Negli ultimi tempi, situazioni imprevedibili e critiche hanno coinvolto sempre più spesso le organizzazioni aziendali: ad esempio, prima l'emergenza sanitaria da Covid-19 e poi le tensioni geopolitiche del conflitto in Ucraina, nonchè il crescente numero di importanti data breach con devastanti attacchi ransomware hanno chiamato i Data Protection Officer ad affrontare situazioni non ordinarie che richiedono prontezza e un elevato livello di attenzione. E' quindi fondamentale non farsi cogliere impreparati Federprivacy, e perciò Federprivacy ha organizzato un corso operativo sul “Ruolo del Dpo nei casi complessi e nelle situazioni di emergenza”.
La “UNI EN ISO 22301:2019 Sicurezza e resilienza - Sistemi di gestione per la continuità operativa – Requisiti” è una norma certificabile che contiene un insieme di requisiti richiesti da un sistema di gestione della continuità operativa (BCMS) che contiene preziose indicazioni di carattere strettamente operativo quando una situazione emergenziale colpisce i dati aziendali.
La pandemia e l’esponenziale incremento di attacchi hacker ci hanno ricordato che un’organizzazione può trovarsi inaspettatamente in condizione emergenziale; tale situazione può essere innescata da eventi interni od esterni. Catastrofi naturali, incendi, problemi alla catena di approvvigionamento, attacchi ai sistemi informatici, sono solo alcune delle molte minacce riguardanti la gestione di qualsiasi attività. Il DPO deve essere promotore di una pianificazione coerente e solida della continuità aziendale anche in caso di condizione emergenziale, al fine di garantire i diritti e le liberta dell’interessato, considerando il bilanciamento di tutti gli interessi in gioco, le priorità, le risorse economiche disponibili.
Da quando il Gdpr ha introdotto la figura del Data Protection Officer, molti professionisti che ricoprono questo ruolo hanno compreso che devono svolgere non solo attività ordinarie, ma può capitare anche di essere coinvolti in casi che presentano delle criticità o vere e proprie emergenze che hanno un impatto sui dati personali, come è accaduto durante la pandemia, oppure come può succedere in caso in cui l’azienda venga colpita da un ransomware o da altri data breach, o altre situazioni emergenziali. Il sondaggio di Federprivacy.
Non abbiamo fatto in tempo a scrollarci dietro le spalle due anni di pandemia da Covid-19, che a peggiorare la situazione è arrivata pure la guerra in Ucraina. Quanto è vero che viviamo in tempi difficili e che la ricerca di una vita serena si fa sempre più complicata, spesso le ripercussioni della situazione generale si avvertono anche nelle attività lavorative, comprese quelle dei data protection officer e degli altri addetti ai lavori che operano nel campo della privacy.
Il DPO deve essere promotore di una pianificazione coerente e solida della continuità aziendale anche in caso di condizione emergenziale, al fine di garantire i diritti e le liberta dell’interessato, considerando il bilanciamento di tutti gli interessi in gioco, le priorità, le risorse economiche disponibili. Spunti importanti da alcuni standard ISO.
Il noto proverbio “uomo avvisato mezzo salvato” rende bene l’idea di quanto possa essere di vitale importanza il fatto di essere tempestivamente messi a conoscenza di una catastrofe imminente nella zona in cui ci troviamo per avere il tempo di mettersi in salvo, come ad esempio nel caso in cui si verifichi uno tsunami o il collasso di una grande diga, e il sistema di allertamento IT-Alert che il Dipartimento nazionale della Protezione civile sta sperimentando sul territorio italiano in questo periodo si pone proprio questo obiettivo, visualizzando in situazioni del genere un messaggio di allarme sugli smartphone degli utenti.
Tra le potenziali emergenze che potrebbero insorgere nelle aziende, è il ransomware la minaccia più temuta dai DPO (71%). Il 78% degli oltre mille professionisti intervistati in un sondaggio di Federprivacy ritiene molto probabile che prima o poi dovrà affrontare un caso critico o una situazione d’emergenza, mentre il 54% di essi vede una possibile ispezione del Garante della Privacy alla stregua di un’emergenza. Il 79% dei Data Protection Officer teme di finire sotto processo da parte del management a seguito di una criticità gestita male. Bernardi:”Anche danni da cambiamenti climatici e intelligenza artificiale sono fenomeni destinatati ad aumentare che devono essere monitorati attentamente dai DPO e che le imprese devono organizzarsi per evitare potenziali disastri”.
La situazione emergenziale è uno stato, innescato da un “agente di minaccia”, in cui può trovarsi un’organizzazione; tale condizione può essere simmetrica, ovvero colpisce tutta una serie di soggetti che appartengono ad uno specifico cluster (area geografica, settore merceologico, ecc.) oppure asimmetrica (colpisce una sola organizzazione). Un incendio o un data breach sono condizioni emergenziali asimmetriche; la pandemia Covid-19 o un evento naturale che colpisce una regione è una condizione emergenziale simmetrica.
