GDPR (Regolamento UE 2016/679) e Codice della privacy (D.Lgs. 2003/196 modificato dal D.Lgs. 2018/101)
Dovresti assegnare la responsabilità principale per la gestione degli archivi a un livello sufficientemente elevato che abbia la possibilità di cambiare politica, procedure e abitudini.
Laddove sono disponibili risorse, dovresti nominare un responsabile della gestione degli archivi adeguatamente qualificato per coordinare la gestione degli archivi all'interno dell'azienda. Puoi associare tale ruolo con altri all'interno della tua attività.
Definire una politica consente di affrontare in modo coerente il modo in cui gli archivi vengono utilizzati all'interno dell'azienda. Ciò può essere inserito come una sezione nella politica generale dell'attività o essere determinata in un documento autonomo supportato da specifiche procedure di gestione, ad esempio: creazione, manutenzione, smaltimento degli archivi.
La politica dovrebbe definire chiaramente il tuo approccio alla gestione degli archivi e dovrebbe riguardare l'impegno generale, il ruolo della gestione degli archivi nell'attività, i riferimenti alle politiche e ai documenti correlati, i ruoli e le responsabilità del personale e il monitoraggio della conformità normativa.
Dovresti eseguire simulazioni regolari per identificare, valutare e gestire i rischi di gestione degli archivi. Questa revisione dovrebbe identificare cosa potrebbe andare storto in un processo e perché. È quindi possibile mettere in atto misure per mitigare questi rischi.
Se si dispone già di un registro dei rischi aziendali, è possibile utilizzare questo per includere i rischi connessi alle funzioni di gestione degli archivi. Questi potrebbero coinvolgere archivi che non sono aggiornati, distrutti in modo tempestivo o mantenuti in modo sicuro.
Dovresti informare tutto il nuovo personale sulle proprie responsabilità per la creazione, l'uso, la manutenzione e l'eventuale distruzione degli archivi con aggiornamenti periodici per mantenere adeguati livelli di consapevolezza. Il materiale di sensibilizzazione potrebbe includere poster, e-mail a livello di ufficio, aggiornamenti intranet e contenuti relativi alla gestione degli archivi nelle newsletter.
Dovresti fornire una formazione specialistica al personale con specifiche responsabilità di gestione degli archivi come la gestione dei programmi di smaltimento, il monitoraggio della qualità dei dati o la supervisione delle pratiche di gestione al fine di consentire loro di svolgere efficacemente il proprio ruolo.
È necessario sviluppare metodi per verificare l'osservanza delle politiche e delle procedure da parte del personale; ad esempio, le operazioni di pulizia dopo l'orario di ufficio per assicurare l'adesione alla politica della scrivania sgombra (clean desk) e controlli delle procedure di smaltimento per garantire che i rifiuti confidenziali vengano smaltiti correttamente.
La misura delle prestazioni mediante indicatori chiave potrebbe includere: l'avanzamento nell'ambito di un piano d'azione per la gestione degli archivi, il tasso di recupero degli archivi misurato rispetto a un accordo sul livello di servizio (SLA), i progressi relativi alla cancellazione degli archivi rispetto ai requisiti previsti da un programma di conservazione o aspetti relativi alla qualità e accuratezza dei dati.
È necessario riferire periodicamente alla dirigenza aziendale circa le prestazioni degli indicatori chiave di prestazione per fornire garanzie sul rispetto della conformità normativa.
Dovresti assicurarti di disporre di procedure e linee guida per la referenziazione, la denominazione e l'indicizzazione dei nuovi archivi.
Dovresti anche realizzare uno schema di classificazione di sicurezza, ove possibile, in modo da poter classificare o contrassegnare i nuovi archivi in base alla loro sensibilità. Ciò ti aiuterà a controllare l'accesso a tali archivi e consentirà una gestione, un recupero e uno smaltimento efficienti.
Sebbene le e-mail siano spesso percepite in modo diverso rispetto ad altri archivi, contengono comunque informazioni che hanno uno scopo commerciale più ampio, nonché dati personali, quindi è necessario gestirle in modo coerente.
Al fine di garantire che i dati personali siano gestiti in modo efficace e sicuro, è necessario sapere quali informazioni sono in tuo possesso e come vengono conservate. Dovresti eseguire un controllo delle informazioni o una rassegna sugli archivi per identificare archivi e serie di dati in tuo possesso. Questo ti aiuterà a catalogare i dati che tratti e in che modo vengono acquisiti, divulgati all'esterno o elaborati nella tua attività.
