Altri Audit

La varietà di audit è veramente molto ampia ed è possibile individuare, per problematiche specifiche delle soluzioni che possono essere molto efficienti. Di seguito si propongono alcuni tipi di audit particolari ed il contesto all’interno del quale possono essere pianificati ed eseguiti in modo proficuo. Nella maggior parte dei casi, questi audit si eseguono su richiesta del DPO o del Titolare del trattamento.

Audit in sedi extra SEE – Gli audit possono essere compiuti anche presso sedi di Organizzazioni site al di fuori dall’SEE.

Tali situazioni, sia pur rare, si possono verificare nei seguenti casi:

• Multinazionali con sede extra SEE che gestiscono dati personali raccolti in Italia dalla filiale italiana, presso sedi situate in altri Paesi SEE o extra SEE
• Multinazionali con sede principale in Italia ma che, per ragioni organizzative, gestiscono una parte dei dati raccolti in Italia presso Paesi SEE o extra SEE
• Fornitori che trattano i dati personali di cittadini italiani presso sedi site in altri paesi della SEE

In questo caso i criteri di riferimento sono le leggi vigenti nel Paese in cui ha sede il Fornitore ed il Capitolato con il Fornitore non può che prevedere, come minimo, quanto richiesto dalla normativa privacy.

Nel caso di trasferimenti transfrontalieri (all’interno della SEE), il Regolamento prevede la possibilità di avere come unica Autorità di controllo competente quella del paese di stabilimento del Titolare: è la tecnica dello “sportello unico” o “one shop stop”. Avere un’unica Autorità di controllo di riferimento potrà essere un elemento di notevole semplificazione per le attività economiche e per l’attività di audit.

Audit senza preavviso – L’audit senza preavviso (“unannouced audit”) è un modo per effettuare gli audit, peraltro non previsto dalle Linee Guida. Alcune Organizzazioni vi fanno ricorso, la maggior parte però preferisce evitarlo in quanto potrebbe creare un clima di mancanza di fiducia all’interno dell’Organizzazione stessa o presso il Fornitore auditato.

La scelta è quindi affidata in modo preponderante allo stile di Direzione che caratterizza le singole Organizzazioni, nonché, riferendoci al contesto di cui tratta questa Guida, al grado di impatto o rischio privacy dei dati e dei trattamenti. L’ispezione senza preavviso è una modalità invece applicata da parte del Garante per la protezione dei dati personali che ha tutto il diritto di effettuare ispezioni, del tutto impreviste, ai luoghi in cui si effettua il trattamento.

Anche un audit di seconda parte, eseguito dall’Organizzazione presso un Fornitore, può o meglio deve prevedere nel Contratto interventi di auditing senza preavviso.

I sostenitori dell’audit senza preavviso sostengono che, in tal modo, si simula la situazione simile a quella di un controllo da parte del Garante per la protezione dei dati personali o di un audit di seconda parte, realizzando quindi un’utile ‘ginnastica’ per l’Organizzazione.

Le due tipologie di audit, con e senza preavviso, possono anche coesistere e possono essere applicate anche come modalità di controllo dei Responsabili del trattamento tenendo comunque conto che ciò può generare un clima di sfiducia e di allerta costante, che difficilmente si concilia con lo sviluppo di un clima positivo e collaborativo richiesto in un rapporto di partnership.

Audit in incognito – La UNI 11312-1:2017 “Qualità nei servizi – Audit in incognito (mystery audit) – Parte 1: Requisiti e linee guida del processo” riguarda l’esecuzione di audit in incognito (o ‘mystery audit’). La specifica fornisce le Linee Guida per la progettazione, la programmazione, la pianificazione, la gestione e la conduzione di audit effettuati con modalità “in incognito” presso Organizzazioni i cui servizi sono erogati, direttamente o dati in outsourcing, a Clienti o utilizzatori. Fornisce inoltre le indicazioni e le attenzioni da adottare affinché un audit di questo tipo sia significativo e quali sono i requisiti di competenza e abilità degli auditor.

