Audit sistema di gestione privacy

Perchè

L’audit sul sistema di gestione della protezione dei dati personali ha l’obiettivo di verificare lo stato di applicazione delle procedure dell’Organizzazione che, anche integrate con altri sistemi aziendali, affrontano le tematiche della protezione dei dati. Queste procedure possono riguardare il ciclo di vita di: risorse umane, asset, trattamenti e quant’altri impatta sui dati dei soggetti interessati. Si differenzia dall’audit di conformità legislativa in quanto affronta il tema dal punto di vista dinamico (ciclo di vita) e non statico.

Gli audit sul sistema di gestione della protezione dei dati personali hanno diversi punti in comune anche con altri audit (e possono quindi essere svolti in modo combinato) come ad esempio quelli sul sistema di gestione della sicurezza delle informazioni ISO/IEC 27001:2013 e della sicurezza dei dati personali ISO/IEC 27701:2019 o la BS10012:2017.

A completamento degli audit sul sistema di gestione è possibile effettuare anche:

Audit sul ciclo di vita del trattamento

Questo tipo di audit, tipico di un sistema di gestione della protezione dei dati prevede di analizzare il ciclo di vita di uno o più trattamenti:

introduzione (output del processo di Privacy by Design),
modifiche a cui il trattamento, nel corso del tempo è stato soggetto
cessazione del trattamento

Ovviamente, nel corso dell’audit deve essere verificato l’aggiornamento del Registro dei trattamenti, la valutazione dei rischi associati al trattamento, l’efficacia delle misure di mitigazione in essere, l’eventuale necessità di effettuare una PIA, la/le informative e gli eventuali consensi richiesti.

Audit sul ciclo di vita dell’asset

Analogamente all’audit sul ciclo di vita del trattamento può essere effettuato l’audit sul ciclo di vita dell’asset. Anche in questo caso si tratta di analizzare, rispetto ad uno o più asset, oggetto di campionamento, l’introduzione, la gestione ordinaria, l’eventuale gestione in condizioni di emergenza o più in generale in condizioni critiche e la dismissione dell’asset. Tale audit è particolarmente importante per gli asset critici.

contesto

Il Sistema di gestione della privacy è un insieme di processi, documentabili sotto forma di procedure, volti a garantire l’adempimento in forma dinamica della normativa in materia di protezione dei dati. Il Sistema di gestione può essere integrato con altri Sistemi per aumentare l’efficienza complessiva. L’audit sul Sistema di gestione della protezione dei dati personali è l’ultimo passo a completamento della implementazione di tale sistema a valle della fase di formazione e successivamente per valutare lo stato di applicazione. Le procedure sono parte integrante di un Sistema di gestione ed uno dei fondamenti su cui si basa un audit in quanto fungono da criteri di audit. In alternativa possono essere eseguiti audit sul sistema di gestione che hanno come criterio di riferimento il Modello Organizzativo della protezione dei dati (MOP).

L’Audit sul sistema di gestione della protezione dei dati è quindi una eccellente misura di accountability che serve a dimostrare non solo l’applicazione del sistema ma anche la capacità dell’Organizzazione di disporre di un modello dinamico in grado di adeguarsi e di mantenere la protezione dei dati personali anche in caso di variazione di elementi interno e/o esterni al contesto.

Gli audit sul sistema di gestione possono essere effettuati anche al Responsabile del trattamento, si tratta di audit di 2^ parte che hanno come criterio il capitolato di commessa.

Per questi audit è prevista una calendarizzazione di norma , a meno che variazioni importanti o criticità non facciano emergere esigenze diverse. Può essere valutato un unico audit che riguarda tutti i processi che impattano sulla protezione dei dati, oppure, in alternativa, diluire, nel corso dell’anno vari audit sulla base dei processi e delle funzioni coinvolte. Inoltre, gli audit possono essere anche mirati o combinati a seconda delle specifiche esigenze dell’Organizzazione.

dettagli

Come per tutti gli audit è necessario che, anche questi, siano eseguiti da risorse indipendenti e che hanno una formazione specifica sia sulla protezione dei dati personali che sul sistema di gestione.

