Passa ai contenuti principali

PRIVACY: come completare l'adeguamento al GDPR in 10 mosse



Ormai manca poco più di un anno ed il nuovo regolamento europeo sulla privacy meglio conosciuto come GDPR sarà operativo a tutti gli effetti comprese le pesanti sanzioni per le aziende che non si adegueranno alla normativa. Ma come si può fare per verificare che la nostra attività sia effettivamente a posto col regolamento? Ecco una sintetica roadmap in 10 punti ognuno dei quali andrebbe sicuramente approfondito ma si tratta comunque di una buona base di partenza.
  1. Condurre un data audit interno. Predisporre un'analisi di tutti i trattamenti e le tipologie di banche dati che trattano dati personali presenti in azienda. Verificare se esistono particolari tipi di trattamenti che richiedono particolari accorgimenti. Portare alla luce tutte le vulnerabilità che potrebbero portare l'azienda a non essere in linea con il GDPR.
  2. Creare e manutenere un inventario di tutto l'ambiente digitale aziendale, comprensivo di tutte le piattaforme dove sono contenute le banche dati che trattano dati personali. Verificare che anche i trattamenti eseguiti nelle sedi distaccate siano comprese nell'elenco.
  3. Creare una timeline per ogni tipologia di trattamento che specifichi per quanto tempo è strettamente necessario conservare i dati in base alle finalità del trattamento. Se la conservazione dei dati non è necessaria questi devono essere cancellati mediante appositi sistemi di cancellazione sicura certificati.
  4. Per rispondere ad eventuali richieste da parte degli interessati sulla cancellazione dei propri dati non più necessari (diritto all'oblio) predisporre un apposita policy che permetta di dare prova scritta dell'avvenuta cancellazione.
  5. Predisporre un sistema per la gestione delle informative in modo da informare gli interessati circa il trattamento dei loro dati personali e le policy perseguite dall'azienda in materia di protezione dei dati personali. Informare gli interessati sui lori diritti.
  6. Gestire l'uso dei dispositivi mobile all'interno delle reti aziendali, mettere ben in chiaro mediante apposito disciplinare le best practices per il loro uso a seconda che siano personali o aziendali.
  7. Predisporre un approccio globale alla privacy aziendale favorendo lo scambio di informazioni tra i vari dipartimenti, evitando che ogni dipartimento/ufficio svolga politiche autonome e in contrasto tra di loro.
  8. Uno dei cardini della compliance al GDPR è la predisposizione di un piano formativo rivolto al personale sul corretto uso degli strumenti informatici all'interno dell'ambiente digitale dell'azienda onde acquisire una buona consapevolezza relativa al rischio cyber.
  9. Identificare all'interno dell'organigramma aziendale un ruolo che abbia le caratteristiche e le competenze tecniche di Data Protection Officer (DPO) o in alternativa rivolgersi ad un consulente esterno certificato.
  10. Svolgere un'analisi del rischio informatico e valutare se e come mettere in campo prodotti tecnologici e servizi nelle varie fasi del trattamento dei dati personali. Mettere a punto un piano per la gestione degli incidenti informatici che coinvolga anche l'ufficio comunicazione e relazioni con il pubblico. Predisporre delle simulazioni ad-hoc per verificare la solidità delle contromisure pro-attive

Commenti

Post popolari in questo blog

Whistleblower: storia e quadro giuridico di riferimento

Disegno tutorial di Edward Snowden È uscita in queste settimane l'autobiografia di Chelsea Manning dal titolo README.txt , il nome che l'analista junior dell'intelligence dell'esercito americano aveva dato al file di testo che accompagnava il materiale di quello che diventerà il più grande leak nella storia degli Stati Uniti. Per chi non conoscesse i suo caso giudiziario, Chelsea Manning è stata la più grande whistleblower della storia, durante il suo servizio in Iraq rilasciò attraverso la piattaforma  WikiLeaks circa 750.000 documenti classificati contribuendo ad influenzare in maniera determinante la percezione dell'opinione pubblica sull'andamento della guerra in Iraq. Per questo atto Chelsea fu condannata a 35 anni di reclusione essendo stata ritenuta colpevole di reati connessi alla diffusione di notizie coperte da segreto e al possesso di software non autorizzati, pena poi commutata dal presidente Obama alla fine del suo mandato. In quattrocento pagine

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian