La digitalizzazione sta rivoluzionando radicalmente i sistemi di interazione e connessione tra le persone fisiche, creando un sistema in cui i confini tra fisico e virtuale sono sempre più sfumati.
Nell’ottica di una Digital Trasformation è importante realizzare una base solida che segua correttamente le norme di Privacy/Data Protection e Cybersecurity. E’ noto a tutti che il mancato rispetto del regolamento 679/2016 (GDPR) da parte delle aziende implica il rischio di incorrere a sanzioni da parte dell’Autorità Garante della Privacy, ma anche il rischio di inutilizzabilità del database, di danno reputazionale, di calo dei profitti e di perdita di quote di mercato.
Inoltre, è stato stabilito un accordo tra l’Autorità Garante della Privacy e l’Agenzia per la Cybersicurezza Nazionale, che ha definito, nell’ultimo biennio, dei precisi requisiti per determinate categorie di fornitori e di sistemi tecnologici che permettano di offrire alle aziende garanzie di riservatezza, integrità e disponibilità dei dati aziendali.
Ad oggi è indispensabile adottare un corretto modello di Privacy/Data Protection e Cybersecurity sia per una conformità normativa, sia per una concreta efficacia del processo di trasformazione digitale.
Quali sono i focus ?
- Valutazione dei processi nella fase di progettazione lato privacy by design e privacy by default: nel processo di digital trasformation è importante assicurarsi di mettere in atto le linee guida per la protezione e il trattamento dei dati personali secondo i principi di privacy by design ( definizione dell’architettura informativa, verifica dell’interazione dei flussi in considerazione dei dati trattati) e privacy by default (attivazione dei processi per impostazione predefinita). In assenza, questi aspetti del processo possono risultare in corso d’opera superflui e dannosi.
- Valutazione della sicurezza dell’infrastruttura tecnica e dei flussi di lavoro: il concetto di sicurezza è correlato a quello di business continuity. Ogni sistema deve essere quindi allineato e verificato secondo i requisiti normativi di sicurezza dei sistemi tecnologici e dei provider in costante aggiornamento. Una mancata o erronea valutazione può condurre a gravi responsabilità e conseguenze, anche sotto il profilo risarcitorio.
- Acquisizione delle necessarie garanzie/certificazioni da parte dei fornitori: verificare la conformità dei contratti con i fornitori di servizi permette di ottenere delle attestazioni che sono richieste dalle normative vigenti e di avere, in tal modo, le garanzie necessarie che assicurino le prestazioni della tecnologia implementata. In mancanza di una primaria valutazione, svolgere poi delle modifiche può comportare degli ingenti costi per le aziende.
- Mappatura dei flussi dei dati: fare una mappatura permette di garantire il controllo delle attività di processo svolte in azienda e di redigere correttamente il registro delle attività di trattamento, cardine del sistema di rendicontazione per l’Autorità Garante della Privacy. Se la mappatura non viene operata, i processi di business sono considerati invalidati.
- Valutazione del rischio e valutazione d’impatto del trattamento nei confronti degli interessati: la valutazione del rischio è onere a carico del titolare del trattamento. La valutazione di impatto del trattamento è un processo che valuta la necessità e la proporzionalità, e la capacità di gestire eventuali rischi per i diritti e le libertà delle persone interessate dal trattamento. Non compiere tale valutazione consiste nel non effettuare una corretta programmazione e quantificazione dei vantaggi del processo.
- Implementazione di tutti gli opportuni meccanismi di garanzia ne confronti dei consumatori/utenti/social users: la “carta dei diritti” dei consumatori e degli utenti e, di tutti gli stakeholder, è un requisito fondamentale delle informative, che deve essere rispettato con l’implementazione dei giusti meccanismi, che possano garantire l’esercizio dei diretti ed il tempestivo riscontro agli interessati in azienda. Nel caso in cui non avvenga l’implementazione di tali meccanismi, l’azienda si esporrà a concreti rischi dovuti all’incapacità di far fronte a istanze o segnalazione di interessati, che costituiscono la prima fonte di innesco di attività ispettive da parte del Garante della Privacy.
- Adozione di un modello di organizzazione e gestione dei dati personali: attuare un modello organizzativo e di gestione dei dati personali può permettere di sviluppare un sistema efficiente ed efficace che preveda la corretta attribuzione dei ruoli e delle responsabilità interne. Senza l’effettuazione di tale modello, il titolare del trattamento non può controllare il processo e individuare eventuali gap.
- Implementazione dei controlli e delle procedure a presidio del sistema: la mancanza di un sistema di controllo e presidio può esporre l’azienda a danni derivanti dall’inosservanza delle regole tecniche e operative di sistema.
- Formazione delle nuove competenze in azienda: Formare il personale, anche su argomenti riguardanti privacy, data protection e cybersecurity, conferiscono all’azienda un buon livello di sviluppo e competitività ed integra una misura di sicurezza ai sensi del GDPR.
Il processo di trasformazione digitale costituisce una priorità strategica e deve avere come pilastro un corretto modello organizzativo di Privacy, Data Protection e Cybersecurity.