A Audit è un buon test di realtà.
Non perché gli auditor facciano sempre le domande migliori. A volte lo fanno, altre volte no. Un Audit ha però una caratteristica che nel Protezione dei dati può essere molto salutare: non si interessa particolarmente a ciò che un’azienda fa realmente. Si interessa a ciò che si può mostrare.
È una differenza enorme.
In molte organizzazioni, in materia di protezione dei dati, succedono più cose di quanto sembri a prima vista. Ci sono valutazioni, consultazioni, contratti, autorizzazioni, corsi di formazione, elenchi, misure tecniche di protezione, TOM, verifiche DSFA e decisioni. Il problema di solito inizia solo nel momento in cui qualcuno chiede:
Potrebbe mostrarmelo, per favore?
A quel punto, spesso cala il silenzio.
Qualcuno si ricorda di un’e-mail. Da qualche parte c’era un verbale. L’ultima versione dell’elenco dovrebbe trovarsi su SharePoint. L’approvazione è avvenuta durante la riunione di progetto. Il fornitore di servizi è stato verificato, ma probabilmente in un’altra cartella. I TOM sono stati aggiornati, ma nessuno ricorda più con esattezza se prima o dopo la modifica del processo. Il Valutazione dell'impatto sulla protezione dei dati Potrebbe trovarsi presso l'ufficio legale. Oppure presso il dipartimento competente. Oppure presso la persona che nel frattempo non lavora più in azienda.
È il momento in cui Conformità si passa dall'affermazione alla questione probatoria.
Ed è proprio lì che si decide se la protezione dei dati sia davvero gestibile.
In breve: cosa sono le attestazioni relative alla protezione dei dati nell'ambito dell'audit?
Le attestazioni relative alla protezione dei dati non sono semplici documenti. Un’attestazione relativa alla protezione dei dati dimostra che una verifica, una decisione, un’autorizzazione o una misura è stata effettivamente effettuata in un contesto concreto.
Una buona documentazione risponde ad almeno sei domande:
- Quale processo è interessato?
- Chi ha deciso o verificato?
- Su quale base è stata presa la decisione?
- Quale versione era in vigore in quel momento?
- Quale misura o autorizzazione ne è derivata?
- Qual è la situazione attuale?
Sembra una constatazione sobria. Nel Audit È proprio questa lucidità a essere determinante.
Infatti, nel Audit Alla fine non è il ricordo che conta. È la traccia che conta.
L'evidenza prevale sull'affermazione
Il GDPR a questo punto è più chiaro di quanto molti vorrebbero. Il Persone responsabili deve non solo garantire il rispetto dei principi di protezione dei dati, ma anche essere in grado di dimostrarlo. Questo è il fulcro dell’obbligo di rendicontazione di cui all’articolo 5, paragrafo 2 GDPR.
Art. 24 GDPR va nella stessa direzione. Persone responsabili devono essere adeguati Misure tecniche e organizzative attuare, al fine di garantire e poter dimostrare che la Elaborazione in conformità con il GDPR vengono attuate. Tali misure devono essere riesaminate e, se necessario, aggiornate.
Questo non è formalismo. È la differenza tra la tutela dei dati intesa come intento e la tutela dei dati intesa come organizzazione solida.
Non basta redigere un documento una sola volta. Non basta definire una misura una sola volta. Non basta concedere un’autorizzazione una sola volta via e-mail.
I processi cambiano. I sistemi cambiano. I fornitori di servizi cambiano. I rischi cambiano. I reparti cambiano. Se la documentazione non si adegua a questi cambiamenti, si crea un divario tra ciò che accade effettivamente all’interno dell’azienda e ciò che potrà essere successivamente dimostrato.
Questa distanza è indicata nel Audit di solito più costoso del lavoro vero e proprio relativo alla protezione dei dati.
Perché spesso è difficile trovare le certificazioni relative alla protezione dei dati
Non credo che la maggior parte delle aziende gestisca male la protezione dei dati. Il problema è spesso più banale e, proprio per questo, più pericoloso: le prove vengono conservate nei posti sbagliati.
Una decisione viene presa via e-mail. Una misura è riportata in un ticket. Un contratto è in fase di acquisto. Una valutazione dei rischi è in mano all’ufficio legale. L’implementazione tecnica è descritta nella documentazione IT. Il reparto specialistico ha una propria versione del processo. Il responsabile della protezione dei dati fornisce una valutazione, ma l’attuazione non viene riportata in modo chiaro.
Non c'è nulla di male in tutto questo. È la vita di tutti i giorni.
Tuttavia, la vita quotidiana non è automaticamente soggetta a revisione.
A Audit Non chiedete: «Ne avete mai parlato?»
A Audit chiede: Chi ha deciso? Su quali basi? Quale versione era valida? Quale misura ne è derivata? Chi era responsabile? Quando è stata effettuata la verifica? Cosa è rimasto in sospeso? Cosa è stato modificato? Dove si trovano le prove?
Se queste domande vengono poste solo nel Audit Se non si risponde a queste domande, è troppo tardi. A quel punto inizia l’“archeologia della protezione dei dati”. Si recuperano le e-mail, si ricostruiscono le cronologie delle chat, si cercano vecchie versioni dei file, si interpellano i precedenti partecipanti al progetto e, partendo dai frammenti, si ricostruisce una storia che, si spera, sia ancora veritiera.
Io non lo chiamo “prova”, ma “ricerca di indizi con una scadenza”.
La casella postale non è un sistema di registrazione
L'e-mail è fantastica quando si vuole semplicemente comunicare. L'e-mail si rivela insufficiente non appena occorre gestire e documentare le comunicazioni.
Una casella di posta non ha alcun contesto specifico. Non sa a quale Elaborazione manca un'indicazione. Non è possibile sapere se un’azione sia stata portata a termine. Non è possibile sapere se un’approvazione fosse definitiva o solo una valutazione provvisoria. Non è possibile sapere quale versione di un documento fosse in vigore al momento della decisione. Non è possibile sapere se una risposta sia stata successivamente superata da una modifica.
Certo, è possibile effettuare ricerche nelle e-mail. Ma è come voler svuotare una cantina con un cucchiaino. Semplicemente non è una buona strategia operativa.
Lo stesso vale per le unità disco. Una cartella ben organizzata può essere d’aiuto. Una cartella mal organizzata è una leggenda a sé stante. Una cartella denominata “Protezione dei dati – definitiva” infonde tranquillità, finché al suo interno non si trovano cinque sottocartelle con nomi simili e nessuno sa più quale documento costituisse la base vincolante.
La protezione dei dati non ha bisogno di ulteriori archivi. La protezione dei dati ha bisogno di una logica di tracciabilità.
La documentazione deve essere redatta nel luogo in cui si svolge il lavoro.
La differenza tra documentazione e prova
Molte aziende confondono Documentazione con prova documentale. È comprensibile, ma rischioso.
Un documento dice: «Qui c'è scritto qualcosa».
Una prova attesta che una determinata questione è stata esaminata, decisa o attuata in un determinato momento, da una determinata figura, sulla base di determinati criteri e nell’ambito di una determinata procedura.
È tutta un'altra cosa.
Una linea guida è un documento. Si può parlare di prova solo quando è evidente che la linea guida è stata approvata, comunicata, applicata, verificata e, se necessario, aggiornata.
A Registro delle attività di trattamento è uno strumento di documentazione. Una prova si configura solo quando è chiaro chi sia il Elaborazione ha segnalato, verificato, approvato, modificato e rivalutato.
Una descrizione TOM è un documento. Si può parlare di prova solo quando è evidente che l’intervento è stato effettivamente attuato, attribuito al responsabile competente e verificato regolarmente.
La consulenza in materia di protezione dei dati è un servizio specialistico. Si ha prova di tale servizio solo quando la raccomandazione è collegata a un’operazione, a una decisione, a una misura o a uno stato.
Sembra pignolo. Ma non lo è. È proprio la differenza che nel Audit è questo che determina se si può spiegare o dimostrare.
Cosa viene realmente chiesto durante un audit sulla protezione dei dati
Gli audit possono essere di vario tipo. Un audit interno Audit pone domande in modo diverso rispetto a un audit dei clienti. Una verifica ISO pone domande in modo diverso rispetto a una Autorità di vigilanza. Un processo di due diligence in ambito M&A si differenzia da un’indagine su un incidente relativo alla protezione dei dati.
Ciononostante, molte domande convergono tutte sullo stesso punto fondamentale:
L'azienda è in grado di dimostrare che il proprio sistema di gestione della protezione dei dati funziona?
A tal proposito, di solito non vengono sollevate questioni astratte di principio. Si tratta di questioni pratiche:
Il RoPA è aggiornato? Le responsabilità sono ben definite? I nuovi trattamenti vengono registrati tempestivamente? Esistono autorizzazioni? Le modifiche sono tracciabili? I fornitori di servizi sono stati verificati? I rischi sono stati valutati? Sono state attuate le misure previste? Esistono attestati di formazione? I diritti degli interessati vengono gestiti in modo corretto? Esistono prove relative a incidenti, valutazioni d’impatto sulla protezione dei dati (DSFA), misure tecniche e organizzative (TOM), termini di cancellazione e trasferimenti verso paesi terzi?
Art. 30 GDPR richiesto per il Registro delle attività di trattamento tra cui informazioni relative alle finalità, alle categorie di interessati e di dati, ai destinatari, ai trasferimenti verso paesi terzi, ai termini di cancellazione e alle misure tecniche e organizzative. Il registro deve essere tenuto in forma scritta o elettronica e il Autorità di vigilanza saranno forniti su richiesta.
Il RoPA non è quindi un documento secondario. È uno dei pilastri fondamentali per la verificabilità.
Ma un RoPA da solo non basta se i documenti giustificativi non sono in regola.
Perché RoPA e la documentazione vanno di pari passo
Il Registro delle attività di trattamento illustra quali trattamenti dei dati vengono effettuati all’interno dell’azienda. Descrive le finalità, le categorie di dati, i destinatari, i termini di conservazione, Misure tecniche e organizzative e altre informazioni fondamentali.
Proprio per questo il RoPA rappresenta un punto di partenza ideale per la documentazione.
Se una Elaborazione Se una procedura è riportata nel RoPA, in tale documento dovrebbero essere indicati anche i controlli, le decisioni, i rischi, le approvazioni, le misure e le modifiche ad essa correlate.
In caso di richiesta da parte di un interessato, è possibile individuare più rapidamente quali processi e sistemi siano rilevanti. In caso di verifica DSFA, si può vedere quale caso d’uso sia interessato. In caso di cambio di fornitore di servizi, è possibile ricostruire quali trattamenti siano interessati. In caso di Audit non si può semplicemente dire che si tratta di una Elaborazione esiste. È possibile illustrare come sia stata verificata e controllata.
Se invece il RoPA viene gestito separatamente, si crea nuovamente un doppio lavoro. Il Elaborazione si trova nella directory, il contratto nell’ufficio acquisti, i TOM nell’IT, la valutazione presso il DSB, l’approvazione nel verbale della riunione e lo stato delle misure in qualche elenco.
Può funzionare, purché qualcuno abbia tutto ben chiaro in mente.
Ma un sistema che dipende dalla memoria dei singoli individui non è un sistema particolarmente valido.
Il RoPA e i documenti giustificativi devono essere coerenti tra loro.
| Domanda di audit | Prove contenute nelle e-mail e nei dispositivi di archiviazione | Documentazione su un'unica piattaforma |
|---|---|---|
| Chi ha deciso? | Si cercano verbali, e-mail o vecchi file condivisi. | La decisione, il ruolo e la data sono documentati nella pratica. |
| Quale versione era in vigore? | È necessario confrontare diversi file con nomi simili. | Le versioni e la cronologia delle modifiche sono tracciabili. |
| Quale Elaborazione È coinvolto? | Il collegamento deve essere effettuato manualmente. | I documenti giustificativi sono collegati direttamente agli oggetti RoPA/VVT. |
| Quale misura è ancora in sospeso? | I compiti sono riportati nelle e-mail, nei ticket o negli elenchi Excel. | Sono visibili lo stato, il responsabile e le scadenze. |
| Cosa è stato verificato? | Le valutazioni sono distribuite tra DSB, l'ufficio legale, l'IT o il dipartimento di competenza. | Le verifiche sono assegnate in modo strutturato al processo. |
| Cosa si può mostrare all'auditor? | È in fase di ricostruzione. | Viene esportato, visualizzato o riportato. |
Questo confronto è volutamente semplice. È proprio questo il punto.
La capacità di sottoporsi a un audit spesso non è un problema di comprensione, ma un problema organizzativo.
Cosa contraddistingue i processi di protezione dei dati verificabili
Un processo di protezione dei dati conforme ai requisiti di audit non inizia con il Audit. Si avvia durante il normale svolgimento del lavoro.
Quando un dipartimento avvia un nuovo Elaborazione Quando viene segnalato un caso, dovrebbe essere chiaro quali informazioni sono necessarie. Quando il responsabile della protezione dei dati (DSB) esprime un parere, questo dovrebbe essere associato al caso. Se sono coinvolti l’ufficio legale o l’IT, le loro verifiche non dovrebbero finire nel cestino. Quando viene concessa un’autorizzazione, questa dovrebbe essere documentata indicando data, ruolo, condizioni e data di revisione. Quando viene definita una misura, questa deve avere un responsabile, una scadenza e uno stato.
La preparazione all'audit non si ottiene quindi con una grande operazione di riordino effettuata poco prima della data dell'audit.
Si genera attraverso un processo che produce automaticamente la relativa documentazione.
Ritengo che questa sia una delle differenze più significative in termini di maturità nella gestione della protezione dei dati.
In un sistema non ancora maturo, la tracciabilità viene affrontata a posteriori. Si lavora, si prendono decisioni, si controlla e poi, in un secondo momento, si cerca insieme di capire cosa ne sia rimasto.
In un sistema maturo, la verifica avviene durante il lavoro. Non come un onere aggiuntivo, ma come parte integrante del processo.
Questa è la differenza tra la gestione della protezione dei dati e il controllo della protezione dei dati.
Perché le versioni e le approvazioni vengono spesso sottovalutate
Le versioni sembrano noiose. Anche le versioni stabili. Finché qualcosa non va storto.
A quel punto diventa improvvisamente rilevante quale versione di una valutazione dei rischi fosse in vigore, quale descrizione TOM sia stata utilizzata, se la DSFA sia stata aggiornata prima o dopo una modifica del processo, chi abbia effettuato una Elaborazione se l'autorizzazione è stata concessa e se tale autorizzazione era soggetta a determinate condizioni.
Un'autorizzazione priva di contesto ha scarso valore. Un'autorizzazione dovrebbe indicare cosa è stato autorizzato esattamente, su quali basi, da chi, con quali condizioni e in quali circostanze sia necessaria una nuova verifica.
Lo stesso vale per le versioni. Se una Elaborazione Quando qualcosa cambia, non basta limitarsi a considerare la situazione attuale. A volte è necessario anche capire qual era la situazione precedente e perché è stato apportato il cambiamento. Proprio in caso di audit, reclami o incidenti, questa cronologia può rivelarsi determinante.
Le organizzazioni che gestiscono in modo ordinato le versioni e le approvazioni spesso non sembrano nulla di straordinario.
È proprio questo il bello.
Una buona governance raramente è spettacolare. Il più delle volte è facile da individuare.
Il responsabile della protezione dei dati esterno come parte della logica di verifica
Un responsabile esterno della protezione dei dati può fare davvero la differenza in questo contesto. Ma solo se la sua consulenza non avviene al di fuori del sistema.
Se il responsabile della protezione dei dati esterno invia una valutazione via e-mail e questa e-mail viene successivamente archiviata da qualche parte, è meglio di niente. Ma rimane comunque una soluzione precaria. La valutazione deve essere conservata insieme ai dati in questione Elaborazione, al progetto, all’intervento o alla decisione. Solo così la consulenza si trasforma in una prova attendibile.
Art. 38 GDPR richiede che il responsabile della protezione dei dati sia coinvolto in modo adeguato e tempestivo in tutte le questioni relative alla protezione dei dati personali. Egli riferisce direttamente al vertice aziendale. Ciò dimostra che il responsabile della protezione dei dati non è concepito come una figura di secondo piano con funzione puramente consultiva. Egli è parte integrante del processo.
Nel caso di un mandato esterno del responsabile della protezione dei dati (DSB), questo aspetto è particolarmente importante. Il DSB non partecipa automaticamente a tutte le riunioni e non viene automaticamente a conoscenza di ogni modifica. Per questo motivo ha bisogno di canali di informazione ben definiti, di una procedura di avvio dei progetti, di riunioni periodiche e di interfacce per la documentazione.
Se le sue indicazioni devono portare a decisioni, azioni e prove concrete, devono arrivare proprio dove opera l’azienda.
È proprio qui che entra in gioco Ailance Externer DSB: consulenza specialistica, gestione operativa e documentazione comprovata vanno di pari passo.
| Cosa serve | Come dovrebbe essere fornito | In che modo Ailance supporta RoPA e il responsabile della protezione dei dati esterno |
|---|---|---|
| Aggiornamenti RoPA/VVT | Le attività di trattamento devono essere gestite indicando le finalità, i dati, i destinatari, i termini di conservazione, le misure tecniche e organizzative (TOM) e le responsabilità. | Ailance RoPA integra le elaborazioni con i ruoli, i flussi di lavoro, i controlli e le certificazioni. |
| Verifica sul posto | La consulenza, le approvazioni, le verifiche e gli interventi dovrebbero essere affidati direttamente alla Elaborazione, al progetto o al rischio. | I documenti giustificativi non vengono archiviati separatamente, ma collegati agli oggetti di governance pertinenti. |
| Responsabilità | Ogni misura, verifica e approvazione richiede un responsabile. | Nel flusso di lavoro è possibile gestire e rendere visibili compiti, ruoli e responsabilità. |
| Versioni e cronologia | Le modifiche devono rimanere tracciabili. | La cronologia delle modifiche e la logica degli stati aiutano a contestualizzare le decisioni precedenti e gli stati attuali. |
| Autorizzazioni con condizioni | Le autorizzazioni dovrebbero documentare cosa è stato consentito e a quali condizioni. | Le approvazioni possono essere associate a stati, condizioni, scadenze di revisione e azioni. |
| Integrazione esterna del responsabile della protezione dei dati | Le valutazioni della DSB devono trovare riscontro nei progetti, nel RoPA, nei rischi e nelle misure. | Il responsabile della protezione dei dati esterno di Ailance coniuga la consulenza con la gestione operativa dei mandati e la documentazione. |
| Reportistica gestionale | I dirigenti hanno bisogno di dati sullo stato attuale, sui rischi, sulle misure in corso e sulle tendenze. | Ailance supporta la generazione di report basati su dati strutturati anziché su query manuali. |
La domanda scomoda che ci si pone prima di ogni audit
Quanto tempo le ci vorrebbe oggi per raccogliere la documentazione più importante in materia di protezione dei dati?
Non in teoria, ma OGGI.
Il RoPA attuale. Le ultime modifiche rilevanti. Una selezione delle approvazioni. La documentazione relativa alle verifiche dei fornitori di servizi. Le TOM relative ai trattamenti critici. L’ultima DSFA. Attestati di formazione. Gestione delle richieste degli interessati. Misure in sospeso. Rapporti di gestione. Documentazione relativa agli incidenti di protezione dei dati. Valutazioni del DSB su progetti rilevanti.
Se la risposta è: «Dovremmo raccoglierli tutti», non è certo la fine del mondo, ma la normalità in molte organizzazioni.
Ma è anche un’indicazione del fatto che la protezione dei dati è ancora troppo legata agli archivi e troppo poco ai processi.
A Audit non è solo un esame, ma piuttosto uno specchio.
La conformità deve essere rintracciabile
Mi piace la frase “Conformità ”bisogna metterlo in pratica" solo in misura limitata. È vero, ma è un concetto vago. Tutti annuiscono, ma nessuno sa esattamente cosa dovrebbe cambiare lunedì mattina.
Lo formulerei in modo più pratico:
Conformità deve essere reperibile.
Se è stata attuata una misura, bisogna individuarla. Se è stata presa una decisione, bisogna individuarla. Se è stato valutato un rischio, bisogna individuare la valutazione. Se una Elaborazione Se è stata apportata una modifica, occorre verificare quando e perché. Se il DSB ha deliberato, la delibera deve essere riportata nel contesto corretto. Se la direzione ha preso una decisione, questa deve essere documentata.
La reperibilità sembra una cosa da poco.
In realtà, è un criterio fondamentale per una buona governance.
Infatti, ciò che non si riesce a trovare, è nel Audit quasi sgradevole quanto la sua assenza.
Perché questo è rilevante dal punto di vista economico
La gestione della documentazione viene spesso considerata una mera questione di conformità. Si tratta di una visione troppo ristretta.
Una gestione inadeguata della documentazione costa denaro. Non sempre è visibile sulla fattura, ma si traduce inevitabilmente in perdita di tempo, interruzioni e lavoro aggiuntivo. I team devono cercare documenti, ricostruire le decisioni, richiedere nuovamente informazioni ai reparti specializzati, compilare manualmente i report e ripetere le verifiche, poiché lo stato precedente non è chiaramente tracciabile.
Nel caso di un singolo Audit È fastidioso.
A lungo andare, diventa costoso.
Una buona gestione della documentazione riduce questo carico di lavoro. Accorcia la durata degli audit. Rende più facile rispondere alle richieste dei clienti. È d’aiuto nelle richieste di offerta (RFP). Alleggerisce il carico di lavoro dei team addetti alla protezione dei dati. Riduce la dipendenza da singole persone. Migliora le decisioni manageriali. Inoltre, rende più efficace la consulenza esterna in materia di protezione dei dati, poiché le segnalazioni non finiscono nel dimenticatoio.
Questo è il ROI della capacità di sottoporsi a audit.
Niente di spettacolare, ma molto reale.
Dal fascicolo di documentazione al sistema di controllo
Un tempo un fascicolo di documentazione era una cartellina, ma oggi dovrebbe essere un processo.
Potrebbe sembrare una frase tratta dal prospetto informativo di un software. In realtà, però, si riferisce a qualcosa di molto concreto: i documenti relativi alla protezione dei dati devono essere redatti proprio dove si svolge l’attività che riguarda la protezione dei dati.
Una nuova Elaborazione Viene segnalato. Il dipartimento competente fornisce le informazioni. Il responsabile della protezione dei dati (DSB) verifica. Il reparto legale o IT integra le informazioni. Viene decisa una misura. Viene documentata l'approvazione. Viene fissata una data per la revisione. Una modifica viene tracciata in un secondo momento.
Alla fine non si ottiene solo un’operazione completata, ma si crea anche una traccia attendibile.
Questa traccia è il fascicolo probatorio moderno. Non è statica. Cresce di pari passo con il processo. È collegata all’oggetto corretto. È rintracciabile. Può essere segnalata. Può essere inserita nel Audit vengono mostrati.
È proprio così che dovrebbe funzionare la gestione della protezione dei dati.
Come interagiscono Ailance RoPA e Ailance Externer DSB
Ailance RoPA fornisce la base strutturata: trattamenti, finalità, categorie di dati, destinatari, fornitori di servizi, termini di conservazione, TOM e responsabilità. Questa struttura rappresenta il punto in cui le informazioni sulla protezione dei dati confluiscono in modo sistematico.
Ailance DSB esterno integra la gestione tecnica e operativa. Il DSB valuta, stabilisce le priorità, segnala, formula raccomandazioni, fornisce supporto in caso di rischi e aiuta a tradurre i requisiti in misure concrete.
Il vantaggio si ottiene quando le due cose si uniscono.
In tal caso, il RoPA non è un elenco isolato e il DSB non è un’isola di consulenza. Elaborazione, la consulenza, la decisione, l'intervento e la documentazione sono strettamente interconnessi.
Non si tratta di un miglioramento puramente estetico, ma di un cambiamento che incide sul lavoro.
Il responsabile della protezione dei dati capisce più rapidamente di cosa si tratta. Il dipartimento competente fornisce informazioni più mirate. La direzione dispone di basi decisionali migliori. Gli audit si svolgono in modo meno frenetico. La documentazione non va più raccolta a pezzi, ma viene semplicemente recuperata.
Questa è la differenza tra Conformità affermare e Conformità gestire.
Conclusione
Conformità è buona solo se si riesce a mostrarla.
In materia di protezione dei dati, ciò significa che: documentazione, responsabilità, versioni e approvazioni non devono essere raccolte solo al termine di un processo, ma devono essere parte integrante dello stesso.
Le e-mail e le unità di archiviazione possono essere d’aiuto, ma non sostituiscono un sistema di tracciabilità. Un RoPA aggiornato, verifiche correttamente collegate tra loro, valutazioni del Responsabile della protezione dei dati (DSB) documentate, responsabili chiari, approvazioni tracciabili e un sistema di rendicontazione solido rendono la protezione dei dati idonea all’audit.
Negli audit non conta ciò che si fa effettivamente. Ciò che conta è ciò che è tracciabile, aggiornato e reperibile.
O, per dirla con le parole di una chiacchierata davanti a una tazza di caffè: se solo nel Audit Quando avete iniziato a cercare, forse la vostra protezione dei dati era già presente, ma non ancora sufficientemente controllabile.
Domande e risposte
Come si preparano in modo efficiente i documenti relativi alla protezione dei dati per gli audit?
La documentazione relativa alla protezione dei dati può essere redatta in modo efficiente se viene prodotta già nel corso delle normali attività di gestione della protezione dei dati. Consulenze, approvazioni, misure, verifiche, versioni e decisioni dovrebbero essere collegate direttamente alla rispettiva Elaborazione, al progetto o al rischio. Pertanto, la documentazione deve essere Audit non possono essere ricostruiti, ma possono essere mostrati o descritti nell’ambito del processo stesso.
Quali documenti relativi alla protezione dei dati sono particolarmente importanti per un audit sul GDPR?
Tra i documenti importanti in materia di protezione dei dati figurano un RoPA/VVT aggiornato, autorizzazioni, valutazioni dei rischi, documentazione relativa alla valutazione d'impatto sulla protezione dei dati (DSFA), TOM, verifiche dei fornitori di servizi, attestati di formazione, documentazione relativa alle richieste degli interessati, documentazione sugli incidenti, valutazioni del responsabile della protezione dei dati (DSB), rapporti di gestione e stato delle misure. È fondamentale non solo che tali documenti esistano, ma anche che siano aggiornati, reperibili e associati alla pratica corretta.
Perché le e-mail e le unità di memoria non sono sufficienti per dimostrare la conformità alle norme sulla protezione dei dati?
Le e-mail e le unità di memoria archiviano informazioni, ma raramente riflettono il contesto tecnico. Nel Audit deve essere chiaro quale Elaborazione chi era coinvolto, chi ha deciso quale versione fosse valida, quale misura ne sia derivata e se l'attuazione sia verificabile. Questi nessi si perdono facilmente nelle strutture delle e-mail e dei dischi rigidi.
Qual è la differenza tra la documentazione sulla protezione dei dati e la certificazione sulla protezione dei dati?
La documentazione sulla protezione dei dati registra le informazioni. Una prova relativa alla protezione dei dati dimostra che una verifica, una decisione, un’autorizzazione o una misura è stata effettivamente effettuata in un determinato contesto. Ai fini degli audit sono quindi determinanti la data, il ruolo, la versione, la base giuridica, la decisione, lo stato e l’attribuzione alla procedura specifica.
Che ruolo svolge il RoPA nell'auditabilità in materia di protezione dei dati?
Il RoPA costituisce un punto di riferimento fondamentale per la verificabilità della protezione dei dati. Esso illustra quali attività di trattamento esistono e quali finalità, dati, destinatari, termini di cancellazione e misure tecniche e organizzative sono rilevanti. Quando la documentazione è direttamente collegata agli elementi del RoPA, la protezione dei dati diventa notevolmente più facile da verificare, documentare e gestire.
Quale software supporta le aziende nella documentazione relativa alla protezione dei dati, al RoPA e alla verificabilità?
Le aziende dovrebbero utilizzare un software che integri tra loro attività di trattamento, responsabilità, verifiche, rischi, misure, approvazioni, versioni e documentazione. Ailance RoPA e Ailance Externer DSB supportano questo approccio, in quanto la consulenza in materia di protezione dei dati, il controllo operativo e la documentazione non vengono trattati separatamente, ma integrati in un unico processo comune.
German 
English 
Italian 
French