Il Modello standard di protezione dei dati (SDM) è un quadro metodologico sviluppato dalle autorità tedesche di controllo della protezione dei dati per l'implementazione sistematica dei requisiti della direttiva. GDPR in Misure tecniche e organizzative (TOM). È stato rivisto l'ultima volta nella versione 3.1a ed è uno strumento indispensabile per i responsabili della protezione dei dati, i responsabili IT e i responsabili della conformità in particolare.
Obiettivi dell'SDM
L'SDM supporta la progettazione di attività di trattamento conformi alla protezione dei dati. Aiuta a selezionare le modalità di trattamento più adatte e a verificarne l'efficacia. I compiti centrali sono
Selezione orientata al rischio di misure adeguate
La prova della legalità del Elaborazione
Rispetto dei principi di cui agli artt. 5 e 25 GDPR
Supporto nelle valutazioni d'impatto sulla protezione dei dati (DPIA)
Suggerimento di lettura: Quando deve essere effettuata una valutazione d'impatto sulla protezione dei dati?
I sette obiettivi di garanzia dell'SDM
Un elemento centrale dell'SDM è la derivazione dei requisiti di protezione dei dati in cosiddetti obiettivi di garanzia, che fungono da ponte tra legge e tecnologia.
1. Minimizzazione dei dati: Dati personali possono essere trattati solo nella misura necessaria per il rispettivo scopo. La raccolta di dati su base conservata o sospetta è in contrasto con questo obiettivo.
2. DisponibilitàI dati devono essere disponibili quando servono. Questo vale non solo per le salvaguardie tecniche, come i backup e i sistemi di guasto, ma anche per gli aspetti organizzativi, come le regole di ruolo e di sostituzione.
3. IntegritàL'integrità dei dati deve essere garantita. Le misure tecniche di protezione devono impedire manipolazioni o modifiche non intenzionali o almeno renderle tracciabili.
4. RiservatezzaAccesso a Dati personali deve essere possibile solo per le persone autorizzate. Ciò include i diritti di accesso, Cifraturafirewall e corsi di formazione.
5. non collegabileL'obiettivo è quello di evitare che, a partire da vari record di dati, vengano creati profili o immagini personali complete che potrebbero mettere in pericolo il La privacy degli interessati. I collegamenti dei dati devono essere giustificati e limitati.
6. Trasparenza: Parti interessate e le autorità di controllo devono essere in grado di capire come vengono trattati i dati. Documentazione, Obbligo di informazione e gli elenchi interni delle procedure sono strumenti fondamentali a questo scopo.
7. Intervenibilità: Parti interessate devono esercitare i loro diritti di informazione, Correzione, Cancellazione e Contraddizione efficacemente. A tal fine è necessario creare e mantenere dei processi.
Questi sette obiettivi di garanzia sono direttamente collegati ai requisiti della GDPR e contribuire all'attuazione sistematica di misure di protezione specifiche.
Il cubo SDM: modellare le attività di elaborazione
Un concetto metodologico centrale è il cubo SDM, che combina tre dimensioni:
Livelli del Elaborazione:
Procedure specializzate (ad es. processi aziendali)
Applicazioni specializzate (ad es. soluzioni software)
Infrastruttura tecnica (ad es. Retibanche dati)
Fasi del ciclo di vita dei dati:
Raccolta, salvataggio, modifica, trasmissione, eliminazione, ecc.
Obiettivi di garanzia:
Vedi sopra
Il cubo SDM consente un'analisi strutturata e approfondita di ogni attività di trattamento in relazione alla conformità alle norme sulla protezione dei dati. Il modello combina le tre dimensioni centrali (fasi di trattamento, livelli di trattamento e obiettivi di garanzia) in una griglia di valutazione chiara e sistematica.
Questo collegamento consente di considerare ogni sottocomponente di un'attività di trattamento nel suo intero ciclo di vita: dalla raccolta al trattamento fino alla cancellazione dei dati. Allo stesso tempo, i vari livelli tecnici e organizzativi (ad esempio, processi, applicazioni, infrastrutture) e il loro contributo al raggiungimento degli obiettivi di garanzia della protezione dei dati sono resi verificabili.
Il modello tridimensionale che ne deriva aiuta i responsabili della protezione dei dati a identificare sistematicamente i rischi, a pianificare le misure di protezione adeguate, a documentarne l'attuazione e a valutarne costantemente l'efficacia. In questo modo, il cubo SDM non solo contribuisce all'ottimizzazione delle attività di trattamento esistenti, ma è anche uno strumento strategico per la progettazione di nuovi processi e sistemi in conformità alle normative sulla protezione dei dati.
