GDPR Compliant in 11 mosse per PMI
Il General Data Protection Regulation GDPR (in italiano RGPD) è efficace ormai dal 25 Maggio 2018. Anche la c.d. proroga di 8 mesi (che poi una vera proroga non era) è scaduta il 19 Maggio 2019. Nonostante ciò, le aziende in regola con il GDPR sono ancora pochissime. Alcune hanno fatto qualche sforzo, ritenendo sufficiente stampare ed in inviare dei documenti, magari trovati su Internet o preparati da consulenti più o meno improvvisati. Altri hanno addirittura nominato un DPO, che però hanno visto 2 volte in un anno e che magari si è limitato a mettere a disposizione il suo nome ed a consegnare qualche prestampato in cambio di poche centinaia di euro.
Nonostante ciò, la qualità della documentazione che circola in rete e di cui le aziende vengono inutilmente sommerse ogni giorno dimostra come vi sia ancora la più totale ignoranza in materia.
Ma allora, cosa devono fare le aziende per mettersi in regola? In seguito cercherò di riassumere i punti essenziali per raggiungere una compliance GDPR. Tuttavia, per poter ottenere risultati soddisfacenti è indispensabile capire la norma e rivoluzionare il proprio approccio al trattamento dei dati, non solo personali.
Cambiare l’approccio ai dati per essere GDPR Compliant
Siamo abituati a pensare alla privacy come ad una inutile scocciatura: una serie di firme su fogliacci che nessuno legge o capisce, ma che non ci risparmiano comunque da chiamate indesiderate e dall’uso incontrollato dei nostri dati. É fuori dubbio che le leggi sulla privacy in vigore sino ad oggi abbiano fallito e siano rimaste del tutto inapplicate. É quindi normale che un imprenditore consideri il GDPR come un’ulteriore scocciatura, da liquidare nel minor tempo ed al minor costo possibili.
Se questo resta l’approccio dell’imprenditore, diventare GDPR Compliant sarà una missione impossibile. Il Nuovo Regolamento Europeo rivoluziona completamente l’approccio al trattamento dei dati. Si passa da un modello fatto di adempimenti formali e misure minime da rispettare ad uno basato sulla responsabilizzazione (accountability) dell’imprenditore e sulla riduzione reale del rischio.
Per le PMI che non trattano dati ad alto rischio o in grande quantità, ciò comporta un notevole alleggerimento degli obblighi di legge rispetto al passato. Tuttavia, l’imprenditore non può più disinteressarsi del trattamento dei dati dopo aver fatto firmare un paio di fogli, né delegare un consulente e sperare di non doversene più preoccupare. Affidarsi ad un professionista realmente competente è indispensabile ma lo è anche lavorare insieme a lui. Solo in questo modo l’adeguamento al GDPR può tradursi in una occasione per modernizzare e migliorare l’efficienza e la sicurezza dell’azienda con riferimento ai dati, non soltanto quelli personali.
Si veda anche “ISO 27001 e GDPR per la Sicurezza dei Dati Aziendali“.
Undici punti da seguire per diventare GDPR Compliant
Punto 1: la mappatura dei trattamenti
Il primo passo consiste nell’individuare i trattamenti di dati personali effettuati dall’azienda e mapparli.
Per ciascuna categoria di dati trattati, occorre individuare chi siano i soggetti interessati, verificare la finalità ed i criteri di liceità dei trattamenti, ovvero le norme che li legittimano.
Occorre stabilire quale sia il ruolo dell’impresa in relazione ad ogni singolo trattamento, ovvero se agisca in qualità di titolare, di responsabile o di contitolare.
É necessario individuare la durata del trattamento (c.d. data retention) e verificare che corrisponda né più né meno a quella necessaria per adempiere alle finalità perseguite.
Infine, bisogna individuare provenienza e destinazione dei dati, ovvero le modalità di raccolta e di conservazione e i destinatari a cui vengono comunicati.
Una volta fatto questo, un consiglio utile è quello di creare delle mappature grafiche, che ci permattano di avere tutto chiaro e disponibile a colpo d’occhio, anche in caso di controlli.
