La gap analysis
Quando i “consulenti” privacy assumono l’incarico, hanno la necessità di eseguire innanzitutto una gap analysis: devono, cioè, sviluppare un processo per valutare lo stato attuale della compliance e individuare le aree organizzative e le linee di business che necessitano di attenzione immediata perché non sono allineate ai principi fondamentali della protezione dei dati.
Una buona valutazione preliminare parte quindi dalla definizione di un quadro chiaro e completo di dove si trova l’organizzazione per poi definire una tabella di marcia per realizzare miglioramenti evidenti e soprattutto misurabili, attraverso l’individuazione e la correzione delle lacune organizzative e la gestione dei rischi per i diritti e le libertà fondamentali delle persone fisiche.
I Principali cambiamenti del Regolamento Europeo sulla Privacy
- Principio di responsabilità (art. 22): il principio della accountability (responsabilità verificabile) comporterà l’onere in capo al titolare del Trattamento dei dati di dimostrare l’adozione di tutte le prescrizioni sulla privacy, attraverso l’introduzione e conservazione di apposita documentazione basata sul P.I.A. (Privacy Impact Assessment art.33) e sul P.L.A. (Privacy Level Agreement) in grado di attestare il “modello organizzativo e di sicurezza privacy “ (c.d. principio di rendicontazione).
- Valutazione d’impatto sulla protezione dei dati (Art. 33 Data Protection Impact Assessment): saranno richieste valutazioni d’impatto sulla protezione dei dati personali quando il trattamento, per la sua natura, il suo soggetto o le sue finalità, presenta rischi specifici per i diritti e la libertà degli interessati.
- Controllo del Codice di Condotta (art. 38): il controllo del rispetto di un codice di condotta adottato da un’organizzazione, può essere effettuata da un organismo che ha un adeguato livello di competenza in relazione con l’oggetto del codice ed è accreditata a tal fine dalla competente Autorità di controllo.
- Certificazione (Art. 39): L’Unione Europea intende promuovere la possibilità di predisporre meccanismi di certificazione per il rilascio di certificati e marchi allo scopo di dimostrare la conformità al Regolamento delle operazioni di trattamento dei dati da parte degli operatori coinvolti. I certificati potranno essere rilasciati da Organismi di Certificazione accreditati dall’Autorità di controllo (Garante della Privacy) e/o dall’Organismo di Accreditamento nazionale.
La Gap Analysis del Sistema di Gestione Privacy è applicabile a tutte le organizzazioni in cui vengono trattati dati personali (Pubbliche amministrazioni, grandi imprese, società di marketing con controllo abitudini di consumo e profilazione consumatore) e consente di effettuare una vera a propria analisi dei rischi attraverso lo studio delle modalità di trattamento dei dati presenti all’interno della struttura del cliente