Le Linee Guida sono applicabili a tutti gli ambiti (ad esempio, turismo, sanità, scuola). Lo strumento va utilizzato con le dovute cautele ed adattato alle specificità dell’ambito della protezione dei dati personali; può essere efficacemente applicato a questo contesto e fornire interessanti risultati e spunti a riguardo:

• del livello di preparazione, di competenza e di consapevolezza del personale di un’Organizzazione rispetto alle tematiche in oggetto
• della corretta esecuzione delle attività e dei processi che assicurano la riservatezza dei dati
• delle eventuali modifiche alle strutture, agli spazi ed agli ambienti di lavoro per garantire un adeguato ambiente di lavoro in relazione al contesto.

Situazioni che si prestano ad un audit in incognito:

• presso un istituto scolastico – si simula di essere un genitore che chiede informazioni su un allievo
• presso una Residenza sanitaria privata – si simula di essere un parente alla lontana che chiede informazioni sullo stato di salute di un ospite e sulla terapia a cui è sottoposto
• presso un albergo – si telefona per sapere se un ospite (fornendo nome e cognome) è presente o ha soggiornato in hotel.

Audit ad attività e siti virtuali – La UNI EN ISO 19011:2018 introduce anche gli audit di attività e siti virtuali che sono “…condotti quando un’Organizzazione svolge un’attività oppure fornisce un servizio utilizzando un ambiente online, permettendo alle persone di eseguire processi indipendentemente dai siti fisici (per esempio intranet aziendale, un computing cloud). A volte, l’audit ad un sito virtuale è denominato audit virtuale…”.

Tale tipo di audit si presta in modo particolare “…per raccogliere informazioni, per intervistare un’Organizzazione, etc., qualora i metodi faccia a faccia non siano possibili o desiderati…”.

I campi di applicazione di tali audit sono diversi. Uno dei più frequenti è quello che riguarda la verifica a distanza del rispetto delle normative e delle prassi all’interno di un sito internet. Nel corso dell’audit virtuale si può verificare, ad esempio: l’applicazione del provvedimento dei cookie, la presenza di una corretta e completa informativa, e del consenso quando richiesto nelle forme adeguate.

Un altro utilizzo di questa tipologia di audit è nel caso di un’interazione tra l’utilizzatore di una soluzione tecnologica e in remoto un applicativo con il quale si interagisce attraverso un sito. Ad esempio, un’attività di assistenza ad un Cliente o a un potenziale Cliente per la formulazione di un preventivo on-line.

Gli audit possono essere compiuti anche indagando i siti internet di un’Organizzazione, sia per la parte accessibile a tutti gli utenti, sia per quella che è accessibile previa registrazione. Tali audit di fatto possono essere assimilabili ai controlli che può effettuare anche il Garante senza necessariamente avvisare l’Organizzazione. Difficile, in questo caso comprendere il confine tra un audit ed un controllo, visto, che, in tali contesti si tende ad esaminare la presenza, la correttezza e lo stato di aggiornamento di:

• informative privacy o Privacy Policy (es. richiesta di informazioni, registrazione) e consensi quando previsti
• condizioni d’uso del sito
• cookie policy

Audit in situazioni eccezionali – La pianificazione delle situazioni eccezionali, ossia diverse da quelle normali, può essere oggetto di audit privacy. Tali situazioni si distinguono da quelle di emergenza (questo è il caso descritto nel seguente paragrafo) e sono quasi sempre oggetto di un’adeguata pianificazione e calendarizzazione. Si tratta di: traslochi, ristrutturazione di immobili, presenza di estranei per manutenzioni, presenza di cantieri, prove di evacuazione della sede. Anche queste situazioni devono contemplare le misure per la protezione dei dati personali. Ovviamente dovrà essere verificato in sede di audit che tali misure, in occasione di eventi passati, siano state messe in atto e si siano dimostrate efficaci.

