01
Cosa significa valutare un fornitore dal punto di vista dei dati personali
Quando un'azienda affida dati a un fornitore software o cloud, deve prima capire cosa sono i dati personali: qualsiasi informazione che permette di identificare una persona, direttamente o indirettamente, come nome, email, codice cliente o cronologia di navigazione (citation-0). Valutare un fornitore significa verificare che protegga integrità, disponibilità e riservatezza di questi dati, i tre elementi su cui si fonda la sicurezza secondo la guida EDPB (citation-2).
02
Perché il rischio va misurato prima di scegliere
- L'accesso non autorizzato ai dati personali costituisce una violazione della riservatezza, ad esempio la divulgazione di buste paga (citation-2).
- La modifica non autorizzata dei dati è una violazione dell'integrità, come l'alterazione di registri di accesso (citation-2).
- La perdita di accesso ai dati è una violazione della disponibilità, ad esempio documentazione irraggiungibile (citation-2).
- Se il trattamento comporta un rischio elevato per le persone, il GDPR richiede una valutazione d'impatto, la DPIA (citation-3).
03
Il percorso pratico per valutare un fornitore
Passaggi
- Individuare quali dati personali passeranno al fornitore e perché sono trattati (citation-0).
- Identificare le fonti di rischio, umane e non umane, interne ed esterne al fornitore (citation-2).
- Verificare le misure esistenti o pianificate: controllo accessi, backup, tracciabilità, crittografia (citation-3).
- Stimare gravità e probabilità di ciascun rischio su una scala condivisa (citation-3).
- Programmare controlli periodici con un piano d'azione monitorato ai massimi livelli dell'organizzazione (citation-3).
04
Un caso ipotetico: scegliere un fornitore cloud per l'anagrafica clienti
Ipotesi: una PMI vuole affidare a un fornitore cloud l'anagrafica clienti, con nomi, email e cronologia acquisti — dati che permettono l'identificazione diretta o indiretta delle persone (citation-0). Prima della firma, l'azienda elenca le fonti di rischio possibili, dall'amministratore di sistema esterno a un attacco informatico non mirato, e verifica se il fornitore offre le misure già previste per mitigarli, come richiesto dal processo di valutazione del rischio (citation-2, citation-3). Solo dopo questa verifica assegna un livello di priorità alla decisione.
05
Elementi da chiedere o verificare presso il fornitore
- Formazione regolare dei gestori dei dati sui rischi legati alla privacy (citation-1).
- Una politica interna vincolante su protezione dei dati e sicurezza (citation-1).
- Protezione dei dati fin dalla progettazione e per impostazione predefinita (citation-1).
- Minimizzazione dei dati: trattare solo ciò che è adeguato e necessario (citation-1).
- Blocco automatico delle sessioni, firewall, antivirus aggiornati e backup (citation-1).
06
Come organizzare la valutazione con il supporto del software gestionale
Un'azienda può scegliere di configurare, insieme al proprio partner software, un registro dei fornitori che elenchi quali dati personali circolano verso ciascun sistema, chi ha il ruolo di valutarli e quando è stata svolta l'ultima verifica dei rischi (citation-3). Questa è una scelta operativa suggerita, non un obbligo derivante dal software: l'azienda resta responsabile di definire ruoli, tracciabilità e frequenza delle revisioni secondo il proprio piano di gestione del rischio, documentando le procedure in modo chiaro per ogni categoria di gestore dei dati (citation-3, citation-4).
07
Chiarimenti rapidi sul glossario
- I dati personali includono anche identificatori indiretti come il codice cliente o il riferimento di una prenotazione (citation-0).
- La sicurezza dei dati si valuta su tre assi: riservatezza, integrità e disponibilità (citation-2).
- Una DPIA è richiesta quando il trattamento presenta un rischio elevato per le persone interessate (citation-3).
08
Il prossimo passo
Prima di firmare un contratto con un fornitore software o cloud, elenca i dati personali coinvolti, le fonti di rischio e le misure già previste, poi programma una verifica periodica con un piano d'azione monitorato (citation-3).
FAQ
Domande frequenti
Cosa si intende esattamente per dati personali quando si valuta un fornitore?
Sono le informazioni che identificano una persona, in modo diretto (nome) o indiretto (codice cliente, email, cronologia acquisti) (citation-0).
Quali tre aspetti della sicurezza vanno controllati nel fornitore?
Riservatezza, integrità e disponibilità: accesso non autorizzato, modifica non autorizzata e perdita di accesso sono le tre violazioni da prevenire (citation-2).
Quando serve una valutazione d'impatto (DPIA) prima di scegliere un fornitore?
Quando il trattamento previsto con quel fornitore può comportare un rischio elevato per le persone interessate, il GDPR la rende obbligatoria (citation-3).
✓