chiaro mediante apposito disciplinare le best practices per il loro uso a seconda che siano personali o aziendali.
7. Predisporre un approccio globale alla privacy aziendale favorendo lo scambio di informazioni tra i vari dipartimenti, evitando che ogni dipartimento/ufficio svolga politiche autonome e in contrasto tra di loro.
8. Uno dei cardini della compliance al GDPR è la predisposizione di un piano formativo rivolto al personale sul corretto uso degli strumenti informatici all'interno dell'ambiente digitale dell'azienda onde acquisire una buona consapevolezza relativa al rischio cyber.
9. Identificare all'interno dell'organigramma aziendale un ruolo che abbia le caratteristiche e le competenze tecniche di Data Protection Officer (DPO) o in alternativa rivolgersi ad un consulente esterno certificato.
10. Svolgere un'analisi del rischio informatico e valutare se e come mettere in campo prodotti tecnologici e servizi nelle varie fasi del trattamento dei dati personali. Mettere a punto un piano per la gestione degli incidenti informatici che coinvolga anche l'ufficio comunicazione e relazioni con il pubblico. Predisporre delle simulazioni ad-hoc per verificare la solidità delle contromisure pro-attive