Procedure di Privacy Impact Assessment (PIA) e Data Breach: nella nuova edizione del Mastercourse ANORC ci attende una giornata interamente dedicata a queste tematiche, con la partecipazione del dott. Franco Cardin e del dott. Edoardo Limone.

In attesa della lezione prevista per il prossimo 14 dicembre, il dott. Franco Cardin, esperto privacy in ambito sanitario, propone un’anticipazione delle tematiche in programma:

Importante: solo per pochi giorni puoi ancora approfittare della PROMO EARLY BIRD, valida fino al 22 ottobre. Non perdere l’occasione di iscriverti alla XXIV edizione del Mastercourse.

Come gestire un data breach?

Con l’introduzione del principio di accountability (responsabilizzazione) il GDPR impone ai titolari e ai responsabili del trattamento una serie di obblighi finalizzati a ridurre il più possibile i rischi di distruzione, perdita, modifica o di divulgazione non autorizzata dei dati personali trattati. In altre parole, il GDPR, tenuto conto del sempre più diffuso utilizzo delle nuove tecnologie informatiche e telematiche, sia da parte dei soggetti pubblici che delle imprese private, pone la massima attenzione alla prevenzione dei rischi per i diritti e le libertà fondamentali delle persone fisiche, inevitabilmente legati a tali nuove tecnologie.

Efficacia ed efficienza

Considerato, però, che il rischio zero non esiste e che pertanto è necessario prevedere la possibilità di una violazione di dati personali, quali sono gli aspetti che il titolare del trattamento – e, in parte, anche il responsabile – devono prendere in considerazione per gestire in modo adeguato ed efficace tale eventualità?

Se da un lato la risposta a questa domanda non può che riguardare il corretto adempimento degli obblighi previsti negli articoli 33 e 34 del GDPR, nonché i suggerimenti contenuti nelle specifiche linee guida dell’EDPB relative alla violazione dei dati personali, dall’altro è fondamentale adottare una procedura aziendale per la corretta rilevazione, valutazione e gestione delle stesse.

Tale procedura dovrebbe innanzitutto individuare, tenuto conto del contesto e della natura dei dati personali trattati, la metodologia da utilizzare per la valutazione della gravità dei data breach. In secondo luogo è necessario che la stessa definisca i ruoli e le relative responsabilità dei soggetti interni all’organizzazione, dotati di adeguata e specifica competenza ed esperienza, (eventualmente coadiuvati da soggetti esterni), incaricati non solo di valutare la gravità della violazione, ma anche di identificare le cause della stessa, nonché di adottare tutte le necessarie misure di contenimento degli effetti e di ripristinare nel più breve tempo possibile l’operatività dei sistemi.

Parola d’ordine: formazione

È evidente, però, che per garantire l’efficacia di tale procedura, in particolare per quanto riguarda la fase della rilevazione dei data breach, è indispensabile creare all’interno dell’organizzazione un adeguato livello di consapevolezza di tutti i soggetti autorizzati al trattamento, attraverso approfonditi corsi periodici di formazione sul corretto utilizzo degli strumenti informatici e telematici e sull’applicazione delle diverse specifiche policy aziendali adottate. Solo tale consapevolezza può, infatti, garantire la necessaria tempestività nell’identificare e rilevare la violazione di dati personali in modo da rispettare gli obblighi previsti dagli artt. 33 e 34 del GDPR.