Checklist per la conformità al GDPR

Se la tua organizzazione raccoglie o elabora i dati personali dei residenti dell'Unione Europea, è soggetta al Regolamento Generale sulla Protezione dei Dati (GDPR). Il GDPR elenca requisiti specifici sia per i data controllers (organizzazioni che determinano lo scopo e i mezzi di elaborazione dei dati personali) sia per i data processors (imprese che sono responsabili dell'elaborazione dei dati per conto di un controllore), e le sanzioni per la non conformità sono severe.

Questo articolo fornisce delle checklist per aiutarti a raggiungere e mantenere la conformità al GDPR. Potresti anche voler cercare una consulenza legale professionale.

Lista di controllo per iniziare

La tua lista dei requisiti principali del GDPR dovrebbe includere, come minimo, i seguenti punti:

• Assumi un responsabile della protezione dei dati o nomina una persona per ricoprire il ruolo di DPO — Un responsabile della protezione dei dati è incaricato di supervisionare la strategia di protezione dei dati di un'azienda e la sua attuazione. Il ruolo di DPO è obbligatorio se vengono trattati dati di “categorie speciali” o se il trattamento dei dati è effettuato da un'autorità pubblica. Se la tua azienda non ha una sede nell'UE, devi nominare un rappresentante ufficiale nell'UE.
• Eseguire una valutazione d'impatto sulla protezione dei dati (DPIA) — Inventariare tutti i processi che coinvolgono la raccolta, l'archiviazione, l'utilizzo o l'eliminazione di dati personali e poi valutare quanto siano preziose o riservate le informazioni e quale danno o disagio potrebbero subire gli individui in caso di violazione della sicurezza. Utilizzare i risultati per aiutare a scegliere misure di sicurezza, politiche e procedure appropriate. Ricordarsi che tutti i processi devono essere progettati con la protezione della privacy in mente e la privacy deve essere applicata in modo predefinito ogni volta che nuovi prodotti o servizi vengono rilasciati al pubblico.
• Definisci il tuo piano di governance dei dati plan — La governance dei dati comporta l'assemblaggio delle persone, dei processi e delle tecnologie necessarie per gestire i dati in modo coerente e appropriato in tutta l'azienda.
• Ottenere il consenso per la raccolta, la conservazione e la cancellazione dei dati — La conformità al GDPR richiede di garantire trasparenza e di dare ai consumatori maggior controllo sui loro dati.
• Documentate le vostre tecniche di conformità, audit e tenuta dei registri — I responsabili del trattamento dei dati devono essere in grado di dimostrare che la loro organizzazione è conforme alle normative GDPR. In particolare, assicuratevi di avere una base legale documentata per l'archiviazione e l'elaborazione dei dati.
• Preparati per le violazioni dei dati — I responsabili del trattamento dei dati sono obbligati a notificare l'autorità di controllo entro 72 ore dal momento in cui vengono a conoscenza di una violazione dei dati, mentre i processori di dati devono notificare ai responsabili del trattamento pertinenti ogni violazione dei dati. Se una violazione comporta un alto rischio per i soggetti dei dati, allora anche questi ultimi devono essere informati a meno che non fossero in atto misure di protezione efficaci, come la pseudonimizzazione o l'anonimizzazione completa.
• Documentate le vostre misure di protezione dei dati — Gli auditor vorranno vedere quali controlli avete implementato.
• Maintain an up-to-date list of processing activities. If your organization has at least 250 employees or takes part in high-risk data processing, you'll need to keep a list of your processing activities that you can show to regulators at any time.

Checklist per l'audit del GDPR

La tua lista di controllo finale per l'audit dipenderà da vari fattori, tra cui l'ampiezza delle tue operazioni, la quantità e i tipi di dati che raccogli e i risultati della tua valutazione dell'impatto sulla protezione dei dati. Tuttavia, ecco le cose principali che devi fare e le domande da porre mentre lavori per conformarti al GDPR:

