La casella postale non è un sistema di registrazione
In molte organizzazioni che si occupano di protezione dei dati, le tracce si formano proprio dove si svolge il lavoro quotidiano: nelle e-mail, nelle chat di Teams, nelle unità di disco, nei sistemi di ticket, nelle cartelle dei progetti o nella documentazione relativa agli acquisti. Le decisioni vengono concordate via e-mail, le approvazioni vengono confermate su Teams, Misure tecniche e organizzative archiviati in file, le verifiche dei fornitori in fase di acquisto documentate e le valutazioni del responsabile della protezione dei dati salvate nella documentazione di progetto.
Per il funzionamento quotidiano, questa soluzione può andare bene inizialmente. Le persone coinvolte sanno dove si trovano le varie informazioni e, finché sono disponibili le stesse persone, è ancora possibile ricostruire gran parte delle cose. La situazione si complica però quando un Audit, una verifica dei clienti, un rapporto di gestione o una richiesta da parte della Autorità di vigilanza è in programma. A quel punto non sarà più sufficiente che esista un documento da qualche parte.
L’elemento decisivo è se la rispettiva documentazione possa essere attribuita alla pratica corretta. Deve rimanere chiaro a quale Elaborazione, a quale rischio, a quale fornitore di servizi, a quale richiesta degli interessati, a quale caso d’uso dell’IA o a quale autorizzazione si riferisce la prova. Se manca questo collegamento, non si ottiene una prova attendibile Documentazione, bensì una raccolta di informazioni isolate, il cui nesso deve essere ricostruito solo in sede di verifica.
I documenti relativi alla protezione dei dati devono essere associati alla pratica
Una documentazione relativa alla protezione dei dati è però molto più di un semplice file archiviato. Essa dimostra che una verifica, una decisione, un’autorizzazione o un provvedimento hanno avuto luogo in un contesto operativo concreto. A tal fine non bastano il nome del file o la posizione in cui è archiviato. Sono necessari, in particolare, il colpiti Operazione, ruolo responsabile, data, versione di riferimento, base decisionale e stato attuale.
Se questo collegamento viene stabilito solo nel Audit Se ciò non avviene, ne derivano oneri aggiuntivi evitabili. In tal caso è necessario cercare tra le e-mail, confrontare le versioni dei file, interpellare i precedenti partecipanti al progetto e mettere insieme le informazioni provenienti da diversi sistemi. In singoli casi ciò può riuscire, ma non sostituisce un sistema di documentazione affidabile.
L'e-mail, Teams e le unità di archiviazione sono luoghi di archiviazione, ma non costituiscono una struttura di governance
L’e-mail, Teams, SharePoint e le strutture di archiviazione tradizionali sono utili per la comunicazione e l’archiviazione dei file. Tuttavia, non costituiscono automaticamente il contesto normativo in materia di protezione dei dati di una Elaborazione . Una casella di posta elettronica non è in grado di stabilire se una valutazione fosse definitiva, se una raccomandazione si sia effettivamente tradotta in un provvedimento, quale fosse la base giuridica vigente al momento della decisione o se un’autorizzazione fosse subordinata a determinate condizioni.
Anche un sistema di archiviazione ben strutturato risolve questo problema solo in parte. Una cartella può contenere documenti, ma non garantisce che le responsabilità, le versioni, le approvazioni, i promemoria e lo stato delle azioni rimangano tracciabili nel tempo. La governance della protezione dei dati non inizia quindi dalla domanda su dove venga archiviato un documento, ma dalla domanda a quale processo esso sia assegnato.
L'obbligo di rendicontazione ai sensi del GDPR richiede prove attendibili
Art. 5, comma 2 GDPR obbligato Persone responsabili, poter dimostrare il rispetto dei principi in materia di protezione dei dati. Art. 24 GDPR richiede inoltre adeguate Misure tecniche e organizzative, con cui è possibile garantire e dimostrare che la Elaborazione in conformità con il GDPR vengono attuate. Tali misure devono essere riesaminate e, se necessario, aggiornate.
In questo contesto, non è sufficiente poter spiegare, nel singolo caso, che una Elaborazione sia stata effettuata una verifica o sia stata adottata una misura. Le aziende devono essere in grado di illustrare in modo trasparente la procedura, la valutazione su cui si basa, i ruoli coinvolti e la successiva attuazione. La memoria delle singole persone può essere d’aiuto in tal senso, ma non costituisce un sostituto attendibile delle prove documentate.
