Una parte di ciò che un committente o un assicuratore chiede, può essere preparata da soli: una panoramica di quali dati personali vengono elaborati, quali strumenti vengono utilizzati per questo e quali accordi sono stati stipulati con i fornitori. Ciò che è più difficile da fare autonomamente è mantenere la panoramica completa e aggiornata e dimostrare che le misure adottate sono effettivamente adatte a ciò che si elabora. Quest'ultimo richiede una struttura che cresca nel tempo, non una fotografia in un momento specifico.
Se il fai-da-te è sufficiente dipende molto da ciò che viene chiesto esattamente. Un assicuratore che invia un questionario su misure di sicurezza basilari è diverso da un'amministrazione aggiudicatrice che vuole vedere un registro completo dei trattamenti, accordi con i responsabili del trattamento e una DPIA (valutazione d'impatto sulla protezione dei dati). Più ampia è la richiesta, più lavoro costa organizzarla e mantenerla autonomamente.
Ciò che un committente o un assicuratore chiede effettivamente
La domanda "dimostra che rispetti il GDPR" raramente esiste letteralmente nella pratica. Di solito viene chiesto di documenti concreti: un registro dei trattamenti, la prova di accordi con i responsabili del trattamento presso i fornitori, una descrizione delle misure tecniche e organizzative, e talvolta una dichiarazione su come vengono gestite le violazioni di dati. Il GDPR stesso obbliga le organizzazioni a poter rendere conto dei trattamenti che eseguono; ciò che un singolo committente o assicuratore chiede inoltre è un requisito aggiuntivo proprio che può variare da parte a parte.
È quindi importante chiarire prima esattamente ciò che viene chiesto, prima di decidere quanto lavoro costa affrontarlo autonomamente. Un breve questionario può essere risposto con una mezza giornata di ricerca; un audit completo richiede documentazione conservata strutturalmente.
Ciò che potete preparare da soli
Un primo inventario può essere fatto dalla maggior parte degli imprenditori autonomamente: quali strumenti SaaS utilizzate, quali di questi elaborano dati personali, e avete un accordo con il responsabile del trattamento da ogni fornitore. Anche una descrizione generale delle misure di sicurezza — politica delle password, chi ha accesso a quali sistemi, se esistono backup — può essere fatta con il buonsenso senza aiuto esterno. la knowledge base con spiegazioni per argomento fornisce per ogni situazione una risposta breve e la fonte nel testo ufficiale, così sapete da dove viene un requisito prima di iniziare a lavorarci.
Chi dubita se una violazione di dati segnalata in passato avrebbe dovuto essere segnalata, può verificarlo anche autonomamente: vedere in poche domande dove vi trovate all'incirca fornisce una prima indicazione, indipendentemente dal fatto che quel caso specifico sia stato o meno segnalato allora.
Dove il fai-da-te diventa più difficile
La complessità di solito non risiede in un documento singolo, ma nel collegamento logico e nell'attualità di essi. Un registro dei trattamenti redatto un anno fa e non aggiornato da allora è già obsoleto con un nuovo strumento SaaS o un fornitore modificato. Gli accordi con i responsabili del trattamento che avete firmato un tempo devono corrispondere a ciò che effettivamente fate ora con quel fornitore. E un assicuratore o un'amministrazione aggiudicatrice spesso non chiede solo l'esistenza di documenti, ma una storia coerente: registro, accordi e misure che si incastrino logicamente tra loro.
È proprio questa manutenzione che rappresenta il costo di tempo per molte piccole e medie imprese che non hanno tempo disponibile. Un sistema che popola il registro da una biblioteca di strumenti noti e che monitora se gli accordi con i responsabili del trattamento sono ancora corretti, toglie questa manutenzione dalle spalle senza che dobbiate diventare voi stessi un avvocato.
Ciò che rimane, anche se lo affrontate da soli
Nessuno strumento sostituisce la vostra valutazione finale: voi stessi decidete cosa comunicare a un cliente o a un assicuratore e se è sufficiente per i requisiti richiesti. La struttura e la chiarezza possono alleggerire notevolmente il lavoro. Su la pagina da cui proviene l'informazione è spiegato come gdpria.eu basa i contenuti sulla stessa norma GDPR e sulle linee guida dell'EDPB e dell'Autorità per la protezione dei dati personali, con il riferimento alla fonte, in modo che non abbiate bisogno di fidarvi di noi ma possiate consultare voi stessi il testo originale.
Il limite nella pratica
Di regola: una domanda singola e limitata spesso può essere risolta autonomamente con un giorno di ricerca. Non appena si tratta di un registro continuativo, di più fornitori con accordi di responsabile del trattamento variabili, o di domande ricorrenti da più clienti, la gestione diventa il collo di bottiglia, non la prima compilazione. A quel punto, affidare a un sistema o a un consulente è spesso meno un lusso e più un modo per recuperare tempo.
Siete curiosi di sapere cosa farebbe la differenza nella vostra situazione? Fate la scansione rapida gratuita o sfogliate le domande frequenti su questo argomento per vedere quale passaggio è più appropriato per voi.