La documentazione descrittiva che compone un Sistema di gestione privacy è formata da vari documenti, alcuni richiesti in modo vincolante dalla normativa (es. registro dei trattamenti, analisi dei rischi) ed altri introdotti dal Sistema di gestione (procedure ed istruzioni). Per le realtà più complesse è utile introdurre anche un documento che contiene o richiama la documentazione descrittiva: il documento è noto come “Modello organizzativo privacy” (MOP).
In sintesi, la finalità di un MOP è quella di documentare:
Ed infine, come risultato derivato da quanto sopra: proteggere l’immagine e la reputazione dell’Organizzazione.
Tra le normative cogenti o riferite a sistemi di gestione volontari, non vanno dimenticate, nella misura in cui sono applicabili al contesto dell’Organizzazione: Responsabilità amministrativa di impresa (D.lgs 231/2001), Testo unico sulla salute e sicurezza sul lavoro D.lgs 81/2008, Sistema di gestione della sicurezza delle informazioni (ISO/IEC 27001:2013 e normative collegate della famiglia ISO/IEC 27000 come la ISO/IEC 27701:2019), Sistema di gestione della qualità (UNI EN ISO 9011:2015), Sistema di gestione della salute e sicurezza sui luoghi di lavori (UNI ISO 45001:2018).
Il documento, proprio per i richiami alla documentazione aziendale predisposta si presta, in modo ottimale, per candidarsi a criterio di audit. La finalità di tale audit è quella di verificare, con le tecniche a campione tipiche di questo strumento:
Per quanto riguarda la parte di audit relativi alla conformità legislativa il tema è ulteriormente approfondito nella sezione dedicata nel sito.
Parte integrante di questo audit è quello relativo alla verifica sull’applicazione dell’analisi dei rischi e delle misure applicate. Si tratta di un documento a carattere riservato e di cui spesso si trascura la necessità di effettuare verifiche mirate in tal senso. L’importanza della verifica di tali misure è una significativa misura di accountability e prende in carico anche quanto previsto dall’Art. 32 del REG. EU 2016/679 quando recita “… mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso…d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.”
Per approfondire la competenza di Consultia sul tema si veda anche la pubblicazione ! Modello Organizzativo Privacy – Mop” di Perego Monica, Persi Simona, Ponti Chiara – Giuffrè, 2020.
Nel caso in cui un’Organizzazione disponesse di un MOP o di un documento assimilabile, dovrebbe considerare tale documento come un possibile criterio di audit, unitamente all’analisi dei rischi. Tale tipo di audit si presta ad essere pianificato ed eseguito in tutte le organizzazioni che possiedono tale modello o in quelle che vorrebbero valutare l’applicazione del MOP ed hanno esigenza di comprendere meglio le finalità e la struttura del documento stesso. Inoltre, questo tipo di audit, limitandosi al criterio della analisi dei rischi, dovrebbe essere oggetto di valutazione in tutte le organizzazioni, indipendentemente dalla loro complessità e dimensioni, considerando che l’analisi dei rischi è una misura prevista dal REG: EU 2016/679 a prescindere dal contesto specifico. Tale tipo di audit è ancora più rilevante in organizzazioni che hanno predisposto, per specifici trattamenti anche una Privacy Impact Assessment e quindi da considerare con un livello di esposizione ai rischi ancora più marcata.
Dato che uno degli elementi caratterizzanti di questo audit è la verifica sull’analisi dei rischi, si ritiene importante dettagliare questo aspetto. Anzitutto, va verificata la metodologia applicata e questo comporta una valutazione che consideri se:
Per quanto riguarda l’analisi dei rischi, in fase di audit deve essere valutato, ovviamente considerando che tali analisi si effettuano sempre ricorrendo al campionamento, se:
Per quanto concerne le misure di mitigazione definite che l’Organizzazione dichiara di applicare, deve essere approfondito se:
Per le misure di mitigazione che l’Organizzazione ha pianificato di mettere in campo, ma non sono state ancora applicate, deve essere valutato se:
Diverse Organizzazioni ci hanno chiesto questo tipo di audit. Tra le tante:
Come per tutti gli audit è necessario che, anche questo, sia eseguito da una risorsa indipendente e qualificata. La preparazione all’audit consiste nell’approfondimento dei contenuti del MOP e dei documenti ad esso collegati. Infatti, tra gli aspetti fondamentali da considerare nel corso di un audit sul MOP, non possono essere dimenticati: l’analisi dei rischi e la metodologia applicata, le misure di mitigazione definite e quelle pianificare per ridurre l’impatto dei rischi residuali, le procedure referenziate o che sono parte integrante del MOP, lo stato di presa in carico delle azioni definite (obiettivi) e più in generale documenti relativi al sistema di gestione integrato anche con altri sistemi di gestione basati su norme cogenti e/o volontarie presenti nell’Organizzazione.
Nel corso dell’audit va indagato il livello di adeguatezza della documentazione e l’applicazione della stessa. I rilievi emersi possono essere ricondotti al non rispetto della normativa, e per tanto oggetto di uno specifico approfondimento, o ad applicazioni di procedure o alla necessità di ulteriormente dettagliare/integrare/correggere procedure esistenti. I rilievi potrebbero anche essere originati dal lacune, più o meno critiche, nei confronti di quanto riscontrato in campo, rispetto a quanto dichiarato, relativamente alla analisi dei rischi.
Anche in questo caso al termine dell’audit viene rilasciato un rapporto contenente i rilievi emersi, mantenendo ovviamente la necessaria riservatezza nel caso si evidenziassero carenze rispetto alla normativa applicabile. Quando richiesto dalla committenza viene anche fornito il supporto per la risoluzione delle eventuali criticità e l’individuazione di azioni correttive o di mitigazione.
La verifica in campo dell’analisi dei rischi e delle misure di mitigazione come documentato integrativo del MOP
Case study 1 – Organizzazione: media Compagnia di Assicurazioni, Ramo Vita.
Contesto: archivio cartaceo delle polizze posto in un seminterrato dotato di bocche di lupo; lo stabile è posto a fianco di un fiume di una media cittadina italiana.
Lo stabile è dotato del Certificato Prevenzione Incendi e nel locale seminterrato sono presenti degli splinkler che si attivano al raggiungimento di una determinata temperatura, l’impianto è collaudato e regolarmente verificato.
Rischio: perdita o danneggiamento dell’archivio polizze.
Eventi: tra molti eventi che possono portare alla distruzione o al danneggiamento dell’archivio sono stati individuati, nell’Analisi dei rischi, i seguenti:
Evento 1 Il vicino fiume esonda con conseguente allagamento del seminterrato dove è collocato l’archivio.
Misura applicata: nessuna.
Misure possibili:
Conseguenza dell’Evento: perdita dei dati in quanto l’acqua/fango danneggia, anche in modo irreversibile, il supporto cartaceo.
Evento 2 Incendio al locale seminterrato dove è collocato l’archivio.
Misura applicata – impianto antincendio automatico di tipologia splinkler.
Conseguenza della misura applicata: perdita dei dati in quanto l’attivazione dell’impianto antincendio, che ricorre a getti d’acqua, danneggia il supporto cartaceo del 100% dei documenti.
Commento – In entrambi i casi l’audit dovrà valutare che quanto dichiarato corrisponda alla situazione riscontrata in campo (esempio presenza di splinkler) e l’efficacia delle misure dichiarate in relazione ai rischi che si vogliono mitigare.