Un esempio pratico: la mappatura dei dati dei dipendenti
Possiamo fare un esempio pratico della mappatura di un trattamento comune a tutte le imprese: la gestione dei dati del personale dipendente.
In primo luogo, si individuano i dati trattati per ciascun dipendente: nome, cognome, codice fiscale, data e luogo di nascita, indirizzo, coordinate bancarie, numero di telefono, e-mail, qualifiche, stipendio, orario di lavoro, iscrizione a sindacati, idoneità al lavoro, assenze per malattia ed infortuni, permessi di cui alla l. 104/92 etc.
Individuati i dati, si determinano le finalità: esecuzione del contratto di lavoro, preparazione delle buste paga, monitoraggio delle presenze, gestione dei permessi, igiene e sicurezza etc. I criteri di liceità saranno: l’art. 6 lett. b) RGPD (trattamento necessario all’esecuzione del contratto) per quanto riguarda i dati comuni; l’art. 9, lett. b) e h) RGPD (adempimento degli obblighi di diritto del lavoro e di medicina preventiva sul lavoro) per quanto riguarda i dati c.d. sensibili (iscrizione a sindacati, stato di salute etc.).
A questo punto, si stabilisce la durata del trattamento in base alle finalità (in genere 10 o 5 anni oltre la conclusione del rapporto di lavoro). Infine, si determinano le modalità di raccolta dei dati e i destinatari (es. consulente del lavoro, RSPP, medico competente, INPS, INAIL etc.).
Punto 2: valutare la necessità di nomina di un DPO
Una volta mappati i dati, sarà possibile verificare se la società sia o meno obbligata alla nomina di un DPO in base all’art. 37 RGPD.
Obbligati alla nomina sono le Amministrazioni Pubbliche oppure i soggetti che, come attività principale effettuano:
- il trattamento, su larga scala, di dati particolari di cui agli artt. 9 e 10 RGPD;
- trattamenti che comportano il monitoraggio regolare e sistematico di dati personali su larga scala.
Se si decide di non nominare un DPO, la scelta deve essere motivata e messa per iscritto mediante una breve relazione.
Punto 3: inventario degli asset e delle misure di sicurezza
Per poter tenere sotto controllo i dati ed effettuare delle analisi dei rischi, è necessario inventariare tutti gli strumenti con cui si effettuano trattamenti di dati personali.
L’inventario degli asset avrà ad oggetto i sistemi informatici collegati alla rete aziendale (computer dektop e laptop, tablet, smartphone, server, NAS, router etc.) ed i software utilizzati (ERP, CRM, servizi in Cloud etc.); siti web e pagine social; database ed archivi, anche cartacei.
Ciascun asset deve essere associato ai trattamenti che lo riguardano ed al personale che lo gestisce.
Mantenere un inventario degli asset sempre aggiornato permette all’azienda di individuare facilmente vulnerabilità che possono rappresentare delle fonti di rischio.
Punto 4: valutazioni dei rischi e DPIA
Una volta mappati i trattamenti e gli asset a cui sono collegati, è necessario effettuare per ciascun trattamento una valutazione dei rischi per i diritti e le libertà fondamentali delle persone fisiche.
Il criterio oggi più utilizzato per effettuare queste valutazioni è quello fornito da ENISA, nel suo Handbook on Security on Personal Data.
In alcuni casi definiti dall’art. 35 RGPD, sarà necessario approfondire l’analisi di rischi specifici mediante l’effettuazione di una DPIA (Data Protection Impact Assessment). La DPIA deve tener conto del rischio di partenza e di quello mitigato in seguito all’applicazione delle misure di sicurezza (es. autenticazioni complesse, ricorso a crittografia e pseudonimizzazione etc.).
Punto 5: Mitigation Plan
Quando dalle valutazioni precedenti emergano dei rischi medi o addirittura alti, è necessario porre in essere dei piani di mitigazione per riportarli a livelli accettabili.