L'attività del punto precedente ti aiuterà anche a determinare quali funzioni aziendali creano determinati archivi, quali sono fondamentali per la tua attività, dove li conservi, per quanto tempo li conservi e chi deve usarli attualmente e in futuro.
Al fine di raccogliere le informazioni necessarie nell'ambito della verifica delle informazioni, è possibile distribuire questionari alle persone chiave in tutte le aree o ruoli della propria attività.
Dovresti documentare i risultati, ad esempio in un registro delle risorse informative.
Questi risultati possono consentirti di sviluppare piani di conservazione e smaltimento, migliorare le pratiche di sicurezza e aiutare lo sviluppo di processi di ripristino di emergenza.
Dovresti assicurarti di prendere misure ragionevoli per salvaguardare l'accuratezza dei dati personali raccolti e affrontare le contestazioni della loro accuratezza da parte degli interessati di cui hai registrato le informazioni. Ciò che consideri rientrare in queste categorie cambierà nel tempo e man mano che le esigenze della tua azienda cambieranno.
Dovresti disporre di procedure per garantire la rimozione regolare dagli archivi dei dati personali che sono inesatti o non aggiornati. Ciò ti consentirà di modificare, rimuovere o precisare i dati personali in tuo possesso, se del caso.
I dati raccolti, archiviati ed elaborati dovrebbero essere adeguati, pertinenti e limitati a quanto necessario. Se non prendi decisioni su quali dati personali dovresti conservare per i tuoi scopi commerciali, allora rischi di raccogliere dati eccessivi e di violare la privacy di un interessato, o potresti tenere troppo poco per prendere decisioni efficaci su tali interessati. Ancora una volta ciò che è adeguato, pertinente e non eccessivo cambierà con le esigenze della tua azienda.
Ai sensi del GDPR gli interessati hanno il diritto di rettificare o completare i dati personali inaccurati o incompleti. Dovresti disporre di sistemi adeguati per gestire le richieste degli interessati di correggere o completare le informazioni o per consentire loro di fornire ulteriori precisazioni.
È necessario disporre di procedure che consentano di limitare i dati personali, se necessario. Dovresti utilizzare metodi di restrizione adeguati al tipo di trattamento che si sta eseguendo.
Il GDPR suggerisce una serie di metodi diversi che è possibile utilizzare per limitare i dati, come ad esempio:
È particolarmente importante considerare il modo in cui vengono archiviati i dati personali che non è più necessario trattare ma di cui l'interessato ha richiesto la limitazione richiedendo nella sostanza di non cancellarli.
Se si utilizza un sistema di archiviazione automatizzato, è necessario utilizzare misure tecniche per garantire che non sia possibile eseguire ulteriori elaborazioni o modificare i dati mentre è in vigore la restrizione. Si dovrebbe anche annotare sul proprio sistema che l'elaborazione di questi dati è limitata.
I tuoi dipendenti potrebbero dover portare i documenti cartacei fuori sede per lavorare in remoto, ad esempio per visitare gli utenti dei servizi o per assistere alle udienze. Potresti anche voler archiviare i documenti cartacei fuori sede a causa dello spazio limitato disponibile in ufficio.
Dovresti disporre di procedure per assicurarti di sapere quali archivi sono fuori sede e di chi sono in possesso in modo da poterli recuperare se necessario o distruggerli quando raggiungono la fine del periodo di conservazione.
Quando si trasferiscono dati fuori sede è necessario minimizzarli, utilizzare una forma di trasporto appropriata, ad esempio un corriere sicuro per dati personali sensibili, registrare l'inizio e la fine del trasferimento laddove appropriato e mettere in atto controlli per garantire che i dati vengano ricevuti. Le misure di sicurezza che è possibile utilizzare includono contenitori chiudibili a chiave, imballaggi a prova di manomissione e rimozione dalla vista e dall'accessibilità al pubblico.
L'efficace tracciamento degli archivi cartacei ti aiuterà anche a individuare e recuperare rapidamente le informazioni in caso dovessi ricevere una richiesta di accesso dell'interessato.
Puoi trasferire dati personali fuori sede utilizzando mezzi elettronici come e-mail o supporti rimovibili, ad esempio chiavette USB o DVD. CD, DVD, unità USB, smartphone e tablet sono vulnerabili a furti o smarrimenti.
Se è necessario trasferire i dati personali via e-mail o supporti rimovibili, dovresti cercare di ridurre al minimo la quantità di informazioni trasferite e inviarle tramite posta crittografata o utilizzare dispositivi sicuri che sono stati crittografati per proteggere l'accesso non autorizzato ai dati memorizzati.
