01
La protezione dei dati è un lavoro quotidiano, non un progetto isolato
Una PMI organizza la protezione dei dati personali combinando misure organizzative e misure tecniche, applicate in modo costante nelle attività di ogni giorno. La guida EDPB per piccole imprese indica che occorre proteggere hardware, software, canali di comunicazione, documenti cartacei e locali, e che la fiducia nell'affidabilità dei sistemi informativi è una questione chiave resa obbligatoria dal GDPR.
02
Perché serve un approccio per ruoli
Il datore di lavoro resta responsabile della sicurezza dei dati personali anche quando questi sono trattati su dispositivi personali (BYOD) di cui non ha controllo fisico, se ne ha autorizzato l'accesso alle risorse informatiche aziendali. Il livello di sicurezza richiesto dal GDPR deve essere lo stesso indipendentemente dall'attrezzatura utilizzata, il che rende necessario definire ruoli e responsabilità chiare per chi tratta i dati.
03
Un flusso di lavoro in cinque passi
Passaggi
- Definire una politica interna vincolante con regole di protezione dati e sicurezza.
- Sensibilizzare periodicamente i gestori dei dati sui rischi e sulle misure adottate.
- Applicare la protezione dei dati fin dalla progettazione, limitando i dati trattati a quanto necessario.
- Gestire identificatori univoci, autenticazione e autorizzazioni, con riesame periodico degli accessi.
- Documentare le procedure operative e mantenerle aggiornate e accessibili ai gestori dei dati.
04
Un caso ipotetico: il modulo d'ordine online
Esempio ipotetico basato sulla guida EDPB: una libreria che vende libri online rende obbligatori tutti i campi di un modulo d'ordine, inclusi data di nascita, numero di telefono e indirizzo. Applicando la protezione dei dati per impostazione predefinita, il proprietario dovrebbe limitare i campi a quanto necessario allo scopo, ad esempio non richiedendo l'indirizzo per un eBook scaricabile direttamente.
05
Controlli da verificare regolarmente
- Le autorizzazioni di accesso obsolete sono state rimosse e riesaminate periodicamente.
- Sessioni bloccate automaticamente, firewall e antivirus sono aggiornati su ogni postazione.
- I documenti con dati sensibili portano un'indicazione visibile ed esplicita.
- Esiste un accordo o clausola di riservatezza firmato con dipendenti e collaboratori.
- È stato predisposto un foglio di gestione del rischio aggiornato regolarmente.
06
Cosa può configurare un'azienda con il supporto del proprio partner software
Un'azienda può chiedere al proprio fornitore software di supportare ruoli distinti per i gestori dei dati, tracciabilità delle autorizzazioni concesse e revocate, e promemoria periodici per la formazione sulla sicurezza. Questi sono scelte operative suggerite, non funzionalità garantite: vanno definite insieme al fornitore in base alla natura, al contesto e alla portata del trattamento previsto.
07
Domande frequenti
Le risposte seguenti chiariscono solo quanto già indicato nell'articolo, senza introdurre nuove informazioni.
08
Prossimo passo pratico
Passaggi
- Redigere o aggiornare la politica interna vincolante sulla protezione dei dati e sulla sicurezza.
- Programmare una sessione di sensibilizzazione con i gestori dei dati entro il prossimo trimestre.
- Verificare con il proprio fornitore software quali ruoli e autorizzazioni possono essere configurati.
FAQ
Domande frequenti
Chi è responsabile se un dipendente usa un dispositivo personale per lavoro?
Il datore di lavoro resta responsabile della sicurezza dei dati personali anche su dispositivi personali (BYOD), se ne ha autorizzato l'accesso alle risorse informatiche aziendali.
Cosa significa protezione dei dati fin dalla progettazione?
Significa incorporare la protezione dei dati in ogni fase del trattamento e assicurarsi che, per impostazione predefinita, si trattino solo i dati necessari allo scopo specifico.
Quali misure organizzative sono indicate come essenziali?
Una politica interna vincolante, sessioni di sensibilizzazione periodiche, classificazione delle informazioni riservate e accordi di riservatezza con i gestori dei dati.
✓