Tra le misure di accountability, che possono essere messe in atto dal Titolare del trattamento, un osto di rilievo è rappresentato dalla implementazione di sistemi di gestione basati su standard internazionali eventualmente certificabili. Tra gli standard di riferimento:
Rimandiamo alla sezione dedicata ai servizi il dettaglio di quelli che sono le caratteristiche di questi standard ed alle schede di dettaglio.
Effettuare audit, di prima e/o di seconda parte, a fronti di questi riferimenti internazionali significa poter valutare l’adeguatezza del modello di sistema di gestione della protezione dei dati personali applicato volto a:
Questi audit, che sono condotti basandosi sulle linee guida UNI EN ISO 19011:2018, possono essere effettuato in tutte le Organizzazioni e non necessariamente in solo quelle che possiedono un sistema di gestione basato su uno degli standard indicati o tanto meno certificate secondo tali criteri. Infatti, i criteri possono essere valutati:
La presenza di un Sistema di gestione per la sicurezza delle informazioni (SGSI), anche se non certificato, viene considerato dal Garante una prova di esistenza di controlli di sicurezza adeguati. Il vantaggio per l’Organizzazione è di evitare adempimenti documentali aggiuntivi (che sarebbero ridondanti) inoltre essa è in grado, in occasione di ispezioni del Garante, di dimostrare di essere in possesso di “prove formalmente adeguate”. La materia è in rapida evoluzione nella letteratura e fra i professionisti, ma in ogni caso, questi audit possono essere svolti in ogni Organizzazione in modo indipendente dalla dimensione e dal settore in cui opera. Possono essere anche pianificati ed eseguiti in realtà che già possiedono un sistema di gestione basato su uno standard come la UNI EN ISO 9001:2015 (basata sull’Annex SL) favorendo, in tal modo, la programmazione di audit combinati.
Sarebbe, peraltro, utile che tale prassi venisse favorita dalle direzioni delle Organizzazioni, rendendo il processo di audit più efficiente.
Tali audit possono anche essere effettuati da un Titolare del trattamento, rispetto ad un fornitore nel ruolo di Responsabile del trattamento, anche se sarebbe opportuno che tale attività venisse svolta a seguito di specifiche clausole contrattuali.
Tra gli elementi di dettaglio da considerare nel corso di tale audit è fondamentale individuare le funzioni da intervistare, tra queste il Titolare del trattamento che ha in carico compiti fondamentali quali, limitandosi alla attività di audit a fronte di standard di sistemi di gestione:
Diverse aziende clienti si chiedono, come Consultia S.r.L. di pianificare ed effettuare audit rispetto agli standard indicati. Alcuni casi recenti:
L’organizzazione di questi audit si basa sulla sequenza di passaggi come prevede la UNI EN ISO 19011:2018. Per pianificare tale audit è necessario procedere alla analisi della documentazione (procedura ed istruzioni se possibile integrate con gli altri sistemi di gestione), predisporre il piano di audit e preparare la documentazione di lavoro. Nel corso dell’audit in campo devono essere intervistate tutte le funzioni aziendali, coinvolte nei processi che impattano sullo standard di riferimento, considerando l’ottica del “ciclo di vita” che caratterizza le norme della famiglia ISO/IEC 27000. Al termine dell’audit viene predisposto il rapporto. Questo documento viene consegnato al: Titolare del trattamento, al DPO ed alle funzioni che sono state coinvolte nell’attività di audit.
Qualora ci si trovi di fronte a Non Conformità o Raccomandazioni derivanti dal mancato adempimento delle disposizioni dello standard, nel Rapporto di audit dev’essere riportato il riferimento e, nel caso in cui la criticità sia anche a fronte di un requisito della normativa cogente, è opportuno che sia incluso anche l’estratto dell’apparato sanzionatorio. Il Rapporto può contenere anche altre informazioni quali: le criticità emerse nel corso dell’audit, attività non svolte corredate dalle motivazioni, temi per approfondimenti in successivi audit, valutazioni sul livello di preparazione e disponibilità degli auditati.
Il percorso indicato è molto simile nel caso di audit di seconda parte verso il Responsabile del trattamento, condotto dal Titolare sulla base degli standard riconosciuti, eventualmente integrati con quelli definiti nella documentazione contrattuale.
Set di domande trasversali in fase di audit alle attività di competenza della funzione risorse umane:
Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019