L’audit sul sistema di gestione della privacy potrebbe essere integrato anche con altri sistemi di gestione come, ad esempio Qualità e Salute e Sicurezza sul lavoro, si tratterebbe in questo caso di audit combinati oppure mirati su aspetti specifici.

Il risultati di tali audit può portare all’individuazione di buone prassi, non conformità, azioni correttive e azioni di mitigazione dei rischi; operando con particolare attenzione, nel corso di tali audit si può anche migliorare la consapevolezza del personale.

esempi

Abbiamo sviluppato, da oltre dieci anni, un’esperienza specifica sugli audit sul sistema di gestione della protezione dei dati personali. Questo tipo di audit, che affianca di norma quello di conformità legislativa, è richiesto da realtà di dimensioni e settori i più vari e che hanno un’esposizione importante alla protezione dei dati e necessitano quindi di un audit sullo stato di applicazione dello stesso.

Public Utility , nel settore della raccolta dei rifiuti e gestione del ciclo integrato dell’acqua, ha richiesto un audit sia di conformità legislativa che sul sistema di gestione della protezione dei dati, avendo integrato questo aspetto nel contesto più ampio dei vari sistemi di gestione applicati. I dati trattati riguardano sia quelli del personale ed in particolare ambito salute e sicurezza sul lavoro, sia quello dei cittadini che usufruiscono dei servizi. Per questi ultimi si tratta di un’imponente massa di dati che, anche a seguito di modalità innovative per la tariffazione hanno necessità di essere protetti con attenzione. I risultati sono stati soddisfacenti, ma sono emersi ambito di ulteriore miglioramento che hanno portato a ripensare ad alcuni processi avendo come obiettivo il principio di minimizzazione.
Residenza Sociosanitaria per anziani che da anni applica, in modo molto efficiente, un sistema di gestione integrato. Ogni anno ci chiede un audit sul sistema nel suo complesso ed, ovviamente, in relazione al settore in cui opera, il sistema di gestione della protezione dei dati riveste una particolare attenzione. Con gli anni il modello è andato sempre più affinandosi a tutela di tutte le parti interessate (ospiti, loro familiari, dipendenti, enti preposti al controllo, ecc.).

organizzazione

L’organizzazione di tali audit richiede, in modo analogo agli altri audit sui sistemi di gestione, le fasi di programmazione, pianificazione, comunicazione, esecuzione e preparazione e distribuzione del rapporto di audit. Alcuni elementi di complessità ulteriore nel caso di audit di 2^ parte al Responsabile del trattamento che sono comunque facilmente prevedibili. I punti di attenzione, per questo tipo di audit riguardano la raccolta delle evidenze che deve essere effettuata bilanciando l’esigenza di documentare quanto analizzato con quella di mantenere la riservatezza in merito alla protezione dei dati. Anche gli aspetti relativi alla comunicazione, nel corso dell’audit devono essere presidiati con attenzione. Su questi due aspetti abbiamo definito delle linee guida di comportamento a cui, gli auditori di Consultia si adeguano.

Gli audit sul sistema di gestione possono essere anche impostati in una logica per Provvedimenti, Processi, Funzioni e Commesse.

Anche questi audit sono esposti, nelle diverse fasi in cui sono composti, a rischi quali:

