L’audit di conformità legislativa è l’”audit per eccellenza”, la finalità è quella di comprendere qual è il grado di applicazione della normativa cogente in materia di protezione dei dati personali e dei Provvedimenti applicabili. Lo strumento soddisfa quanto richiesto dall’Art. 32 del REG.EU 2016/679 quando all’Art. 32 recita “… mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso…d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.”
Questo audit viene richiesto dal Titolare del trattamento, da DPO e serve a fornire adeguate garanzie a tutte le parti interessate. È anche un eccellente test per prepararsi a controlli o verifiche da parte dell’Autorità e può essere utilizzato dai Titolari del trattamento per la qualifica iniziale o successive verifiche nei confronti di Organizzazioni sono Responsabili.
L’unico limite di questo strumento è che non indaga la capacità dell’Organizzazione di adeguarsi nel caso di introduzione o variazioni di trattamenti, disposizioni legislative, Provvedimenti e quant’altro potrebbe portare a mutare il contesto interno o esterno. In altre parole indaga “solo” l’aspetto statico e non quello dinamico. E chi ci conosce sa quanto riteniamo fondamentale, come misura di accountability, esplorare la capacità di reagire e di adeguarsi. Per questo suggeriamo di approfondire anche gli audit sul Sistema di gestione della protezione dei dati personali.
Ogni Organizzazione, pubblica o privata ha la necessità di applicare questo strumento, quello che può variare è la frequenza. Le realtà meno esposte a problematiche sulla protezione dei dati personali potranno pianificarlo ogni 2/3 anni, anche sulla base dei risultati ottenuti. Mentre quelle che presentano maggiori criticità è opportuno che lo calendarizzino con frequenza almeno annuale. Non è poi infrequente che, sulla base dei risultati di questo audit si possa determinare l’opportunità di implementare un sistema di gestione per la protezione dei dati personali LINK PAGINA DA FARE e/o la possibilità di semplificare un impianto documentale troppo rigido e complesso.
Come per tutti gli audit è necessario che, anche questo, sia eseguito da una risorsa indipendente e qualificata. La conoscenza profonda della normativa e dei Provvedimenti applicabili al contesto dell’Organizzazione è un requisito fondamentale per poter svolgere questo audit che non può mai ripetersi tale e quale in quando le variabili esogene ed endogene sono in mutamento continuo. A differenza della maggior parte di audit questo non prevede tanto una analisi a campione, ma compatibilmente con il tempo a disposizione e l’ampiezza dell’universo da indagare, si tende ad effettuare piuttosto un’attività di controllo.
Moltissime Organizzazioni ci hanno chiesto questo tipo di audit. Tra le tante:
Pianificare questo tipo di audit è piuttosto semplice, è necessario, nella fase di pianificazione, analizzare i documenti di riferimento previsti dalla normativa (registro dei trattamenti, analisi dei rischi, DPIA, modelli di informative e consensi, nomine, privacy policy, documenti contrattuali con i Responsabili del trattamento, ecc.). È necessario poi comprendere quali sono i Provvedimenti applicabili ed anche in questo caso raccogliere la documentazione di supporto. L’audit deve essere organizzato coinvolgendo le funzioni aziendali che hanno responsabilità nel trattamento dei dati e, se del caso, effettuare anche le verifiche sul/sui siti internet. Segue la fase di intervista e di verifica in loco. Al termine dell’audit viene rilasciato un rapporto e, se richiesto il supporto per la risoluzione delle eventuali criticità e l’individuazione di azioni affinchè venga rimossa la causa all’origine della criticità.
Case study – La Rombicubottaedro Srl è un’Organizzazione che installa impianti di videoregistrazione e fornisce una consulenza specialistica ai propri Clienti. L’audit di conformità legislativa ha come finalità la verifica nelle varie aree di quanto indicato in seguito.
Area commerciale – verifica che le informazioni fornite alla Clientela (comunicazioni precontrattuali, contrattuali e post-contrattuali) rispettino la normativa ed i Provvedimenti del Garante.
Area assistenza tecnica – controllo che le installazioni delle videocamere presso i Clienti rispettino la normativa ed i Provvedimenti del Garante. Se il Cliente richiedesse qualcosa di non conforme rispetto a quanto previsto dalla normativa questa attività deve essere documentata come scelta autonoma del Cliente e di cui l’Organizzazione non può rispondere in quanto ha segnalato e documentato l’inadeguatezza della scelta imposta dalla committenza .
Funzione Privacy – verifica che la funzione si tenga aggiornata sull’evoluzione normativa del settore e tenga sotto controllo le variazioni e che informi i vari responsabili delle aree.
Funzione Sistema di gestione/compliance – verifica che siano effettuate attività di audit interno e siano avviate le relative azioni di trattamento o correttive.
Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019
Digital image courtesy of the Getty’s Open Content Program