Quali documenti sono necessari per dimostrare la conformità alla privacy in una procedura di appalto o presso un assicuratore?
Se un'autorità aggiudicatrice o un assicuratore le chiede di dimostrare che gestisce con diligenza i dati personali, di solito si riduce a un pacchetto fisso: un registro delle attività di trattamento, i contratti di trattamento dei dati con i suoi stessi fornitori, una dichiarazione di privacy, una panoramica delle misure di sicurezza che applica, e una breve descrizione di come affronta una violazione dei dati o una richiesta di un interessato. In caso di appalto, spesso si aggiunge un questionario compilato o una dichiarazione; nel caso di un assicuratore, si tratta piuttosto di un modulo di intake per una polizza cyber.
Il motivo per cui questo pacchetto si ripete costantemente è che il GDPR prevede un obbligo di rendicontazione: un'organizzazione non solo deve trattare i dati personali con diligenza, ma deve anche poterlo dimostrare. Un'autorità aggiudicatrice o un assicuratore quindi non verifica se lei "fa qualcosa sulla privacy", ma se può mostrarlo su carta. Questo è esattamente il dettaglio che conta in questo momento di acquisto: non l'intenzione, ma la prova.
Il registro delle attività di trattamento come spina dorsale
Il registro delle attività di trattamento è solitamente il primo documento che viene richiesto, ed è anche il documento su cui si costruisce il resto. Contiene quali dati personali tratta, con quale scopo, chi li riceve e per quanto tempo li conserva. Un'autorità aggiudicatrice riconosce rapidamente se un'organizzazione ha riflettuto sistematicamente sui suoi flussi di dati, o se il registro è stato messo insieme appositamente per la richiesta. Cosa deve contenere esattamente e quanto dettagliato, legga nella banca dati con spiegazioni per argomento.
Contratti di trattamento dei dati con i suoi fornitori
Il secondo documento che viene quasi sempre richiesto è l'elenco dei contratti di trattamento dei dati: gli accordi che ha concluso con gli strumenti SaaS e i fornitori di servizi che trattano i dati personali per suo conto. Pensi a un pacchetto di amministrazione stipendi, un sistema CRM o un servizio cloud per file. Un'autorità aggiudicatrice o un assicuratore non vuole solo vedere che questi contratti esistono, ma anche che sono attuali e coerenti con gli strumenti effettivamente utilizzati. Un registro che nomina tre fornitori mentre in pratica otto sono attivi, viene rapidamente scoperto in una valutazione approfondita.
Sicurezza e gestione degli incidenti
Oltre al registro e ai contratti, viene spesso richiesto un resoconto delle misure organizzative e tecniche adottate: chi ha accesso a quali sistemi, come vengono crittografati i dati, se c'è una strategia di backup. Gli assicuratori spesso lo chiedono esplicitamente in un questionario per il calcolo del premio. Una panoramica delle misure adottate la trova sulla pagina sicurezza dei dati personali. Inoltre, viene regolarmente chiesto come un'organizzazione identifica e gestisce una violazione dei dati: c'è una procedura, sa qualcuno chi avvertire e entro quale termine. L'albero decisionale che determina se un incidente deve essere notificato, può attraversarlo in poche domande per vedere dove si trova approssimativamente.
Ciò che un elenco non risolve
È allettante vedere questi documenti come una lista di controllo che si spunta in un pomeriggio. Non funziona bene, ed è subito la trappola di questo momento di acquisto. Un registro delle attività di trattamento che non corrisponde ai veri strumenti, o un contratto di trattamento dei dati che non è mai stato riesaminato, non regge in una valutazione approfondita. Anche le autorità di controllo e le autorità aggiudicatrici guardano alla coerenza: i documenti si collegano l'uno all'altro, ed è plausibile che siano mantenuti attivi piuttosto che redatti una sola volta.
Per questo è più utile vedere questi documenti come un insieme continuo che si muove con gli strumenti e i processi che utilizza, piuttosto che come un set di carta una tantum per una richiesta. Come è strutturato questo sviluppo e da dove proviene l'informazione, è spiegato sulla pagina come è strutturato il sistema.
Quando coinvolge un avvocato
Un requisito di gara d'appalto o una condizione di polizza può imporre esigenze specifiche che vanno oltre il GDPR stesso, ad esempio una certificazione ISO obbligatoria o una clausola di responsabilità. Se i vostri documenti soddisfano questi requisiti è una valutazione legale che rientra nell'appalto o nella polizza in questione, e fareste bene a farla valutare da un giurista o, in caso di dubbi riguardanti il GDPR stesso, a consultare l'Autorità garante per la protezione dei dati personali.
Volete vedere quali documenti sono già in ordine per la vostra situazione e quali ancora mancano? Fate la scansione rapida gratuita o leggete gli altri argomenti nella banca dati delle conoscenze per determinare dove vi trovate ora.