Impegno della direzione (5.1)
La direzione deve assicurare che gli obiettivi privacy siano coerenti con la strategia, che il sistema disponga di risorse e che sia integrato nei processi di business, non chiuso in una cartella di compliance.
Politica per la privacy (5.2)
È la politica interna del sistema, non l’informativa del sito web. Contiene l’impegno a rispettare i requisiti privacy applicabili e a migliorare il sistema, e fa da quadro per fissare gli obiettivi.
Ruoli e autorità (5.3)
Bisogna nominare chi risponde della conformità del sistema alla norma e del reporting alla direzione. Se c’è un responsabile della protezione dei dati (RPD), il suo ruolo e la sua indipendenza devono conciliarsi con questa assegnazione, senza confonderlo con il proprietario del sistema.
Cosa chiede di solito l’auditor
- Politica per la privacy approvata, comunicata e disponibile
- Matrice delle responsabilità del PIMS
- Designazione del responsabile della protezione dei dati, se prevista
- Evidenza delle risorse assegnate al sistema
Come coprire la leadership in Kimobox
- 1Pubblica la politica per la privacy come documento controllato, con conferma di lettura.
- 2Assegna un responsabile a ogni trattamento e a ogni rischio direttamente nel sistema.
- 3Prepara il riesame della direzione con le violazioni e le richieste del periodo già caricate.
La conferma di lettura dimostra che la politica è arrivata a chi tratta i dati.