Applicazione pratica: dal DSFA alla certificazione
L'SDM non è solo un modello teorico. Serve come guida metodologica per un gran numero di casi d'uso specifici, in particolare nel contesto della gestione della protezione dei dati, Sicurezza informatica e Conformità.
- Valutazione dell'impatto sulla protezione dei dati (DSFA, art. 35 GDPR)Per le attività di trattamento pianificate con un rischio elevato per i diritti e le libertà degli interessati, l'SDM fornisce un approccio strutturato per identificare, analizzare e valutare tali rischi. Aiuta a definire misure tecniche e organizzative appropriate che attenuino adeguatamente tali rischi. In particolare, gli obiettivi di garanzia fungono da linee guida per la valutazione sistematica dell'impatto sui diritti degli interessati. Protezione dei dati.
- Audit e controlloLe organizzazioni possono utilizzare l'SDM per analizzare le loro attività di elaborazione esistenti e confrontarle con uno stato target risultante dai requisiti del GDPR e i rispettivi obiettivi di garanzia. Il catalogo delle misure di riferimento che accompagna l'SDM supporta la revisione sistematica delle misure di protezione tecniche e organizzative. Ciò consente non solo di individuare i punti deboli, ma anche di ricavare misure di miglioramento mirate.
- Preparazione per le certificazioni di protezione dei dati (art. 42). GDPR)L'SDM può servire come base per valutare la conformità alla protezione dei dati e facilitare la preparazione per le certificazioni riconosciute. I criteri oggettivi, che si basano sugli obiettivi di garanzia e sulle considerazioni relative ai rischi, consentono una valutazione comprensibile della conformità alla protezione dei dati. Documentazione della strategia di protezione dei dati e creare fiducia tra i partner commerciali, i clienti e le autorità di controllo.
- Comunicazione con le autorità di vigilanzaL'SDM rappresenta un modello di riferimento comune che viene compreso e utilizzato sia dai responsabili del trattamento che dalle autorità di controllo della protezione dei dati. In questo modo è più facile discutere e Documentazione come parte delle procedure di controllo o quando si segnalano violazioni della protezione dei dati.
- Integrazione nei sistemi di gestione esistentiLa metodologia strutturata dell'SDM è ideale per essere integrata in sistemi di gestione già consolidati, come ad esempio il sistema di gestione delle risorse umane. Protezione della linea di base IT dell'Ufficio federale tedesco per la sicurezza delle informazioni (BSI) o ISO/IEC 27001, creando così una linea coerente tra protezione dei dati, sicurezza delle informazioni e gestione del rischio.
Nel complesso, l'SDM non fornisce solo una base teorica, ma anche strumenti collaudati per progettare, valutare e ottimizzare i processi conformi alla protezione dei dati.
Vantaggi per i responsabili della protezione dei dati
L'SDM offre notevoli vantaggi ai responsabili della protezione dei dati aziendali e ufficiali:
Sistematico e comprensibile la selezione delle misure
Facilitare la responsabilità (Art. 5 comma 2) GDPR)
Armonizzazione con standard come il BSI Protezione della linea di base IT
Comunicazione ottimizzata tra dipartimenti specializzati, IT e autorità di vigilanza
Trasparenza durante le ispezioni e gli audit
Conclusione: SDM come ponte tra diritto e tecnologia
Il Modello standard di protezione dei dati (SDM) si è affermato come strumento indispensabile per l'attuazione pratica del Regolamento generale sulla protezione dei dati. Esso colma il divario spesso lamentato tra i requisiti legali del GDPR e le specifiche condizioni tecniche e organizzative delle aziende e delle istituzioni pubbliche.
Grazie alla struttura sistematica con i sette obiettivi di garanzia, il cubo SDM e il catalogo delle misure di riferimento, il modello fornisce una base affidabile per analizzare, valutare e migliorare i processi di protezione dei dati in modo mirato. L'attenzione non si concentra solo sulla conformità ai requisiti di legge, ma anche sulla creazione di una cultura sostenibile della protezione dei dati che crei fiducia tra clienti, partner e autorità di vigilanza.
Per i responsabili della protezione dei dati, l'SDM è uno strumento metodico che fornisce indicazioni sia per la progettazione di nuove attività di trattamento sia per l'ottimizzazione dei processi esistenti. Facilita la presentazione di argomenti alla direzione, la comunicazione con i reparti IT e la procedura di audit o ispezione.
Inoltre, l'SDM supporta il miglioramento continuo delle misure di protezione dei dati nel senso di un sistema di gestione della protezione dei dati vivo. Non si tratta quindi di un semplice strumento di prova o di verifica, ma di uno strumento strategico per uno sviluppo organizzativo rispettoso della protezione dei dati.
Fonte: Il modello standard di protezione dei dati (versione 3.1a)
German 
English 
Italian 
French