Il Modello standard di protezione dei dati (SDM) è un quadro metodologico sviluppato dalle autorità tedesche di controllo della protezione dei dati per l'implementazione sistematica dei requisiti della direttiva. GDPR in misure tecniche e organizzative (TOM). È stato aggiornato da ultimo alla versione 3.1a ed è destinato in particolare ai responsabili della protezione dei dati, agli esperti IT,Persone responsabili e Conformità-Manager: uno strumento indispensabile.
Obiettivi dell'SDM
L'SDM supporta l'organizzazione delle attività di trattamento nel rispetto della normativa sulla protezione dei dati. Aiuta a selezionare misure tecniche e organizzative (TOM) adeguate e a verificarne l'efficacia. I compiti principali sono:
Selezione delle misure adeguate in base al rischio
La prova della legalità del Elaborazione
Rispetto dei principi di cui agli artt. 5 e 25 GDPR
Assistenza nella valutazione d'impatto sulla protezione dei dati (DSFA)
Suggerimento di lettura: Quando è necessario effettuare una valutazione d'impatto sulla protezione dei dati?
I sette obiettivi di garanzia dell'SDM
Un elemento fondamentale dell’SDM è la trasposizione dei requisiti previsti dalla normativa sulla protezione dei dati nei cosiddetti “obiettivi di garanzia”, che fungono da ponte tra diritto e tecnologia.
1. Minimizzazione dei dati: Dati personali possono essere trattati solo nella misura necessaria al raggiungimento della finalità specifica. La raccolta di dati a titolo preventivo o sulla base di semplici sospetti è in contrasto con tale obiettivo.
2. Disponibilità: I dati devono essere disponibili quando servono. Ciò non riguarda solo le misure tecniche di sicurezza, come i backup e i sistemi di riserva, ma anche gli aspetti organizzativi, quali le regole relative ai ruoli e alle sostituzioni.
3. Integrità: È necessario garantire l'autenticità dei dati. Le misure tecniche di protezione devono impedire manipolazioni o modifiche involontarie oppure, quantomeno, renderle tracciabili.
4. RiservatezzaAccesso a Dati personali deve essere consentito solo alle persone autorizzate. Tra questi rientrano i diritti di accesso, Crittografiafirewall e corsi di formazione.
5. non collegabile: Si vuole impedire che, a partire da diversi insiemi di dati, si creino profili o immagini complete delle persone che possano Privacy che possano ledere gli interessati. I collegamenti tra i dati devono essere motivati e limitati.
6. Trasparenza: Parti interessate e le autorità di controllo devono essere in grado di capire come vengono trattati i dati. Documentazione, Obbligo di informazione e gli elenchi delle procedure interne sono strumenti fondamentali a tal fine.
7. Intervenibilità: Parti interessate devono esercitare i loro diritti di informazione, Correzione, Cancellazione e Contraddizione efficacemente. A tal fine è necessario creare e mantenere dei processi.
Questi sette obiettivi di garanzia sono direttamente collegati ai requisiti della GDPR e contribuire all'attuazione sistematica di misure di protezione specifiche.
Il cubo SDM: modellizzazione delle attività di elaborazione
Un concetto metodologico fondamentale è il cubo SDM, che combina tre dimensioni:
Livelli del Elaborazione:
Procedure specialistiche (ad es. processi aziendali)
Applicazioni specialistiche (ad es. soluzioni software)
Infrastruttura tecnica (ad es. Retibanche dati)
Fasi del ciclo di vita dei dati:
Raccogliere, salvare, modificare, trasmettere, cancellare ecc.
Obiettivi di garanzia:
Vedi sopra
Il modello SDM consente un’analisi strutturata e approfondita di ogni attività di trattamento ai fini della conformità alle norme sulla protezione dei dati. Il modello integra le tre dimensioni centrali (fasi di trattamento, livelli di trattamento e obiettivi di garanzia) in una griglia di valutazione chiara e sistematica.
Questo collegamento consente di considerare ogni singolo elemento di un’attività di trattamento nel suo intero ciclo di vita: dalla raccolta al trattamento fino alla cancellazione dei dati. Allo stesso tempo, i diversi livelli tecnici e organizzativi (ad es. processi, applicazioni, infrastrutture) e il loro contributo al raggiungimento degli obiettivi di garanzia previsti dalla normativa sulla protezione dei dati diventano verificabili.
Il modello tridimensionale che ne risulta aiuta i responsabili della protezione dei dati a identificare sistematicamente i rischi, a pianificare misure di protezione adeguate, a documentarne l’attuazione e a valutarne costantemente l’efficacia. In questo modo, il cubo SDM non solo contribuisce all’ottimizzazione delle attività di trattamento esistenti, ma costituisce anche uno strumento strategico per la progettazione di nuovi processi e sistemi conformi alla normativa sulla protezione dei dati.
