Dai flussi informativi alle responsabilità
Ricostruiamo con l’organizzazione dove sono trattate le informazioni, chi vi accede, quali fornitori intervengono e come vengono conservate. Questo confronto aiuta a collegare documentazione e operatività, individuando domande aperte e interlocutori. Gli aspetti che richiedono valutazioni giuridiche vengono raccordati con i professionisti competenti.
Misure adeguate al rischio
L’articolo 32 del GDPR richiede misure tecniche e organizzative adeguate al rischio. Il Garante chiarisce che l’elenco delle misure non è esaustivo e che la valutazione dipende dal contesto. Accessi, cifratura, capacità di ripristino e verifica dell’efficacia vanno quindi valutati in relazione ai trattamenti effettivi.
Mettere alla prova la protezione
Il lavoro può riguardare gestione degli accessi, configurazioni, continuità, backup, separazione degli ambienti e modalità di condivisione. Concordiamo quali controlli eseguire e quali evidenze raccogliere. Le debolezze tecniche vengono restituite con contesto e priorità, per supportare decisioni e responsabilità dell’organizzazione.
Preparazione e coordinamento
Una procedura utile identifica chi attivare, quali informazioni raccogliere e come coinvolgere gli interlocutori competenti in caso di evento. Formazione ed esercitazioni possono aiutare le persone a riconoscere situazioni e passaggi operativi. Eventuali ruoli professionali specifici richiedono un incarico distinto e non sono inclusi automaticamente nella consulenza.
Prima di iniziare.
Basta aggiornare i documenti?
Documentazione e operatività devono essere coerenti. Il confronto considera processi reali, sistemi, persone e misure applicate.
GDPR e cybersecurity sono lo stesso servizio?
Sono ambiti collegati ma diversi. La sicurezza tutela anche le informazioni e i servizi; il GDPR riguarda la protezione dei dati personali e i diritti degli interessati. Coordiniamo gli aspetti tecnici nel perimetro concordato.