• Documentate i dati personali che raccogliete — Quali dati stiamo raccogliendo?
• Minimizza ciò che raccogli — Abbiamo una funzione per ogni pezzo di dati?
• Comprendi i flussi dei tuoi dati — Dove stiamo memorizzando i dati?
• Scegliete misure di sicurezza robuste — Come proteggiamo e documentiamo i dati?
• Perfezionate la vostra politica di conservazione dei dati — Quanto tempo conserviamo i dati?
• Valutare i rischi — Abbiamo misure adeguate per proteggere i dati da tutte le fonti, inclusi email e moduli?
• Avere una politica di sicurezza interna — Cosa devono sapere i membri del team per mantenere i dati al sicuro? Ci sono passaggi che devono compiere per mantenere i livelli di sicurezza?
• Preparati per le richieste di accesso dei soggetti dei dati (DSAR) — Qual è il processo per onorare una richiesta di cancellazione, modifica o accesso ai dati che conserviamo? (I diritti dei soggetti dei dati e le corrispondenti obbligazioni sono dettagliati di seguito.)

Checklist dei diritti del soggetto dei dati

Assicurati di rispettare i seguenti otto diritti dei soggetti dei dati:

• Diritto di essere informati — Gli individui possono richiedere di fornire informazioni chiare e concise su ciò che fate con i loro dati personali.
• Diritto di accesso— Qualsiasi soggetto interessato può richiedere una copia dei propri dati personali, insieme a informazioni supplementari per comprendere come e perché i suoi dati vengono utilizzati e per verificare che ciò avvenga in modo lecito.
• Diritto di rettifica— Gli individui hanno il diritto di far correggere i dati personali inaccurati. A seconda degli scopi del trattamento dei dati, gli individui potrebbero anche avere il diritto di richiedere che i dati personali incompleti vengano completati (ad esempio, aggiungendo una dichiarazione supplementare).
• Diritto alla cancellazione (diritto all'oblio) — Gli individui hanno il diritto di far cancellare i propri dati personali. Il diritto non è assoluto e si applica solo in determinate circostanze.
• Diritto di limitare l'elaborazione— Il GDPR conferisce agli individui il diritto di limitare il modo in cui un'organizzazione può utilizzare i loro dati.
• Diritto alla portabilità dei dati— Gli individui hanno il diritto di ricevere i dati personali che hanno fornito a un responsabile del trattamento in un formato strutturato, di uso comune e leggibile da macchina. Possono anche richiedere che il responsabile del trattamento trasmetta direttamente questi dati a un altro responsabile del trattamento.
• Diritto di opposizione al trattamento — Gli individui possono opporsi in qualsiasi momento al trattamento dei loro dati personali, e il responsabile del trattamento deve interromperlo.
• Diritti riguardanti il processo decisionale automatizzato durante l'elaborazione dei dati personali — Gli individui hanno il diritto di non essere soggetti a decisioni basate esclusivamente su elaborazioni automatiche (come la profilazione) che hanno un effetto legale su di loro.

È necessario rendere facile per i soggetti dei dati l'esercizio di questi diritti, fornendo una pagina di auto-servizio con pulsanti e opzioni chiare, o tramite richiesta diretta da forme di contatto esterne.

Elenco di controllo per la divulgazione

Rendere le seguenti informazioni pubblicamente disponibili in un linguaggio chiaro e di facile comprensione:

• Politica sulla privacy — Spiegate il vostro approccio alla privacy e alla sicurezza dei dati. Dettagliate quali informazioni personali e non personali raccogliete e perché.
• Politica di conservazione dei dati — Assicurati di chiarire che non conservi mai i dati per un periodo più lungo del necessario per gli scopi per cui sono stati raccolti. Assicurati di cancellare automaticamente o rendere anonimi i dati personali che non sono più necessari.
• Termini del trasferimento di dati in altri paesi — Spiegate in quali condizioni consentite il trasferimento internazionale di dati personali.
• Politica di protezione dei dati — Spiegare come i dati personali saranno protetti in conformità con il GDPR.
• Informazioni di contatto — Fornire l'indirizzo legale della vostra organizzazione, così come i dettagli per contattare il vostro responsabile della protezione dei dati (se ne avete uno).
• Termini di utilizzo — Se il tuo sistema non raccoglie intenzionalmente dati da o su minori, specifica il seguente testo in grassetto: “Questo sito web è disponibile solo per individui che hanno almeno 16 anni.” Altrimenti, devi aggiungere una casella di controllo alla tua pagina di registrazione (come descritto di seguito) e ottenere il consenso dei genitori per gli utenti che sono sotto i 16 anni.
• Politica di pagamento & cookie policy — Specificare come vengono elaborati i pagamenti e quali cookie vengono impostati e utilizzati dal sistema.