La documentazione e la prova non sono la stessa cosa
Molte organizzazioni che si occupano di protezione dei dati dispongono di un ampio Documentazione. Ciò non significa però automaticamente che questi Documentazione sia anche verificabile. Una linea guida descrive una norma. Una prova dimostra che tale norma è stata approvata, comunicata, applicata e verificata. Una descrizione TOM definisce le misure da adottare. Una prova dimostra per quali Elaborazione oppure a quale sistema si applicassero tali misure, quando fossero state verificate e chi ne fosse responsabile.
Anche il parere del garante della protezione dei dati è attendibile dal punto di vista operativo solo se si riferisce al progetto concreto, al Elaborazione, associato al rischio o all’autorizzazione. Una voce RoPA acquista maggiore valore probatorio se permette di identificare chi ha effettuato una Elaborazione ha registrato, verificato, modificato e approvato. È proprio qui che un semplice sistema di archiviazione dei documenti si distingue da una piattaforma di governance.
Il RoPA come punto di partenza per la documentazione relativa alla protezione dei dati
Il Registro delle attività di trattamento nella pratica viene spesso ancora interpretato come un elenco obbligatorio. Art. 30 GDPR richiede tuttavia non solo un elenco formale, ma anche informazioni strutturate ai fini della Elaborazione, le categorie di interessati, le categorie di dati personali, i destinatari, i trasferimenti verso paesi terzi, i termini di conservazione e le misure tecniche e organizzative. Il registro deve essere tenuto in forma scritta o elettronica e il Autorità di vigilanza possono essere forniti su richiesta.
Il RoPA contiene quindi molte delle informazioni necessarie anche per verifiche successive. È quindi opportuno non archiviare in modo isolato la documentazione relativa alle autorizzazioni, alle verifiche dei fornitori di servizi, alle decisioni relative alla valutazione d’impatto sulla protezione dei dati (DSFA), ai TOM, ai piani di cancellazione, alle richieste degli interessati o alle valutazioni del responsabile della protezione dei dati (DSB), ma insieme alla rispettiva Elaborazione collegare. In questo modo, il RoPA non viene utilizzato solo come elenco, ma come punto di partenza per una gestione trasparente della protezione dei dati.
Esempio: verifica del fornitore di servizi per uno strumento SaaS
Un caso tipico illustra perché questa attribuzione sia così importante. Un dipartimento desidera implementare uno strumento SaaS in cui vengono elaborati i dati dei clienti. L’ufficio acquisti esamina la documentazione contrattuale, il reparto IT valuta l’integrazione e il modello di accesso, il Protezione dei dati verifica Elaborazione dell'ordine e i flussi di dati, valutando la sicurezza delle informazioni Misure tecniche e organizzative, e il dipartimento ha bisogno di una decisione in merito al suo impiego.
Se questi documenti vengono archiviati separatamente in caselle di posta, unità disco, sistemi di ticket e registri di progetto, in caso di verifica il processo dovrà essere ricostruito con grande difficoltà. Se invece viene gestito in base all’oggetto, i fornitori di servizi, Elaborazione, verifiche, approvazioni, misure, TOM e riesame in un contesto tecnico. In questo modo, in caso di verifica successiva, sarà possibile rintracciare non solo il file, ma anche l'iter decisionale.
Con o senza un sistema professionale di gestione della protezione dei dati
La differenza fondamentale non sta nel fatto che i documenti siano archiviati in formato digitale. Ciò che conta è se il nesso tra Elaborazione, la verifica, la decisione, la misura e la documentazione rimangano conservate in modo permanente.
Senza un sistema professionale di gestione della protezione dei dati, la documentazione si trova spesso in una casella di posta, su Teams, su un’unità di disco o presso una singola persona. La ricerca ricomincia da capo ad ogni operazione. Il riferimento all’interessato Elaborazione deve essere ricostruito sulla base di vecchie e-mail, allegati o verbali. Spesso non è chiaro chi abbia effettivamente preso la decisione, quale versione fosse valida o se una valutazione fosse definitiva.
