Il risk management della privacy

Il titolare del trattamento deve stabilire le misure tecniche ed organizzative per “gestire” tutti i rischi che sono stati individuati, a cominciare da quelli che hanno un valore più alto. Anche nella privacy è presente il “risk management”.
Le misure devono essere concepite per diminuire il valore del rischio individuato attraverso la diminuzione della probabilità e la diminuzione della gravità.
Se consideriamo il rischio dell’accesso non autorizzato ai dati personali potremmo, ad esempio, inibire l’accesso con una password.
Se invece vogliamo applicare una misura tecnica al rischio di distruzione volontaria dei dati personali allora possiamo scegliere di tenere un back up sistematico del database che li rende sempre disponibili.
La scelta delle misure tecniche ed organizzative da applicare viene fatta dal titolare del trattamento. La misura deve essere concepita su sua iniziativa a differenza di quando accadeva prima in cui il riferimento erano le misure minime di sicurezza.

Le misure tecniche ed organizzative più diffuse e generali sono:

  • Provvedere alla cifratura: dei database che trattano dati personali, dei dispositivi di memoria (hard disk interni ed esterni anche chiavette USB) dei server e dei software.
  • Applicare la password ai computer utilizzati per il trattamento dei dati personali (computer dei ruoli apicali e degli autorizzati) e a tutti gli archivi elettronici che contengono i dati personali.
  • Installare sul pc dei ruoli apicali e degli autorizzati le seguenti protezioni tecniche di tipo informatico: firewall, antivirus, anti-malware, anti-spyware e anti-sniffer
  • Attivare il blocco dello schermo dei computer impiegati per il trattamento dei dati personali
  • Effettuare, sistematicamente, il backup dei dati personali trattati, presso il server
  • Scannerizzare i documenti cartacei che contengono i dati personali trattati e conservarne i file di copia presso il server
  • Formare il personale autorizzato a eseguire i trattamenti considerando l’esito della valutazione dei rischi e l’effettiva applicazione delle misure tecniche ed organizzative.
  • Segregare i dati in formato cartaceo in area riservata chiusa a chiave in possesso del titolare.
  • Assicurare la chiusura di eventuali bacheche che contengono dati personali allo scopo di impedire l’acquisizione dei documenti presenti. Ove la bacheca venisse resa usufruibile tramite sito Internet adottare la procedura di autenticazione attraverso l’impiego della password individuale.
  • Assicurare la distruzione di documenti cartacei che contengono dati personali non più utili (rispettando eventuali scadenze e periodi predeterminati per la permanenza dei dati nell’Organizzazione)
Vedi esempio del modello misure tecniche ed organizzative