Lista di controllo della pagina di registrazione

Tenete presente i seguenti requisiti quando progettate la vostra pagina di registrazione:

• Il numero di campi deve essere minimo e ragionevole.
• È necessario che i soggetti dei dati comprendano chiaramente a cosa stanno dando il consenso. Devi offrire loro un controllo granulare su quali materiali di marketing desiderano ricevere da te, non limitarti a raggruppare tutto il consenso in una sola casella di controllo. Hai bisogno di una casella di controllo separata se vuoi consentire agli utenti di iscriversi a una mailing list.
• È obbligatorio che gli utenti accettino esplicitamente i termini di utilizzo e la politica sulla privacy.

Lista di controllo per l'audit dei documenti

I seguenti documenti sono richiesti durante un controllo di conformità al GDPR:

• Politica sulla privacy
• Politica di protezione dei dati personali
• Inventario delle attività di elaborazione
• Politica di risposta agli incidenti di sicurezza
• Modulo di notifica di violazione dei dati all'autorità di controllo
• Modulo di notifica di violazione dei dati ai soggetti interessati
• Politica di conservazione dei dati
• Le seguenti politiche possono essere combinate in un'unica politica di governance delle informazioni:
• Politica di smaltimento dei dati
• Politica di backup e continuità operativa
• Politica di controllo dell'accesso al sistema
• Procedure di SLA ed escalation
• Politica di controllo crittografico
• Politica di disaster recovery e continuità operativa
• Standard di codifica e procedura di implementazione
• Politiche e processi occupazionali
• Politica di terminazione utente
• Politica di audit
• Politica di valutazione dei rischi
• Politica di consapevolezza e formazione

Liste di controllo per la protezione dei dati

Il GDPR non specifica particolari controlli di sicurezza per la conformità, ma richiede di rispettare il principio di protezione dei dati per progettazione e per impostazione predefinita. Le seguenti liste di controllo ti aiuteranno a implementare misure e pratiche tecniche e organizzative appropriate.

Checklist per la Protezione dei Dati: Misure Tecniche

• Sicurezza della rete — Progettazione della sicurezza della rete, firewall, accesso VPN
• Crittografia per i dati inattivi — Crittografia dell'intero disco, crittografia del database
• Crittografia per i dati in transito — HTTPS, IPSec, TLS, PPTP, SSH
• Controlli di accesso (fisici e tecnici):
• Limita l'accesso al tuo sistema solo a fonti fidate
• Implementare il rilevamento e la prevenzione delle minacce interne
• Limitare i permessi degli utenti e dei gruppi secondo le necessità lavorative
• Limitare l'uso degli account privilegiati
• Applica una politica di password forte
• Implementare una politica di blocco
• Prevenzione e rilevamento delle intrusioni
• Monitoraggio della salute
• Backup regolari
• Crittografia del backup
• Autenticazione multifattore (MFA), autorizzazione rigorosa
• Soluzione antivirus
• Scansioni regolari dell'infrastruttura
• Politica di installazione del software, politica di aggiornamento del software, politica di aggiornamento delle attrezzature

Checklist per la Protezione dei Dati: Misure Organizzative

• Dovuta diligenza — Le tue misure di sicurezza sono inutili se trasferisci dati a terze parti che non possono garantire la protezione dei dati. Controllare accuratamente i tuoi fornitori e prestatori di servizi è importante quanto le verifiche interne e la redazione di rapporti.
• Revisioni e audit — Per assicurare che le tue politiche e procedure siano efficaci, dovresti condurre regolari revisioni delle politiche e audit. Può essere utile avere dei modelli per queste revisioni.
• Formazione — È necessario assicurarsi che i propri dipendenti e collaboratori siano consapevoli dei rischi legali e possiedano le competenze adeguate.
• Reporting — La redazione di rapporti regolari per la direzione aziendale è essenziale per garantire la responsabilità su scala aziendale, così come per ottenere finanziamenti adeguati e altre risorse per la conformità al GDPR.