Il Regolamento Generale sulla Protezione dei Dati (GDPR), entrato in vigore il 25 maggio 2018, indica le linee guida per la gestione e la protezione dei dati personali. La conformità al GDPR è un processo continuo che richiede un impegno costante da parte delle aziende.
- Effettuare una valutazione del rischio: Le aziende devono valutare i rischi per la privacy associati ai loro processi di trattamento dei dati.
- Applicare il principio del "Privacy by design e by default": I nuovi sistemi e processi devono essere progettati per includere la protezione dei dati fin dalle prime fasi.
- Adottare misure di sicurezza adeguate: Le aziende devono implementare misure tecniche e organizzative per proteggere i dati personali da violazioni e intrusioni.
- Informare gli interessati: Le aziende devono informare gli utenti in modo chiaro e trasparente su come vengono trattati i loro dati personali.
- Gestire le richieste degli interessati: Le aziende devono essere in grado di rispondere alle richieste degli utenti di accesso, cancellazione, rettifica e limitazione del trattamento dei loro dati personali.
In caso di violazione dei dati:
- Notificare l'autorità competente entro 72 ore.
- Documentare l'incidente e le misure adottate per rimediare.
Altro elemento introdotto è quello della figura del Data Protection Officer (DPO), obbligatorio nella pubblica amministrazione e nelle aziende private che trattano dati a rischio o su larga scala. Il DPO dovrà essere un manager/consulente con competenze sia normative ma anche in ambito di sicurezza informatica. Il DPO potrà essere una figura interna oppure un esterno.
In sintesi per potersi adeguare al meglio al GDPR sotto il profilo della privacy informatica, l’azienda deve adottare delle politiche atte alla protezione dei dati trattati tramite diversi tipi di procedure e misure di sicurezza.
Per una migliore conformità al GDPR, le aziende dovrebbero:
- Identificare con precisione i dati personali trattati.
- Nominare un responsabile del trattamento.
- Adottare delle politiche e procedure per la protezione dei dati.
- Fornire formazione adeguata ai propri dipendenti.
Esempio di misure di sicurezza:
- Regolamentazione degli accessi ai dati.
- Utilizzo di password robuste.
- Procedure di backup e disaster recovery.
- Analisi del rischio periodica.