Come mettere in sicurezza i dati personali in azienda
E' necessario uscire dall’ottica di ciò che è strettamente richiesto dalla legge per passare a ciò che è necessario per dimostrare di avere fatto e pensato tutto quello che è richiesto per rispettare la legge
Le recenti decisioni del Garante della Privacy in Italia e le relative maxi-sanzioni comminate a operatori telefonici e altri gruppi evidenziano l’importanza di presidiare i processi aziendali relativi ai flussi di dati personali. Da un lato si tratta di uscire dall’ottica di ciò che è strettamente richiesto dalla legge per passare a ciò che è necessario per dimostrare di avere fatto e pensato tutto quello che è richiesto per rispettare la legge.
E’ anche utile capire se un approccio più costruttivamente dialogante da parte dell’Autorità e un più strutturato ricorso all’istituto dei rimedi, frequentemente adottato in campo antitrust, siano ugualmente efficaci, senza penalizzare conti economici che già soffrono in questo periodo soffrono.
Ma come si fa a mettersi al riparo dal rischio di sanzioni così rilevanti? Il percorso si articola in tre momenti di lavoro: i) la definizione dei principi e criteri guida per mettere in sicurezza l’ azienda; ii) l’individuazione delle macro-attività necessarie a garantire un adeguato livello di conformità; iii) la descrizione degli aspetti operativi di ciascuna macro-attività per una completa ed efficace realizzazione del sistema di allarme, a presidio e tutela dei dati personali.
In questo percorso, due principi cardine devono essere sempre rispettati: Privacy by design (incorporazione della privacy a partire dalla progettazione dei sistemi e processi) ed accountability (il principio della responsabilizzazione).
Per privacy by design si intende l’obbligo non solo di pensarci prima ma anche quello di poter dimostrare di averci pensato prima. Per accountability si intende non solo il modello organizzativo della responsabilità del trattamento dei dati ma anche il livello di sensibilità nell’intera realtà aziendale circa il valore e l’importanza della tutela di qualsiasi informazione riconducibile ad una persona; è chiaro infatti che un’applicazione poco disciplinata delle misure adottate dall’azienda vanifica gli sforzi.
Sono due principi guida apparentemente semplici nel loro significato e nella loro portata ma di estrema complessità nell’implementazione. Un’adeguata programmazione dell’intervento da realizzare passa per l’individuazione di quattro macro-attività.
1) Innanzitutto, è importante avere chiaro il perimetro della superficie da proteggere e conoscere se e quali sistemi di difesa sono già presenti al suo interno: occorre mappare responsabilità organizzative, sistemi e procedure.
2) Svolgere un’analisi di fattibilità tecnica, organizzativa, operativa e finanziaria. Qui ci sono due colli di bottiglia: le competenze interne per la realizzazione dei piani di remediation da realizzare e il livello di complessità e numerosità dei sistemi informatici utilizzati per la gestione dei dati. Il nesso tra questi due aspetti va ben calibrato per ottimizzare tempi e costi di allestimento, collaudo e funzionamento del sistema di allarme e protezione.
3) Lo sviluppo di una adeguata sensibilità aziendale rispetto all’obiettivo di garantire una adeguata tutela a tutti i dati personali. Si tratta di avviare un percorso di trial and error che sottoponga i lavori da effettuare e già effettuati a continue prove di resistenza attraverso un ampio coinvolgimento di persone e funzioni aziendali.
4) L’ultima macro-attività riguarda le procedure e la governance incardinate in azienda a presidio continuativo e formale della conformità alle regole esistenti. Innescare un percorso di miglioramento continuo aiuta a riconoscere aree di perfezionamento ed eventuali falle.
Con queste macro-attività si possono trasformare i due principi guida in un insieme di sensori di allarme ben funzionanti. Più sotto, ecco le azioni di dettaglio da realizzare:
1. inventariazione operativa;
2. assessment di conformità alla data protection dei sistemi informatici;
3. disegno del modello organizzativo;
4. revisione della situazione contrattuale con soggetti esterni all’organizzazione;
5. monitoraggio e controllo terze parti;
6. sensibilizzazione informativa e formativa interna.