Applicazione pratica: dal DSFA alla certificazione
L'SDM non è solo un modello teorico. Funge da guida metodologica per una vasta gamma di casi applicativi concreti, in particolare nell'ambito della gestione della protezione dei dati, Sicurezza informatica e Conformità.
- Valutazione d'impatto sulla protezione dei dati (DSFA, art. 35 GDPR): Nel caso di operazioni di trattamento pianificate che comportano un rischio elevato per i diritti e le libertà degli interessati, l’SDM offre un approccio strutturato per l’identificazione, l’analisi e la valutazione di tali rischi. Aiuta a definire misure tecniche e organizzative adeguate che riducano tali rischi in modo appropriato. In particolare, gli obiettivi di garanzia fungono in questo contesto da linee guida per la valutazione sistematica dell’impatto sul Protezione dei dati.
- Audit e controlloLe organizzazioni possono utilizzare l'SDM per analizzare le loro attività di elaborazione esistenti e confrontarle con uno stato target risultante dai requisiti del GDPR e i rispettivi obiettivi di garanzia. Il catalogo delle misure di riferimento che accompagna l'SDM supporta la revisione sistematica delle misure di protezione tecniche e organizzative. Ciò consente non solo di individuare i punti deboli, ma anche di ricavare misure di miglioramento mirate.
- Preparazione per le certificazioni di protezione dei dati (art. 42). GDPR): L'SDM può fungere da base per la valutazione della conformità alla normativa sulla protezione dei dati e facilitare la preparazione alle certificazioni riconosciute. I criteri oggettivi, basati sugli obiettivi di garanzia e sulle valutazioni dei rischi, consentono una valutazione tracciabile Documentazione della strategia sulla protezione dei dati e infondiamo fiducia nei partner commerciali, nei clienti e nelle autorità di vigilanza.
- Comunicazione con le autorità di vigilanza: L’SDM rappresenta un modello di riferimento comune, compreso e utilizzato sia dagli organismi responsabili che dalle autorità di controllo della protezione dei dati. In questo modo facilita l’argomentazione e Documentazione nell'ambito di procedure di controllo o in caso di segnalazione di violazioni della protezione dei dati.
- Integrazione nei sistemi di gestione esistenti: La metodologia strutturata dell’SDM si presta in modo eccellente all’integrazione in sistemi di gestione già consolidati come il Protezione della linea di base IT dell’Ufficio federale per la sicurezza informatica (BSI) o della norma ISO/IEC 27001. Ciò garantisce una linea di continuità tra protezione dei dati, sicurezza delle informazioni e gestione dei rischi.
Nel complesso, emerge che l’SDM non solo fornisce una base teorica, ma anche strumenti collaudati nella pratica per la progettazione, la valutazione e l’ottimizzazione di processi conformi alla normativa sulla protezione dei dati.
Vantaggi per i responsabili della protezione dei dati
Per i responsabili della protezione dei dati aziendali e delle autorità, l’SDM offre notevoli vantaggi:
Sistematico e comprensibile la scelta delle misure
Facilitare la responsabilità (Art. 5 comma 2) GDPR)
Armonizzazione con standard come il BSI Protezione della linea di base IT
Comunicazione ottimizzata tra i dipartimenti, l'IT e le autorità di vigilanza
Trasparenza durante le ispezioni e gli audit
Conclusione: l’SDM come ponte tra diritto e tecnologia
Il Modello standard di protezione dei dati (SDM) si è affermato come strumento indispensabile per l'attuazione pratica del Regolamento generale sulla protezione dei dati. Colma il divario, spesso lamentato, tra i requisiti giuridici del RGPD e le concrete realtà tecniche e organizzative presenti nelle imprese e negli enti pubblici.
Grazie alla sua struttura sistematica, che comprende i sette obiettivi di garanzia, il cubo SDM e il catalogo delle misure di riferimento, il modello offre una base solida per analizzare, valutare e migliorare in modo mirato i processi di protezione dei dati. L’attenzione non è rivolta solo al rispetto dei requisiti di legge, ma anche alla creazione di una cultura sostenibile della protezione dei dati, in grado di instaurare un clima di fiducia tra clienti, partner e autorità di controllo.
Per i responsabili della protezione dei dati, l’SDM funge da strumento metodologico che offre un orientamento sia nella progettazione di nuove attività di trattamento sia nell’ottimizzazione dei processi esistenti. Facilita la presentazione delle argomentazioni alla direzione aziendale, la comunicazione con i reparti IT e la gestione di audit o controlli.
Inoltre, l’SDM favorisce il miglioramento continuo delle misure di protezione dei dati nell’ottica di un sistema di gestione della protezione dei dati dinamico. Non si tratta quindi solo di uno strumento di verifica o di documentazione, ma di uno strumento strategico per uno sviluppo organizzativo orientato alla protezione dei dati.
Fonte: Il modello standard di protezione dei dati (versione 3.1a)
German 
English 
Italian 
French