Dovresti utilizzare un mezzo di trasporto adeguato, ad esempio un corriere sicuro per i dati personali sensibili. È necessario registrare l'inizio e la fine del trasferimento, ove appropriato, e verificare che i dati vengano ricevuti.
Le misure di sicurezza che è possibile utilizzare comprendono l'imballaggio antimanomissione, i dispositivi crittografati, le e-mail crittografate, software sicuro per la condivisione o il trasferimento di file.
Dovresti utilizzare uffici, armadi e cassetti chiudibili a chiave per conservare gli archivi, con livelli di sicurezza più elevati per quelli contenenti categorie particolari di dati personali. È inoltre necessario conservare le chiavi in modo sicuro e bloccare le chiusure quando il personale è assente per periodi prolungati, ad esempio durante la notte.
I dipendenti devono bloccare gli schermi quando sono lontani dalle loro scrivanie per evitare accessi non autorizzati e non rintracciabili, furti, distruzione o alterazione dei dati.
I controlli ambientali per le aree di conservazione degli archivi potrebbero includere impermeabilizzazioni e drenaggi per la protezione contro il rischio di alluvione, protezione antincendio come l'uso di materiali resistenti al fuoco o ignifughi, sistemi di controllo del fuoco e di riscaldamento per proteggere dall'umidità.
Esiste un numero crescente di servizi che offrono spazio di archiviazione nel cloud in cui è possibile caricare documenti e altri file. Devi verificare che la sicurezza e la disponibilità del servizio siano adatte a te. Pensa attentamente a chi può accedere ai tuoi archivi e alla posizione dei server in cui sono archiviati i tuoi dati, controlla i termini e le condizioni del provider di archiviazione e l'informativa sulla privacy e prova a crittografare i tuoi dati prima di metterli nel cloud.
Al fine di ridurre il rischio di accesso non autorizzato, dovresti considerare chi deve accedere a quali dati personali per adempiere alla propria funzione. Ad esempio, è probabile che solo specifici membri del personale abbiano bisogno di accedere agli archivi delle risorse umane. In tali casi, è necessario limitare l'accesso con chiavi, carte magnetiche, codici PIN o altre misure di sicurezza.
La direzione dovrebbe autorizzare l'accesso ai sistemi che contengono dati personali e garantire che le autorizzazioni siano limitate al minimo assoluto, noto come privilegio minimo. A ciascun utente devono essere assegnati il proprio nome utente e password per garantire la responsabilizzazione.
Dovresti rivedere periodicamente le autorizzazioni di accesso per assicurarti che i privilegi concessi continuino a basarsi sulle esigenze aziendali e siano stati correttamente autorizzati. La frequenza della revisione dipenderà dal livello di privilegio concesso all'utente.
Un attacco alle password del tipo "forza bruta" (brute force), in cui il computer di un utente malintenzionato tenta ogni possibile combinazione di caratteri per indovinare la password, è una minaccia comune, pertanto è necessario imporre password complesse e impostare un limite ai tentativi di accesso non riusciti prima che un account venga bloccato.
Dovresti inoltre monitorare l'attività dell'utente per rilevare eventuali usi insoliti. Le password non devono essere condivise e devono essere prontamente disabilitate quando un utente cambia servizio o lascia l'organizzazione.
Dovresti realizzare un piano su come affrontare una grave interruzione della tua attività.
Conserverai i dati senza i quali la tua attività non può funzionare. Dovresti quindi valutare i dati in tuo possesso e identificare quanto siano critici per il funzionamento della tua attività.
Dovresti eseguire backup regolari in modo da poter ripristinare i dati personali archiviati elettronicamente in caso di disastro o guasto hardware. L'estensione e la frequenza dei backup dovrebbero riflettere la sensibilità, la riservatezza dei dati personali e quanto siano cruciali per il corretto funzionamento della tua attività. Preferibilmente dovresti archiviare i backup fuori sede.
Dovresti conservare i dati personali in un formato che consenta l'identificazione degli interessati per un periodo non superiore a quello necessario per le finalità per le quali vengono trattati. È necessario identificare quali tipi di archivi o insiemi di dati sono in tuo possesso, quali tipi di informazioni sono archiviati e quindi distruggere, eliminare o rendere anonimi i dati personali negli archivi in tuo possesso non appena eccedano le necessità.
Dopo aver completato una revisione degli archivi, è possibile assegnare periodi di conservazione ad archivi e insiemi di dati. È quindi possibile distruggerli una volta raggiunta la fine di questo periodo di conservazione.