Con un sistema professionale di gestione della protezione dei dati, la documentazione viene associata all’oggetto corrispondente: un Elaborazione, un rischio, un fornitore di servizi, una richiesta, un’approvazione o un caso d’uso dell’IA. Il ruolo, la data, la decisione, la versione, la misura, la scadenza e lo stato rimangono documentati nell’operazione. In questo modo è possibile Audit Non solo si risponde più rapidamente, ma l’intero processo diventa comprensibile anche per i nuovi partecipanti.
| Domanda di vita quotidiana o Audit | Senza un sistema professionale di gestione della protezione dei dati | Con un sistema professionale di gestione della protezione dei dati |
|---|---|---|
| Dove sono le prove? | Nella casella di posta, su Teams, su un'unità di archiviazione o da una persona che all'epoca era coinvolta. La ricerca ricomincia ogni volta da capo. | La prova dipende dall'oggetto in questione: Elaborazione, rischio, fornitore di servizi, richiesta, approvazione o caso d'uso dell'IA. |
| Quale Elaborazione È coinvolto? | È necessario ricostruire il contesto. Le vecchie e-mail e i vecchi file devono essere riletti e riclassificati. | La documentazione è direttamente collegata al RoPA/VVT. Finalità, tipi di dati, sistemi, destinatari e Persone responsabili sono visibili. |
| Chi ha deciso? | La decisione è ancora in fase di elaborazione. Spesso non è chiaro se si tratti di un’approvazione definitiva, di una raccomandazione o solo di un parere provvisorio. | Il ruolo, la data, la decisione e le condizioni dell'approvazione sono documentati nell'operazione. |
| Quale versione era in vigore all’epoca? | È necessario confrontare diverse versioni di file, allegati o stati di SharePoint. | Le versioni, la cronologia delle modifiche e lo stato delle decisioni sono chiaramente collegati all'oggetto. |
| Cosa ha raccomandato la DSB? | La valutazione si trova nella casella postale di una persona. In caso di avvicendamento del personale o di assenza, diventa difficile attribuirla al destinatario corretto. | La valutazione DSB è associata alla pratica in questione e rimane reperibile indipendentemente dalle singole persone. |
| Quale misura è stata adottata? | La misura potrebbe essere riportata in un ticket, in un elenco Excel o in un'altra e-mail. Il collegamento con la valutazione originale è debole. | L'azione, il responsabile, la scadenza, lo stato e la documentazione sono direttamente collegati all'attività. |
| Quanto velocemente può un Audit a cui rispondere? | Il team ricerca, si informa, vagliare le diverse versioni e formula una risposta attingendo da diverse fonti. | Il processo viene aperto, verificato e, se necessario, esportato o inserito in un report. |
| Cosa succede in caso di domande di ripetizione? | La stessa richiesta relativa alla protezione dei dati viene rielaborata, poiché la risposta precedente non era stata correttamente associata alla pratica. | Le domande, le risposte e le decisioni precedenti rimangono visibili sull'oggetto e possono essere riutilizzate. |
| Quanto è resiliente il sistema in caso di avvicendamenti del personale? | Le conoscenze svaniscono insieme alle persone, alle caselle postali o ai ricordi informali. | Le conoscenze rimangono integrate nel processo e sono comprensibili per i nuovi partecipanti. |
| Cosa vede il management? | Spesso si tratta solo di un’istantanea ricostruita a posteriori. | Lo stato, i rischi in sospeso, le misure, le responsabilità e la documentazione derivano da dati strutturati. |
Richieste delle persone interessate e documentazione riutilizzabile
Anche nelle richieste presentate dagli interessati emerge se le procedure di protezione dei dati siano solo documentate o effettivamente gestibili. Una richiesta di accesso riguarda spesso diversi trattamenti, sistemi e reparti. È necessario chiarire quali dati personali vengono trattati, quali sistemi devono essere verificati, se occorre tenere conto di eventuali eccezioni e come formulare la risposta all’ colpiti si instaura un rapporto con una persona.
Se la gestione viene documentata esclusivamente tramite scambi di e-mail, una volta conclusa la procedura è facile che si perda il contesto tecnico. Se invece la richiesta viene associata alle operazioni di trattamento e ai sistemi interessati, si crea una documentazione riutilizzabile, che può essere d’aiuto anche per richieste successive, verifiche interne o audit.
