PREMESSA

Il Regolamento Europeo (UE) 2016/679, concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di dati, è entrato in vigore il 24-05-2016 e diventerà direttamente applicabile in tutti gli stati membri a partire dal ​25 maggio 2018​.

Il Nuovo Regolamento, sostituirà il “Codice Privacy” in vigore dal 1° Gennaio 2004 e ri-definisce le figure di Titolare e Responsabile attribuendo loro obblighi ulteriori rispetto a quanto previsto dall’attuale Direttiva 95/46 e dal Codice Privacy. Il Titolare ha un ruolo più proattivo e obblighi più pregnanti, finalizzati non soltanto al formale rispetto delle regole, ma anche all'adozione di tutti gli accorgimenti tecnici e organizzativi necessari a garantire la compliance effettiva dei trattamenti, anche sotto il profilo della sicurezza.

L’​assenza o inefficacia delle procedure costituisce per il Titolare fonte di responsabilità (principio di rendicontazione o di “accountability”, artt. 24 e 32).

La violazione delle disposizioni del regolamento è soggetta a sanzioni, inasprite rispetto alle precedenti norme privacy, amministrative pecuniarie ​fino a 20 milioni di Euro​, o per le imprese, fino al 4% del fatturato totale annuo dell'esercizio precedente.

 

CHE COS’È

PRIVACY-GDPR è una procedura online per la creazione e il mantenimento di un sistema per la conformità della Tua organizzazione al GDPR, Regolamento Europeo 679/2016 Privacy.

Questo servizio che consente ad imprese ed organizzazioni, ​coadiuvati ​dallo Staff professionale certificato, di creare e mantenere un sistema idoneo di gestione per la sicurezza delle Informazioni conforme alle norme in materia privacy vigenti.

L’approccio con cui viene realizzata la procedura è mutuato dal ​sistema di gestione della qualità basato sulle norme della famiglia ISO ​9000 ​con un indirizzo orientato verso il miglioramento ed alla integrazione con altri sistemi di gestione.

Il Sistema prevede l’adozione attività mirate a individuare, valutare, gestire e controllare tutti i tipi di eventi (rischi) a cui sono soggetti gli asset dell’organizzazione quali: beni materiali, beni immateriali, documentali.

A CHI SERVE

All’Azienda in quanto per adeguarsi al GDPR Regolamento Europeo 679/2016 Privacy deve:

1. Controllare pienamente l’accesso ai dati, con database strutturati e destrutturati
2. Identificazione chiara dei dati personali gestiti (con accesso immediato, profilazione, norme di sicurezza a favore della tutela dei dati)
3. Governance dei dati: esplicitazione delle policy, identificazione dei processi di gestione, assegnazione delle responsabilità.
4. Strategie di protezione dei dati: anonimizzazione dei record di dati e crittografia.
5. Controllo delle procedure applicate, con reportistica interna, verifiche, gestione proattiva del rapporto con gli utenti.

 

VANTAGGI

• Interviste, indagini, analisi della tua organizzazione.
• Valutazione dei rischi, Privacy Impact Assessment.
• Conformità alle prescrizioni di legge in materia Privacy compresa la produzione di tutta la documentazione necessaria declinata sulla struttura organizzativa aziendale.
• Aumento efficienza organizzativa, riduzione costi per la sicurezza informazioni.
• Configurazione e consulenza a cura di professionisti certificati.
• Mantenimento e aggiornamento continuo del sistema ai sensi norme vigenti.
• Servizio creato e mantenuto online con informazioni sempre disponibili.