Programmazione – i processi classificati come più esposti al rischio privacy in relazione al contesto oggetto dell’audit, in particolare quelli che possono inficiare la continuità del business, dovranno essere auditati con maggior frequenza
Pianificazione del singolo audit – un’attenzione maggiore, in termini di tempo e risorse, dovrà essere dedicata alle funzioni più esposte al rischio privacy in relazione al contesto auditato
Analisi documentale – i risultati dell’analisi del rischio, a carico alle varie funzioni, devono essere considerate dalla fase di analisi documentale
Audit sul campo – l’auditor valuta l’attuazione delle misure previste di mitigazione del rischio in essere; inoltre, grazie all’approccio orientato al rischio, può contribuire ad individuarne di nuovi o a dare un peso diverso a quelli già noti; inoltre dovrà anche verificare lo stato di presa in carico delle azioni di mitigazione programmate
Redazione dei rilievi – questi devono essere classificati sulla base del livello di gravità, riassumendo le conseguenze del mancato presidio o della ridotta mitigazione dei rischi connessi
Formulazione del trattamento delle Non Conformità – occorre scegliere fra le alternative: accettare, mitigare, evitare, condividere o trasferire il rischio. Se è il caso, è possibile ricorrere alla valutazione del rapporto rischi vs. benefici delle possibilità alternative di trattamento delle NC, scegliendo quella migliore sulla base del costo e della conseguenza del rischio evidenziato dall’analisi
Verifiche successive – nel caso di NC connessa ad un rischio importante, dovrà essere monitorata in modo costante la risoluzione delle problematiche nei tempi definiti, nonché l’efficacia delle misure adottate.

Le misure messe in Atto da Consultia S.r.L., ed affinate in anni di pratica, sono volte a ridurre tali rischi mitigandone gli effetti.

Un caso dal libro

Abbiamo scritto un libro che tratta degli audit sul sistema di gestione della protezione dei dati personali, ora giunto alla sua 5^ edizione e ci viene molto difficile individuare un esempio perché ci sembrano tutti pertinenti ed il punto di forza del libro è proprio rappresentato dalla mole di casi e di esempi. Allora ne abbiamo scelto uno che, non è più o meno rappresentativo di altri, ma semplicemente, come autrici, per una lunga serie di motivi, ci siamo molto affezionate: è il caso di Bibendum.

Case study – Audit presso la Sala Server.

Situazione – è il mese di luglio, sono le 12.30, fa molto caldo ma il lavoro deve andare avanti.

Oggi audit alla funzione IT, l’auditor è Bibendum.

Accompagnato dal Responsabile IT visita ora la sala server, un locale di circa 12 mq che contiene i 3 server aziendali. Bibendum si muove un pò a fatica; gli spazi sono stretti ed i server piuttosto ingombranti.

Il locale è regolarmente chiuso a chiave, la temperatura all’interno è inferiore ai 25° C, mantenuta da un condizionatore in perfetta efficienza. Un rilevatore di temperatura è preposto a segnalare tramite un SMS inviato al Responsabile IT ed al suo collaboratore, ogni eventuale innalzamento della temperatura oltre i valori limite prefissati.

Nel locale sono presenti un estintore adeguato ed un sistema di rilevazione dei fumi. L’ambiente è pulito, non ci sono carte e cavi in giro. Tutto un poco mignon ma sembra perfetto…

Entrando nel locale Bibendum nota dei contenitori posti sotto lo split del condizionatore. Avvicinandosi verifica che alcuni sono dei porta-vivande, di quello posto sopra, in plastica trasparente, si intuisce il contenuto: un’appetitosa insalata di riso. Alcuni invece sono contenitori di metallo: il loro contenuto resta sconosciuto.

Bibendum resta un poco sorpreso, si sta chiedendo se sia il posto giusto. Come sono arrivati lì? Cosa contengono quelli di metallo? Nel frattempo, entra frettolosamente l’addetta al commercio estero, si scusa per il disturbo e prende velocemente dalla pila un contenitore in plastica.

Bibendum, goloso, riesce a sbirciare: insalata fredda con maionese, mela e sedano rapa (Insalata Waldorf per l’esattezza come riconosce Bibendum dopo un’occhiata veloce).

Azione – Finalità dell’esempio: comprendere che a volte l’auditor non sa bene cosa fare. Lasciamo al lettore il compito di proseguire la soluzione del caso con l’eventuale formulazione della Non Conformità.

Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019