L’inventariazione operativa consiste in una capillare e precisa rilevazione di tutti i trattamenti che hanno ad oggetto direttamente ed indirettamente la raccolta, la gestione, lo stoccaggio e l’utilizzo di dati personali. Richiede una sistematica analisi del lavoro di ogni direzione e funzione aziendale e deve raccogliere strutturate informazioni: la descrizione del trattamento, i sistemi utilizzati per la sua gestione, la natura, qualità e quantità dei dati che ne sono oggetto, l’indicazione delle posizioni organizzative e delle persone coinvolte, la robustezza di tutto quanto rilevato. I trattamenti vengono quindi classificati in funzione del grado di rischio, ai fini di una loro segmentazione utile allo svolgimento delle Data protection Impact Assessment (DPIA), secondo momento di verifica di robustezza da cui scaturiscono i remediation plan, necessari ad eliminare eventuali rischi.
L’assessment di conformità data protection sui sistemi informatici è una delle attività più complesse, soprattutto in presenza di un elevato numero di sistemi utilizzati in azienda è può essere accompagnato da ulteriori verifiche di robustezza in termini di sicurezza informatica. L’assessment è propedeutico alla definizione, per singolo sistema, dei necessari remediation plan per i quali si deve tenere in conto la tempistica di realizzazione, gli oneri relativi, le disponibilità di budget e la fattibilità tecnica, che è tanto più complessa quanto più sono tra loro connessi i diversi sistemi.
Il disegno del modello organizzativo è un passaggio delicato soprattutto per perseguire il radicamento in azienda di quella sensibilità alla gestione dei dati personali che è presupposto irrinunciabile per una efficace resa del sistema di allarme. Il cambio di passo consiste nel non lasciare al solo DPO la responsabilità della gestione dei dati personali in azienda ma di frazionarla e distribuirla in modo capillare all’interno di tutta l’organizzazione.
La revisione della situazione contrattuale con soggetti esterni all’organizzazione è tanto più complessa quanto maggiore è il numero delle terze parti incaricate e coinvolte nella gestione di dati personali di cui l’azienda è titolare. Un ulteriore livello di complessità è rappresentato dall’anzianità dei singoli rapporti, dal momento che meno recente è l’instaurazione del rapporto contrattuale, maggiore e più profonda deve essere la verifica della esistenza di previsioni contrattuali che regolino le responsabilità nella gestione, con diversi ruoli, diritti ed obblighi, dei dati personali.
Il monitoraggio e controllo dei soggetti esterni richiede uno sforzo organizzativo e finanziario, oltre alle difficoltà oggettive di controllare qualcuno che vive fuori dall’azienda. Ci si può infatti basare su processi di circolarizzazione delle informazioni, di autocertificazione da parte dei terzi, di controlli periodici – a sorpresa o programmati – ma, sicuramente, lo svolgimento di veri e propri audit è lo strumento più efficace. Spesso risulta difficile varare questi audit a causa delle limitate disponibilità di budget che, in modo miope, non riescono a cogliere il fatto che spendere di più prima consente spesso di evitare sanzioni.
La sensibilizzazione informativa e formativa interna avviene parallelamente a tutto quanto finora descritto ed è tanto più efficace se svolta a valle delle fasi che sono state elencate e sintetizzate.
Come si vede, un’installazione efficace del sistema di allarme per la tutela dei dati personali deve partire dal corpo centrale dell’ azienda per poi irradiarsi alle parti più periferiche seguendo una logica sequenziale e graduale ma realizzando anche un continuativo test dei sensori installati, in modo da isolare eventuali malfunzionamenti e predisporre gli interventi richiesti.
Attenzione: una sicurezza garantita al 100% è un limite teorico, che non può che rimanere tale. Infatti, nelle organizzazioni complesse fatte da persone, comportamenti e sistemi, la combinazione di possibili eventi è infinita e pensare di ricondurre tutto a un controllo totale è una possibilità realizzabile solo sulla carta. (riproduzione riservata)