Puoi distruggere gli archivi cartacei in vari modi, tra cui la distruzione a taglio incrociato o l'incenerimento. Il tuo metodo di distruzione dovrebbe essere coerente con la sensibilità dei dati personali che vengono distrutti e dovresti effettuare controlli per garantire che il personale stia rispettando le procedure. Dovresti anche eliminare gli archvi digitali dai sistemi, tuttavia se ciò non è tecnicamente possibile, dovresti fisicamente metterli fuori uso.
Laddove i rifiuti riservati raccolti quotidianamente siano in attesa di smaltimento, è necessario conservarli in modo sicuro, ad esempio in contenitori per rifiuti riservati con serratura. Potrebbero essere necessarie aree di archiviazione più grandi per lo smaltimento di grandi quantità di dati personali.
Inoltre, ai sensi del GDPR, gli interessati hanno il diritto di richiedere la cancellazione dei loro dati personali, cosa più comunemente nota come diritto all'oblio. Un interessato può richiedere la cancellazione dei propri dati personali e impedire il trattamento in circostanze specifiche:
Ricorda che il risultato del test dipende dalle tue risposte alle domande che fanno riferimento ai diversi aspetti del trattamento dei dati personali. Serve pertanto a misurare la tua attenzione nei confronti dei diritti degli interessati e, anche se l'esito complessivo è positivo, ciò non significa che la tua attività sia realmente allineata alla norma.
Un mancato allineamento alle prescrizioni normative, anche solo per uno degli aspetti indagati nel corso del test, potrebbe comportare sanzioni. Per questo motivo è consigliabile prestare la massima attenzione ai punti sensibili individuati, per rimediare alle criticità emerse.
Domanda 1: La tua azienda ha definito e assegnato le responsabilità di gestione degli archivi.
Domanda 2: La tua azienda ha approvato e pubblicato una politica di gestione degli archivi appropriata, soggetta a un costante processo di revisione.
Domanda 3: La tua azienda ha identificato i rischi di gestione degli archivi come parte di un più ampio processo di gestione del rischio informativo.
Domanda 4: La tua azienda incorpora la gestione degli archivi all'interno del programma di formazione comprendente: formazione iniziale obbligatoria, aggiornamenti successivi e addestramento specialistico per gli addetti con funzioni specifiche.
Domanda 5: La tua azienda effettua controlli periodici sulla sicurezza degli archivi e viene monitorato il rispetto delle procedure di gestione.
Domanda 1: La tua azienda ha fissato standard minimi per la creazione di archivi cartacei o digitali.
Domanda 2: La tua azienda ha individuato le situazioni in cui utilizzi sistemi di gestione degli archivi cartacei e digitali e mantiene attivamente un registro centralizzato di tali sistemi.
Domanda 3: La tua attività possiede procedure per garantire che i dati personali raccolti siano accurati, adeguati, pertinenti e non eccessivi. Esegui revisioni periodiche per rimuovere dati personali o archivi non aggiornati o non più necessari.
Domanda 1: La tua azienda utilizza meccanismi di tracciamento per registrare lo spostamento degli archivi cartacei e garantire la loro sicurezza tra l'ufficio e le aree di archiviazione e anche nei casi in cui vengono portati fuori sede.
Domanda 2: La tua azienda ha adottato misure adeguate per trasferire gli archivi digitali fuori sede e proteggere i dati personali da smarrimento o furto.
Domanda 3: La tua azienda conserva gli archivi cartacei e digitali in modo sicuro con adeguati controlli ambientali e livelli di sicurezza più elevati per le categorie particolari di dati personali.
Domanda 1: La tua azienda limita l'accesso alle aree di conservazione degli archivi al fine di prevenire accessi non autorizzati, danni, furti o smarrimenti.
Domanda 2: La tua azienda possiede procedure per assegnare e gestire gli account utente alle persone autorizzate e per rimuoverli quando non più necessari.
Domanda 3: La tua azienda attua piani di continuità aziendale in caso di disastro. Ciò include l'identificazione degli archivi fondamentali per il funzionamento o la ricostituzione della tua attività.
Domanda 4: La tua azienda possiede un programma di conservazione e smaltimento che specifica per quanto tempo manterrai gli archivi cartacei e digitali.
Domanda 5: La tua azienda possiede procedure riservate di smaltimento dei rifiuti per garantire che gli archivi vengano distrutti secondo uno standard adeguato.
Migliore esperienza per i tuoi clienti, meno grattacapi per la tua organizzazione.
Disponibile immediatamente in modalità desktop e web.