Contesto e parti interessate (4.1 e 4.2)
Oltre ai fattori consueti, la norma chiede di considerare la legislazione sulla privacy applicabile, le decisioni delle autorità di controllo e gli impegni contrattuali con i clienti che impongono condizioni sui dati. Gli stessi interessati —clienti, dipendenti, pazienti— sono parti interessate, non solo i regolatori.
Il ruolo in ogni trattamento
Una stessa azienda è di solito titolare delle buste paga del proprio personale e responsabile dei dati che le affidano i clienti. Questa distinzione decide quali controlli dell’Appendice A si applicano e va chiarita prima di valutare i rischi.
Campo di applicazione del sistema (4.3)
Il campo di applicazione delimita trattamenti, sedi, sistemi e processi inclusi, con le interfacce verso terzi. Un campo che lascia fuori proprio il trattamento più rischioso toglie credibilità al certificato.
Cosa chiede di solito l’auditor
- Inventario dei trattamenti con il ruolo dell’organizzazione in ciascuno
- Elenco di leggi, decisioni delle autorità e contratti che riguardano i dati
- Parti interessate con le loro aspettative in materia di privacy
- Dichiarazione documentata del campo di applicazione del PIMS
Come coprire il contesto in Kimobox
- 1Documenta il contesto del sistema privacy come un’altra registrazione con versioni.
- 2Registra le parti interessate e i loro requisiti in una tabella con revisione annuale.
- 3Parti dal registro delle attività di trattamento per delimitare il campo di applicazione.
Il campo di applicazione poggia sul registro delle attività, non su un elenco a parte che invecchia da solo.
Modelli e registrazioni ISO 27701 di questo capitolo
- Modello di inventario dei dati personali ISO 27701 · Buona pratica