Il Mitigation Plan consiste nell’introduzione di misure di sicurezza, non necessariamente di natura informatica. Anche misure di tipo organizzativo oppure l’implementazione dei requisiti di trasparenza verso i clienti possono rappresentare strumenti di mitigazione del rischio.
Per attuare un Mitigation Plan efficace possiamo trarre spunto dai controlli suggeriti dalle norme ISO 27000 in materia di sicurezza delle informazioni.
Punto 6: redazione del registro dei trattamenti
Con le informazioni ricavate sopra, è possibile redigere un registro dei trattamenti mediante un foglio excel oppure ricorrendo ad uno dei numerosi software disponibili sul mercato. Il registro dei trattamenti non è obbligatorio per le imprese con meno di 250 dipendenti e che non trattano dati personali con rischio elevato (art. 30 RGPD). Tuttavia, la redazione dei registri è consigliata in tutti i casi, poiché si tratta di documenti indispensabili per tenere sotto controllo i trattamenti e facilitano notevolmente le operazioni in caso di controlli. Per di più, mantenere un registro aggiornato è un adempimento semplice ed a basso costo.
Deve essere redatto un registro per i trattamenti svolti in qualità di titolare ed uno, eventuale, per i trattamenti svolti in qualità di responsabile.
Altri registri necessari all’adeguamento sono quello delle violazioni (o Data Breach) e quello relativo alle richieste di esercizio dei diritti da parte dagli interessati.
Punto 7: redazione di politiche e procedure
Per poter dimostrare di essere GDPR Compliant e gestire i dati in sicurezza, efficenza e nel rispetto dei diritti delle persone fisiche, occorre che l’azienda si dia delle regole interne da seguire.
Una delle procedure in assoluto più importanti è quella finalizzata a riconoscere, gestire e notificare i Data Breach. Le violazioni sono infatti eventi all’ordine del giorno ma molto spesso non vengono individuate o riconosciute. La mancata o non tempestiva notifica di un Data Breach può innescare controlli e sanzioni, pertanto è necessario fare molta attenzione a questo punto.
Altre procedure importanti sono quella per la gestione delle richieste degli interessati, quella per l’utilizzo della strumentazione informatica, quella per il trattamento dei dati dei dipendenti, per la navigazione in Internet etc.
La creazione di procedure snelle, chiare ed efficaci è fondamentale per la creazione di un sistema di gestione privacy.
Punto 8: redazione o aggiornamento delle informative privacy
Quelle che fino ad oggi abbiamo per lo più considerato “scartoffie”, ovvero le informative privacy, non sono sparite. La messa a disposizione di informative agli interessati resta uno degli adempimenti fondamentali per soddisfare il requisito della trasparenza ed essere GDPR Compliant.
L’informativa privacy però non dovrebbe mai essere un modulo prestampato, magari scopiazzato o scaricato da Internet. L’informativa deve essere un vestito sartoriale e raggiungere lo scopo di illustrare agli interessati, con parole semplici ed immediate, come vengono trattati i loro dati personali.
Devono essere redatte informative per i clienti, per i fornitori, per i dipendenti e per tutti gli interessati di cui un’organizzazione tratta dati personali in qualità di titolare. Le informative devono poi essere messe a conoscenza degli interessati con modalità adeguate. Un consiglio che fornisco sempre ai miei clienti è quello di dedicare una pagina del proprio sito web alla privacy, inserendo al suo interno anche l’informativa. Questa risulta utile non soltanto a dimostrare di essere GDPR Compliant in caso di controlli ma anche a mostrare ai propri clienti l’importanza che diamo alla sicurezza dei loro dati.
Punto 9: autorizzazioni al personale e formazione
L’impresa è titolare o responsabile del trattamento ma, di fatto, i dati personali vengono poi trattati dai suoi dipendenti. Per questo è fondamentale creare un organigramma privacy ed assegnare ruoli e responsabilità. Ciascun dipendente deve essere autorizzato a trattare solo ed esclusivamente i dati personali necessari a svolgere le sue mansioni, né più né meno. Ogni dipendente deve inoltre essere vincolato ad obblighi di riservatezza e di diligenza nell’esecuzione dei trattamenti.
