Audit – Analisi generale

L’Audit Privacy è la valutazione dei processi aziendali in relazione alla normativa vigente: in sostanza l’analisi dei rischi, relativa alla perdita o sottrazione dei dati, ponendo particolare attenzione alle eventuali vulnerabilità dei sistemi informatici presenti in azienda.

L’Audit Privacy si può paragonare ad un check-up, fatto da un esperto indipendente, l’auditor, che potremmo paragonare ad un medico. Dal punto di vista pratico la prima fase consiste in una intervista/analisi, al titolare del trattamento dei dati in azienda, che si svolge periodicamente.

Le domande sono dirette a conoscere in che modo i dati vengono raccolti e trattati: tipologia di dati, soggetti interessati, finalità di trattamento e tempi di conservazione, identificazione delle criticità, ecc…

Report

Fatta l’analisi iniziale viene redatto un documento DPA (Data Processing Agreement: Accordo Principale per il trattamento di dati personali) in cui l’auditor identifica le persone responsabili al trattamento dei dati ed i processi necessari a conformarsi alla normativa GDPR (allocazione di ruoli e risorse).
Questo documento identifica inoltre quali saranno le principali aree di intervento:
Videosorveglianza, Sistemi di rilevazione presenze, Pc- Telefonia- Tablet, Sistema email, Telemarketing, Web, Sistemi di Backup, Firewall, ecc…

Azioni correttive – Action Plan

Sulla base del chech-up iniziale e del report redatto, vengono suggerite delle azioni correttive in grado di mettere in regola l’azienda: una vera e propria lista di attività, divise per priorità, importanza e severità, necessarie a colmare il gap per ottenere la conformità al GDPR.

Conformità – Principio di responsabilizzazione

La responsabilità è uno dei principi fondamentali dell’obbligo del GDPR.

Il report e l’action plan visti in precedenza, al termine dell’attività di riorganizzazione, oltre a mostrare che l’azienda si sta impegnando nelle attività di messa in sicurezza e di raggiungimento degli obiettivi, mostra come sia a conoscenza delle proprie vulnerabilità in termini di data protection e livello di rischio.
Dunque, questo report assume una valenza strategica non indifferente.