Tra i problemi che giornalmente all’interno delle aziende gli “addetti alla privacy” (DPO, Privacy Officer e consulenti), devono affrontare e risolvere, ci sono sistematiche incomprensioni, divergenze e disaccordi con i “non addetti alla privacy”. Capita, infatti, che talvolta detti professionisti, quando forniscono le giuste indicazioni ed istruzioni per risolvere problemi organizzativi o contrattuali, vengano inopinatamente osteggiati da colleghi o clienti che non comprendono la fondatezza, la validità e l’utilità di tali istruzioni/indicazioni.
Con sempre maggiore frequenza si fa ricorso alla definizione “catena di custodia”; in quest’articolo cerchiamo di comprenderne il significato nel contesto della protezione dei dati personali.
Nel contesto della protezione dei dati personali, è fondamentale comprendere la differenza tra i concetti di "progetto" e "processo", in quanto questi due termini, sebbene spesso utilizzati in modo intercambiabile, rappresentano approcci distinti e complementari anche nella gestione delle informazioni sensibili.
Un aspetto spesso trascurato afferente alla protezione dei dati riguarda la dismissione (decommissioning) dei componenti hardware, siano essi di proprietà dell’azienda o, come spesso avviene, noleggiati.
La ISO/IEC 27001:2013 “Sistemi di gestione della sicurezza dell'informazione - Requisiti”, tratta anche del tema dello smaltimento dei supporti che contengono dati, nello specifico il controllo A.8.3.2 - dismissione dei supporti (nella ISO/IEC 27002:2022 controllo 7.10) , ove si specifica che la dismissione deve avvenire in modo sicuro attraverso l’utilizzo di procedure formali. Ovviamente, la dismissione dei supporti si riferisce non solo a quelli elettronici, ma anche a quelli cartacei e più in generale a ogni forma di supporto contenente dati. L’articolo si concentra sulla dismissione dei supporti elettronici e cartacei dove di norma sono conservati dati personali, a riprova del fatto che la ISO/IEC 27001:2013 è da considerare come una validissima misura di accountability in relazione alla protezione dei dati personali.
Il tema degli accessi fisici alle aree ed ai locali di un’organizzazione merita un approfondimento particolare sul tema in quanto un’attenta valutazione dei rischi potrebbe far emergere delle vulnerabilità, in tutto o in parte non considerate precedentemente. Quest’articolo propone una Check List, che può essere utilizzata sia in fase di assesment che in fase di audit (avendo come criterio il sistema di gestione della protezione dei dati o la conformità legislativa).
Per leggere l'articolo integrale devi effettuare il login!
La gestione degli incidenti secondo la Direttiva NIS2 presenta diverse complessità. Questo tema è stato affrontato ed è in continuo aggiornamento in numerose comunicazioni pubblicate sotto forma di linee guida, FAQ e deliberazioni dell’Autorità competente.
La raccolta di fotografie o video che ritraggono delle persone da parte di un’azienda comporta un trattamento di dati personali, e pertanto ricade a tutti gli effetti nell’ambito di applicazione del GDPR. La raccolta delle immagini dei lavoratori, dei collaboratori, degli utenti di un servizio, dei clienti o visitatori può essere effettuata per motivi diversi:
Il tema del data breach ha assunto un’importanza crescente negli ultimi anni ed è ampiamente dibattuto. In questo articolo si esplora la problematica della differenza del concetto di data breach, come inteso dal Regolamento UE 2016/679 (GDPR), dalla ISO 27701:2019 e dalla ISO 27001:2013. Sono visioni non coincidenti, anche se in gran parte sovrapponibili, e da esse emergono spunti che ci permettono di migliorare la procedura di gestione di tali eventi.