Anche in questo caso, fermarsi alla consegna ed alla firma di un documento non è sufficiente. É necessario assicurarsi che il dipendente comprenda quali sono i suoi obblighi e li rispetti. A tal fine è indispensabile la formazione. Ciascun membro dell’organizzazione deve essere istruito sui propri obblighi e sulle procedure che l’azienda si è data.
Punto 10: contrattualizzazione dei fornitori
Ultimamente, oltre alle informative le aziende ricevono da firmare i contratti per la designazione dei responsabili esterni del trattamento. Anche in questo caso, spesso l’imprenditore non ha la minima idea di quello che c’è scritto dentro ed invia e firma i contratti soltanto per soddisfare un requisito di legge.
Questo non soltanto è insufficiente per essere GDPR Compliant ma è anche rischioso. Un contratto è sempre fonte di obblighi giuridici e deve essere redatto da persone competenti e con cognizione di causa.
Aldilà della redazione dei contratti, la scelta dei fornitori è fondamentale. Affidarsi ad un fornitore che non ci garantisce sicurezza o trasparenza sulla gestione dei dati, non solo quelli personali, è un rischio enorme. In primo luogo, perchè le responsabilità dei fornitori si riflettono in sanzioni per il titolare del trattamento. In secondo luogo, perché spesso mettiamo nelle mani di un fornitore le sorti stesse delle nostre aziende. Pensiamo ad esempio al fornitore di un software gestionale in Cloud: ci siamo chiesti dove sono i nostri dati e cosa succede se il fornitore stacca la spina?
Si veda anche “Software House e GDPR: Perché è Fondamentale Adeguarsi” e “Privacy in Cloud Computing: Come Proteggere i Dati sulla Nuvola“.
Punto 11: piano di mantenimento e miglioramento
Come anticipato sopra, il GDPR non è qualcosa di cui ci si libera in fretta con una serie di adempimenti formali. Per continuare ad essere GDPR Compliant è richiesto un lavoro costante nel tempo, di aggiornamento e miglioramento continui. Se siamo riusciti a mettere sù un sistema di gestione efficente, mantenerlo sarà un gioco da ragazzi. Diversamente, dovremo ripartire ogni volta da zero.
Occorre quindi mantenere aggiornati i registri dei trattamenti, rifare periodicamente l’analisi dei rischi, porre in essere gli adempimenti necessari a gestire i cambiamenti (nuove assunzioni, nuovi fornitori, nuovi servizi etc.).
Diventare GDPR Compliant un passo alla volta
Adempiere a tutti i punti precedenti per una PMI può sembrare un lavoro enorme e costoso. In realtà non c’è da spaventarsi. A differenza della normativa precedente, il GDPR tiene conto delle dimensioni e del budget di ciascuna organizzazione e non richiede a nessuno adempimenti impossibili. L’importante quindi è responsabilizzarsi e darsi di volta in volta degli obiettivi di miglioramento, nei limiti del budget aziendale ed in proporzione al livello di rischio. É evidente che ad un ospedale e ad un’industria tessile non siano richiesti gli stessi sforzi per raggiungere la compliance GDPR. Ad entrambi però è richiesta una presa di coscienza dei propri dati.
A differenza della mera compilazione di “scartoffie”, un lavoro ben fatto porterà ad un effettivo miglioramento nella sicurezza dei dati in generale, non solo di quelli personali, che oggi costituiscono la risorsa più importante per ogni azienda. Un lavoro solo formale si tradurrà in un costo inutile, mentre un lavoro serio potrà rappresentare un investimento, volto a prevenire incidenti ben più dispendiosi (si pensi a quanto può costare una falla nella cybersecurity con perdita o divulgazione dei dati aziendali) se non addirittura ad apportare vantaggi concorrenziali.
Quest’opera è distribuita con Licenza Creative Commons Attribuzione 3.0 Italia.
