GDPR: documenti e misure, insieme
Registro dei trattamenti, nomine, misure di sicurezza e gestione delle violazioni, con le evidenze tecniche che arrivano dalle scansioni e non da un'autocertificazione.
Il GDPR riguarda anche la tua azienda
Il Regolamento generale sulla protezione dei dati (Regolamento UE 2016/679) si applica a chiunque tratti dati personali: clienti, dipendenti, fornitori, candidati. Non ci sono soglie dimensionali che escludano una piccola impresa dagli obblighi principali.
Il GDPR si dimostra in due modi: con i documenti (registro, informative, nomine, procedure) e con le misure tecniche e organizzative. Molte aziende hanno i primi, scritti una volta e mai aggiornati, e nessuna prova delle seconde. È proprio la parte che un'ispezione del Garante o una violazione di dati mette alla prova.
Il principio di responsabilizzazione (accountability) sposta l'onere su di te: non basta essere conformi, bisogna essere in grado di dimostrarlo.
I principali obblighi del GDPR
- Liceità, minimizzazione e limitazione della conservazione dei dati
- Informative chiare agli interessati
- Registro delle attività di trattamento (art. 30)
- Misure di sicurezza adeguate al rischio (art. 32)
- Gestione delle violazioni, con notifica al Garante entro 72 ore quando dovuta (artt. 33-34)
- Valutazione d'impatto quando il trattamento presenta rischi elevati (art. 35)
- Istruzioni e autorizzazioni per chi tratta i dati
- Nomina dei responsabili esterni del trattamento
- Formazione del personale
- Dimostrabilità di tutto quanto sopra
Ogni obbligo GDPR con il suo strumento
L'autovalutazione GDPR misura lo stato di partenza. Da lì ogni requisito ha un modulo che produce il documento o l'evidenza.
| Requisito GDPR | Come lo copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis GDPR su copertura e maturità, con punteggio per funzione |
| Registro dei trattamenti (art. 30) | Registro dei trattamenti nell'ordine dell'articolo, con i trattamenti proposti dall'analisi dei metadati del tuo Google Drive |
| Limitazione della conservazione | Rilievi "Dati da verificare in Google Drive": curriculum conservati oltre i 24 mesi, documenti d'identità, cedolini, documenti sanitari |
| Nomine, istruzioni, informative | Modulistica GDPR: documenti personalizzati per dipendenti e fornitori, in DOCX o PDF, in un passaggio |
| Misure di sicurezza (art. 32) | Vulnerability Assessment, Log accessi degli amministratori di sistema e posture cloud Microsoft Entra ID e Google Workspace |
| Violazioni dei dati (artt. 33-34) | Incident Response e Data Breach: registro delle violazioni con le fasi assegnate al CSIRT |
| Formazione | Formazione con il registro dei corsi esportabile, da esibire in caso di controllo |
| Accountability | Compliance e GRC: il GDPR è fra le norme del modulo, con procedure versionate ed evidenze di piattaforma |
Un GDPR che si può dimostrare
Registro che parte da solo
I trattamenti proposti dalla scansione di Drive, che legge solo i metadati e mai i contenuti. Le righe scritte a mano non vengono mai toccate.
Nomine per tutti
Lettere di incarico e informative per tutto il personale, generate dall'anagrafica in un unico ZIP.
Art. 32 con i fatti
Vulnerabilità gestite, accessi tracciati e configurazioni cloud verificate: misure dimostrate dalle scansioni, non dichiarate a parole.
Violazioni guidate
Quando qualcosa va storto, le fasi da seguire sono già lì, ognuna con il suo responsabile.
Il GDPR non si rispetta con un faldone scritto una volta: si rispetta tenendo insieme documenti aggiornati e misure verificabili. È esattamente ciò che la piattaforma tiene allineato.
GDPR: domande frequenti
Il registro dei trattamenti è obbligatorio per tutti?
L'articolo 30 prevede alcune esenzioni per le organizzazioni con meno di 250 dipendenti, ma non valgono quando il trattamento non è occasionale, presenta rischi o riguarda dati particolari. Nella pratica quasi tutte le aziende lo devono tenere, e resta comunque lo strumento migliore per dimostrare l'accountability.
Entro quanto va notificata una violazione dei dati?
Al Garante entro 72 ore dal momento in cui se ne viene a conoscenza, quando la violazione presenta un rischio per gli interessati. Il registro delle violazioni va tenuto in ogni caso, anche quando la notifica non è dovuta.
Dottor Box sostituisce il DPO o il consulente privacy?
No. La piattaforma produce documenti, registri ed evidenze tecniche e li tiene aggiornati; le valutazioni giuridiche restano a chi ne ha la competenza nella tua organizzazione o fra i tuoi consulenti.
I moduli che lavorano per il GDPR
Registro dei trattamenti
Il registro dell'articolo 30 GDPR, con i trattamenti proposti dall'analisi del tuo Drive.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di più GovernareFormazione
E-learning per il personale, con il registro dei corsi svolti da esibire.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.