La governance dell'IA è soggetta alla stessa logica di rendicontazione
La problematica della tracciabilità non si limita ai processi classici di protezione dei dati. Nel contesto della governance dell’IA, la stessa questione si pone in una nuova forma. Un caso d’uso dell’IA può riguardare una Model Card, una verifica della protezione dei dati, una valutazione del fornitore, una valutazione della sicurezza, una classificazione dei rischi, le autorizzazioni e i requisiti di monitoraggio.
Se tali prove sono sparse tra diversi strumenti, e-mail e file, anche in questo caso si crea una situazione frammentata Documentazione. Affinché la governance sia solida, deve rimanere chiaro a quale modello, a quale caso d’uso, a quale rischio e a quale autorizzazione si riferiscano le rispettive prove. La protezione dei dati e la governance dell’IA hanno quindi lo stesso nucleo operativo: Elaborazione, responsabilità, rischio, decisione e documentazione devono essere integrati.
Responsabile esterno della protezione dei dati e tenuta della documentazione
Un responsabile esterno della protezione dei dati può contribuire in modo significativo alla dimostrabilità di un’azienda. È tuttavia necessario che la sua consulenza non rimanga al di fuori della struttura operativa. Art. 38 GDPR richiede che il responsabile della protezione dei dati sia coinvolto in modo adeguato e tempestivo in tutte le questioni relative alla protezione dei dati personali. Inoltre, deve avere accesso ai dati personali e alle operazioni di trattamento e deve poter riferire direttamente al vertice aziendale.
In pratica, ciò significa che una valutazione DSB non dovrebbe finire nella casella di posta elettronica di una singola persona. Deve essere allegata al fascicolo a cui si riferisce, ovvero al Elaborazione, il progetto, il rischio, la misura o l'approvazione. Solo così è possibile ricostruire quale raccomandazione sia stata formulata, quale decisione ne sia derivata e se l'attuazione possa essere verificata in seguito.
Ailance come piattaforma per la documentazione relativa agli immobili
Ailance è orientata a questa prospettiva incentrata sugli oggetti. La piattaforma non funge solo da ulteriore archivio per i documenti, ma collega le informazioni sulla protezione dei dati ai rispettivi oggetti di governance. Una Elaborazione può contenere la propria documentazione, un rischio le proprie misure, un fornitore di servizi le proprie verifiche, un caso d’uso dell’IA la propria Model Card e le approvazioni, una richiesta di un interessato i trattamenti e i sistemi verificati di volta in volta.
Ciò modifica la problematica pratica. Non è più determinante solo il luogo in cui un documento è stato archiviato. Ciò che conta è a quale processo sia assegnato. Tale assegnazione semplifica gli audit, i rapporti di gestione, le richieste dei clienti e le verifiche interne, poiché non è più necessario ricomporre a posteriori la documentazione attestante attingendo da fonti diverse.
Importanza economica delle certificazioni relative agli immobili
La documentazione relativa agli immobili non è solo una questione di natura formale Conformità. Riguarda anche l’impegno richiesto ai reparti preposti alla protezione dei dati, agli uffici legali, ai reparti di sicurezza e ai reparti specialistici. I tempi di ricerca, le richieste di chiarimenti, i controlli duplicati, i report redatti manualmente e la dipendenza da singole persone comportano costi notevoli in molte procedure, anche se raramente vengono indicati come voce di spesa a sé stante.
Se un Team per la protezione dei dati Quando nel corso di un anno si gestiscono numerose autorizzazioni, verifiche, richieste degli interessati, valutazioni dei fornitori di servizi, valutazioni del responsabile della protezione dei dati e documentazione, fa una notevole differenza se ogni procedura inizia con una ricerca o se il contesto pertinente è già disponibile. La verificabilità non è quindi solo una questione di documentazione, ma anche una questione di efficienza e controllo.
Verifica pratica del percorso di tracciabilità esistente
Le aziende possono valutare la propria situazione di partenza con un semplice test. Il punto di partenza dovrebbe essere un elemento essenziale Elaborazione ad esempio un portale clienti, un sistema CRM, un processo HR, un Sorveglianza video, un processo di analisi basato sull'intelligenza artificiale, un processo di invio di newsletter o una procedura di due diligence.
