Rischi privacy e pianificazione

Valutazione dei rischi privacy (6.1.2)

Il rischio si misura sulle persone i cui dati vengono trattati, non solo sull’azienda: una fuga di dati sanitari pesa diversamente da quella di una rubrica commerciale. Il metodo è libero, ma deve dare risultati coerenti e confrontabili quando viene ripetuto.

Trattamento e dichiarazione di applicabilità (6.1.3)

Per ogni rischio si scelgono i controlli, confrontandoli con l’Appendice A, e si riporta in una dichiarazione di applicabilità quali si applicano e perché si escludono gli altri. Un responsabile che non raccoglie mai dati dagli interessati può giustificare l’esclusione dei controlli pensati per il titolare.

Obiettivi e modifiche (6.2 e 6.3)

Gli obiettivi privacy devono essere misurabili —per esempio, la percentuale di richieste evase nei termini— e avere piano, responsabile e scadenza. Le modifiche al sistema si pianificano, non si improvvisano.

Cosa chiede di solito l’auditor

• Metodologia documentata di valutazione dei rischi privacy
• Esito della valutazione con il titolare di ciascun rischio
• Dichiarazione di applicabilità con la giustificazione delle esclusioni
• Obiettivi privacy con indicatore e piano

Come coprire la pianificazione in Kimobox

1. 1Gestisci la valutazione dei rischi nella matrice dei rischi, con titolare e trattamento.
2. 2Mantieni la dichiarazione di applicabilità come documento controllato collegato ai rischi.
3. 3Misura gli obiettivi con indicatori che derivano dalle registrazioni stesse.

Modelli e registrazioni ISO 27701 di questo capitolo

• Modello di valutazione dei rischi per la privacy ISO 27701 · Registrazione obbligatoria
• Modello di dichiarazione di applicabilità ISO 27701 · Documento obbligatorio