 

FASI OPERATIVE

Fase 1:    Gap Analysis & Action List

L’attività di indagine, analisi e rilevazione degli aspetti sulla conformità delle aziende alle norme vigenti, è svolta attraverso l’ausilio di ​questionari ​predisposti alla rilevazione delle seguenti informazioni:

6. Rilevazione dei dati dell’organizzazione compreso il settore e il contesto in cui opera;
7. Rilevazione/Indagine sullo stato di conformità dell’organizzazione alle norme privacy, distinto per aree:
   • Istruzione e Formazione
   • Diritti dell'interessato
   • Ruoli e Responsabilità
   • Misure di Sicurezza
   • Procedure
8. Trattamenti;
   • Rilevazione dei trattamenti effettuati al momento della rilevazione;
   • Analisi dei singoli trattamenti al fine di determinare se questi presentano ​condizioni per l’applicabilità della PIA​;

9. Procedure

• Identificazione delle procedure dell’azienda comprese quelle non formalizzate;
• Identificazione delle procedure in cui applicare i controlli Privacy by Design/Default ad esempio esemplificativo ma non esaustivo:
• Implementazione nuovo progetto (demand);
• Modifica sostanziale di un progetto (change);
• Esternalizzazione di funzioni (nomina di terze parti);
• Campagna di Marketing;
• Trattamenti statistici, automatizzati e di profilazione;
• Rilevazione degli Asset intesi come beni materiali, immateriali, banche dati;

11. Rilevazione dei membri coinvolti nel trattamento compresi dipendenti, collaboratori, fornitori che hanno a qualsiasi titolo accesso, diretto o indiretto, alle informazioni oggetto del trattamento con identificazione specifica dei ruoli ricoperti (incaricati, responsabili);
12. Censimento dei rischi, censimento delle misure adottate per la riduzione del rischio associate per ogni asset;
13. Determinazione delle azioni che saranno adottate per rimediare ai GAP rilevati (Action List).

 

Fase 2:    Implementazione del sistema

L’implementazione del sistema prevede:

• Registro dei Trattamenti
• Membri privacy (tutti i soggetti che partecipano come incaricati o responsabili al sistema privacy)
• Asset (Applicazioni, Database, Archivi che contengono dati personali)
• ERM, sistema di Risk analysis per il calcolo residuo di rischio informatico o fisico
• PIA (Privacy Impact Assessment)
• Procedure (Diritti Interessati, Privacy by Design/ Default, Data Breach)
• Registro Data Beach
• Audit Pianificati
• Evidenze per le attività di Audit compiute

Fase 3:    Produzione / Rilascio

• Descrizione del sistema privacy dell’organizzazione
• Informativa per il trattamento condotto dall’organizzazione rivolto ai:
  • clienti;
  • dipendenti;
  • terzi;
• Registro dei Trattamenti;
• Enterprise risk management per la valutazione dei rischi relativi ad ogni Asset (database o applicazione);
• Conduzione della PIA (Privacy Impact Assessment) per i trattamenti identificati al punto precedente​;
• Web Documents: Informativa, Cookie Law;
• Asset compresi i privilegi di accesso dei componenti del sistema privacy;
• Protocollo per il trattamento: lettere per la nomina dei soggetti autorizzati, comprensiva del protocollo per il trattamento dei dati, rivolta a:
  • dipendenti;
  • fornitori (terze parti);
  • collaboratori dell’organizzazione;
• Procedure ed Istruzioni pianificate:
  • Privacy by Design/Default;
  • Diritti degli Interessati;
  • Data Breach;
  • Nomina ed Interruzione incaricati/responsabili (assunzione, assenza prolungata, terze parti);
  • Dismissione fisica di una macchina;
  • Dismissione logica di una macchina;
  • RIVISITAZIONE se non adeguata
  • Backup;
  • Conservazione delle copie logiche e cartacee;
  • Disaster Recovery e Business Continuity;
  • Gestione delle credenziali di accesso: evidenze di consegna;
  • Backup log dei sistemi interni e/o esterni all’organizzazione;
• Protocollo: linee guida per la disciplina dei documenti in entrata/uscita;
• Redazione Audit pianificati:
  • Verifica dell’operato dell'Amministrazione di Sistema;
  • Verifica dell’operato del Database Administrator;
  • Verifica del Mantenimento dei backup;
  • Verifica sui backup e sulle simulazione di restore (disaster recovery);
  • Verifica misure minime anti intrusione e anti deperimento;
  • Verifica adeguamento misure minime su dispositivi WI-FI;
  • Verifica del processo Data Breach
• Verifica dei controlli Privacy by Design sui processi coinvolti
• Codice di condotta del personale:
• Internet;
• Posta elettronica