Mettere al sicuro i dati rispettando il GDPR
GDPR cosa significa questa sigla
Dal 25 maggio 2018 è entrato in vigore la General Data Protection Regulation (GDPR). La normativa per la tutela della privacy nell’Unione Europea (UE), questa riconosce il diritto degli individui alla portabilità dei dati, all’oblio, ad essere informati in modo trasparente sui trattamenti effettuati e di essere avvisati tempestivamente su eventuali violazioni della sicurezza.
GDPR e il Backup
Tra i tanti punti inseriti nel nuovo regolamento europeo è stata data rilevante importanza alla protezione degli stessi e alla loro messa in sicurezza con dei sistemi di backup. L’argomento tocca tutte le aziende che immagazzinano e gestiscono dati sensibili degli utenti. Ovviamente anche tutti i produttori software che offrono strumenti di backup e codifica (cifratura) dei dati, ed hardware che producono i sistemi di sicurezza per proteggere reti e sistemi operativi, come gli antivirus e firewall.
In particolare riportiamo l’articolo del GDPR che li coinvolge da vicino:
Articolo 32 – Sicurezza del trattamento
1) Tenuto conto dello stato dell’arte e dei costi di attuazione, nonché della natura, del campo di applicazione, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il responsabile del trattamento e l’incaricato del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono tra l’altro, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
b) la capacità di assicurare la continua riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi che trattano i dati personali;
c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati in caso di incidente fisico o tecnico;
d) una procedura per provare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Il punto a) e c) riguardano sicuramente le procedure di backup dei dati, della loro cifratura (con password), e della capacità di ripristino dei dati stessi in caso di inefficenza tecnica o attacco hacker.
Per ottemperare alla normativa, nel caso della procedura di backup, il software che si occupa di fare questo deve rispettare le suddette indicazioni.
Le aziende che trattano i dati sensibili degli utenti devono adeguarsi alla normativa, prevedendo l’implementazione di diversi punti importanti:
«Il primo adempimento che è opportuno porre in essere è senza dubbio è l’adozione del Registro dei trattamenti di dati personali. È possibile definirlo come un “documento” ma solo se lo si intende nel senso ampio del termine, come mezzo/strumento che provi l’esistenza di qualcosa. Il Registro dei trattamenti ha dei contenuti obbligatori previsti specificamente dal RGPD ma ciò non toglie che possa che comprendere anche altre informazioni non obbligatorie, per garantire il perfetto allineamento con i principali «oggetti» aziendali (mappa dei processi, organigramma aziendale, portafoglio fornitori, mappa degli applicativi).»
«Definizione, formalizzazione e implementazione della struttura organizzativa della data protection, sia a livello di macro-struttura sia a livello di micro-struttura (ruoli e responsabilità);»
«Individuazione e nomina di un Data Protection Officer (DPO): figura la cui responsabilità principale è quella di osservare, valutare e organizzare la gestione del trattamento di dati personali (e dunque la loro protezione) all’interno di un’azienda, affinché questi siano trattati nel rispetto delle normative privacy europee e nazionali.»
«Definizione e implementazione di un sistema di controlli interni per la protezione dei dati personali (es. sistema di deleghe), ivi compresa la realizzazione di internal audit volti a evidenziare eventuali non conformità. A valle dell’intero processo di adeguamento deve essere quindi effettuato un controllo periodico in merito alla corretta adozione del modello di funzionamento della data protection ed elaborazione di eventuali azioni correttive, con conseguente aggiornamento del modello stesso.»
Cosa si intende per dati sensibili?
Il garante della privacy italiana ha risposto a questa domanda al seguente link:
https://www.garanteprivacy.it/home/diritti/cosa-intendiamo-per-dati-personali
Hai bisogno di una soluzione?
A questo possiamo rispondere noi! Compila la richiesta di informazioni dal menù contatti.
Ecco alcuni link utili per approfondire la normativa in italiano ed inglese direttamente dal sito UE:
https://www.garanteprivacy.it/il-testo-del-regolamento
https://www.agendadigitale.eu/sicurezza/adeguarsi-al-gdpr-i-passi-da-fare-per-evitare-problemi/
https://ec.europa.eu/info/law/law-topic/data-protection_en
http://eur-lex.europa.eu/legal-content/EN/LSU/?uri=celex:31995L0046
