Il diagramma a tartaruga (o "turtle diagram") è uno strumento utilizzato principalmente per la gestione dei processi aziendali, in particolare per la pianificazione e l'analisi di un processo specifico. È chiamato così perché la sua struttura grafica ricorda una tartaruga stilizzata, e trova la sua applicazione anche nel contesto della protezione dei dati.
In moltissime aziende è prevista la registrazione all’ingresso dei visitatori, siano essi clienti, manutentori esterni, addetti al vending, consulenti, rappresentanti di fornitori, candidati alla selezione, ecc. La registrazione è di norma svolta su supporti cartacei; le realtà più grandi dispongono invece di soluzioni elettroniche; in ogni caso molto raramente tale registrazione è gestita come un trattamento. In questo articolo si vogliono approfondire le implicazioni connesse a tale documento, con la consapevolezza che nelle aziende sono presenti situazioni molto variegate.
L’eliminazione di un trattamento di dati personali è una delle componenti del “ciclo di vita del trattamento”, spesso trascurata; essa si compone di due fasi: l’interruzione del trattamento vero e proprio, ovvero il Titolare non raccoglie più dati afferenti a quel trattamento; e l’eliminazione definitiva ed irreversibile dei dati che il Titolare conserva, afferenti a quel trattamento. In questo articolo, si presenta un esempio di estratto della procedura “Privacy by design” (principio previsto dall’art.25 del Gdpr) che riguarda l’interruzione e l’eliminazione del trattamento in un’organizzazione che dispone di un sistema di gestione della protezione dei dati ed in cui è presente la figura del DPO.
Per non farsi cogliere impreparate di fronte a un'inaspettata ispezione del Garante della Privacy, alcune grandi aziende hanno incluso nelle proprie procedure interne manuali e documenti come “Vademecum delle prassi per la cooperazione con Garante Privacy”, mentre altre hanno fatto veri e propri "stress test" con simulazioni d'ispezione.
Nel mondo dei dati digitali la questione relativa ai backup sembra essere diventata (finalmente) una pratica essenziale e consolidata anche nelle aziende più piccole. Il problema però deriva proprio da quella falsa tranquillità derivante dal sapere di aver implementato un sistema di backup, convinti che quando (e non se) ce ne sarà bisogno avremo il nostro paracadute.
Con sempre maggiore frequenza si fa ricorso alla definizione “catena di custodia”; in quest’articolo cerchiamo di comprenderne il significato nel contesto della protezione dei dati personali.
Un’efficace strategia di gestione degli incidenti relativi alla sicurezza delle informazioni, e dei data breach in particolare, si gioca sull’equilibrio tra la riduzione dell'impatto degli incidenti e la loro elaborazione nel modo più efficiente possibile; un valido approccio si basa sullo sviluppo di un piano.
Nel contesto della protezione dei dati personali, è fondamentale comprendere la differenza tra i concetti di "progetto" e "processo", in quanto questi due termini, sebbene spesso utilizzati in modo intercambiabile, rappresentano approcci distinti e complementari anche nella gestione delle informazioni sensibili.
Un aspetto spesso trascurato afferente alla protezione dei dati riguarda la dismissione (decommissioning) dei componenti hardware, siano essi di proprietà dell’azienda o, come spesso avviene, noleggiati.
Il tema degli accessi fisici alle aree ed ai locali di un’organizzazione merita un approfondimento particolare sul tema in quanto un’attenta valutazione dei rischi potrebbe far emergere delle vulnerabilità, in tutto o in parte non considerate precedentemente. Quest’articolo propone una Check List, che può essere utilizzata sia in fase di assesment che in fase di audit (avendo come criterio il sistema di gestione della protezione dei dati o la conformità legislativa).
Per leggere l'articolo integrale devi effettuare il login!