Audit e Data Breach – La procedura di Data Breach è uno dei requisiti essenziali per la conformità al Regolamento Europeo; tale procedura deve essere applicata ogni qualvolta si verificasse la necessità di un evento che potrebbe minare i diritti degli interessati. Fortunatamente le Organizzazioni pur disponendo di tale procedura non hanno frequente occasione di applicarla. È opportuno però la procedura sia oggetto, almeno una volta all’anno, di una simulazione, in modo tale che qualora l’evento si verificasse l’Organizzazione possa reagire in modo pronto. Durante un audit di prima parte o di seconda parte è opportuno:

• verificare la presenza e lo stato di aggiornamento della procedura
• se è prevista la simulazione della procedura, verificare che questa sia stata condotta secondo lo scandenzario previsto e siano disponibili le registrazioni
• se non è prevista la simulazione della procedura, raccomandare che tale operazione venga pianificata
• se è prevista la formazione del Team che deve intervenire in caso di Data Breach, verificare che questa sia stata eseguita e siano disponibili le registrazioni
• se non è prevista la formazione del Team, raccomandare che tale attività venga pianificata
• nel caso in cui la procedura è stata applicata in uno o più eventi di Data Breach, verificare, che siano disponibili le registrazioni relative agli eventi, le azioni messe in atto per risolvere o ridurre l’impatto dell’evento e le Azioni Correttive che sono state messe in atto per ridurre la probabilità che l’evento si possa riverificare o le conseguenze dell’evento stesso e l’aggiornamento conseguente dell’analisi dei rischi.

Audit sulle Procedure di emergenza – Le Procedure di emergenza in genere non sono considerate oggetto di audit della privacy: piuttosto di audit sulla sicurezza (D.Lgs. n 81/2008 in materia della salute e della sicurezza nei luoghi di lavoro). In caso di trattamento di dati personali, nella programmazione di un audit della privacy saranno da prevedere attività mirate di verifica del piano di emergenza.

In tal caso il piano di emergenza è verificato come misura adeguata di sicurezza dei dati personali. Ovviamente non è possibile (né auspicabile) osservare l’Organizzazione in una situazione reale di calamità; la simulazione di una situazione d’emergenza non è praticabile poiché non fa parte delle attività di un audit.

Ed ancora altri tipi  audit

Oltre a quelli indicati nell’ambito dell’area ITC sono pianificabili ulteriori audit, tra questi:

Audit del piano di Disaster Recovery e di Continuità – Le Organizzazioni più esposte si devono dotare di contromisure strutturate per mitigare i rischi che impattano sul Sistema Informativo e su quello di Comunicazione (ICT): tali eventi potrebbero causare danni economici e di reputazione di grande entità. Si tratta dei piani di Disaster Recovery e di Continuità del Business.

In caso di trattamento di dati personali nella programmazione di un audit privacy saranno da prevedere attività mirate di verifica del piano di Disaster Recovery. La possibilità di una prolungata indisponibilità del servizio rende necessario l’utilizzo di un sito alternativo, dotato delle apparecchiature ed infrastrutture informatiche necessarie.  L’auditor dovrà eseguire un esame del piano di Disaster Recovery. L’obbiettivo è di verificare se i dati personali sono classificati in base alla normativa privacy, se i criteri di conservazione e trattamento sono adeguati alla classificazione; se sono protetti mediante l’inserimento nel piano. L’auditor sul campo dovrebbe visitare il sito alternativo dedicando un’attenzione particolare alle modalità di conservazione ed allineamento dei dati personali negli archivi-copia. Infine, deve assicurarsi che il piano di Disaster Recovery sia regolarmente aggiornato.

Audit del piano di Continuità del Business – Il piano di Continuità del Business (Business Continuity Plan – BCP) include il piano di Disaster Recovery come sua componente. Il piano di Continuità del Business è un piano logistico completo volto a garantire la continuità della operatività dell’Organizzazione in caso di evento disastroso. Non dimentichiamo che il sito alternativo, previsto dal Business Continuity Plan, potrebbe divenire definitivo in caso di una calamità che comporti l’inagibilità permanente della Sede operativa danneggiata. È il caso di eventi naturali e non (ad esempio, evento franoso, terremoto, inondazione, incidente ambientale) che portino alla inagibilità strutturale irreversibile dei fabbricati; oppure l’impossibilità di svolgere le attività (pandemia). Sono contemplati anche gli eventi sociopolitici violenti. In caso vi sia trattamento di dati personali all’interno dell’Organizzazione l’audit privacy deve prevedere attività mirate di verifica del piano di Continuità del Business.  L’auditor che opera con criterio privacy dovrà eseguire un esame documentale del piano di Continuità del Business e delle Procedure associate.