Per questo Elaborazione È necessario verificare dove si trovano i documenti rilevanti e se sono correttamente assegnati al processo. Se i documenti sono sparsi tra caselle di posta, chat di Teams, unità di disco, sistemi di ticket e conoscenze personali, è spesso necessario intervenire. Il passo successivo non consiste quindi nel creare un’altra cartella. È fondamentale assegnare i documenti agli oggetti interessati e costruire così una traccia documentale affidabile.
Conclusione
La casella di posta può archiviare le comunicazioni, ma non sostituisce un sistema di documentazione relativo ai processi di protezione dei dati. Per garantire un’organizzazione solida in materia di protezione dei dati, la documentazione deve essere conservata proprio nel contesto in cui si sviluppa l’attività: presso il Elaborazione, in relazione al rischio, al fornitore di servizi, all'autorizzazione, alla richiesta dell'interessato, al caso d'uso dell'IA o alla misura.
È solo grazie a questa classificazione che si capisce quali Elaborazione quali elementi sono stati presi in considerazione, quale valutazione è stata effettuata, chi vi ha partecipato, quale versione era in vigore, quale decisione è stata presa e quali misure ne sono derivate. La documentazione relativa alla protezione dei dati non deve quindi essere archiviata isolatamente in caselle di posta elettronica e su unità di memoria, ma inserita in una struttura che coniughi responsabilità, verificabilità e controllo operativo.
Domande e risposte
Perché le attestazioni relative alla protezione dei dati non dovrebbero essere contenute solo nelle e-mail?
Le e-mail documentano la comunicazione, ma riflettono solo in modo incompleto il contesto tecnico di una decisione in materia di protezione dei dati. Per una prova attendibile, deve essere chiaro a quale Elaborazione, a quale rischio, a quale autorizzazione o a quale procedura si riferisca un'informazione. Questa attribuzione spesso va persa nelle caselle di posta e nelle cronologie delle e-mail.
Cosa si intende per “documentazione relativa ai dati” nel contesto della protezione dei dati?
La tracciabilità relativa all’oggetto significa che le prove vengono collegate direttamente all’oggetto di governance in questione. Può trattarsi di un Elaborazione nel RoPA, che si tratti di un fornitore di servizi, di un rischio, di una richiesta da parte di un interessato, di un caso d’uso dell’IA, di un’autorizzazione o di una misura. In questo modo, il contesto tecnico rimane comprensibile anche in seguito.
Che ruolo svolge il RoPA nelle certificazioni relative alla protezione dei dati?
Il RoPA definisce il contesto fondamentale delle attività di trattamento, in particolare le finalità, le categorie di dati, i destinatari, i termini di conservazione, Misure tecniche e organizzative nonché le responsabilità. Per questo motivo è un punto di riferimento utile per la documentazione relativa alle autorizzazioni, alle verifiche dei fornitori di servizi, alle decisioni relative alla valutazione d’impatto sulla protezione dei dati (DSFA), ai TOM o alle valutazioni del responsabile della protezione dei dati (DSB).
SharePoint è sufficiente per la documentazione relativa alla protezione dei dati?
SharePoint è in grado di archiviare i documenti in modo strutturato, ma non sostituisce automaticamente una logica di tracciabilità ai fini della protezione dei dati. È fondamentale che ogni prova sia collegata alla procedura corretta e che la responsabilità, la versione, la decisione, lo stato e gli aggiornamenti successivi rimangano tracciabili.
Perché la documentazione relativa agli oggetti è verificabile?
La documentazione relativa a ciascun oggetto facilita gli audit, poiché mette in evidenza il nesso tra Elaborazione, verifica, decisione, versione, misura e responsabilità. In questo modo, in caso di verifica, non è necessario ricostruire la documentazione da più sistemi, ma è possibile visualizzarla associata alla rispettiva operazione.
In che modo Ailance può fornire supporto per le attestazioni relative alla protezione dei dati?
Ailance può aiutare le aziende a collegare la documentazione agli oggetti di governance pertinenti. In questo modo, i processi, i rischi, i fornitori di servizi, i casi d’uso dell’IA, le approvazioni, le misure e le richieste degli interessati possono essere documentati nel loro contesto e resi tracciabili ai fini di audit, rapporti di gestione e verifiche operative.
German 
English 
Italian 
French