Sicurezza
GDPR e compliance, senza ansia.
Ti aiutiamo a trattare i dati in modo conforme al GDPR, con misure tecniche e organizzative adeguate.
Richiedi una consulenzaIl GDPR non si risolve con un plico di documenti in un cassetto: chiede misure tecniche adeguate e la capacità di dimostrarle. Non facciamo consulenza legale — quella la lasciamo al tuo DPO o al tuo avvocato — ma implementiamo e documentiamo tutto il lato informatico della conformità.
Dove finisce la carta e comincia l'informatica
La maggior parte delle aziende ha già informative, nomine e registro dei trattamenti, spesso preparati da un consulente. È la parte necessaria ma più facile. Quella che quasi sempre resta scoperta è la seconda: l'articolo 32 del GDPR chiede misure tecniche e organizzative adeguate al rischio, e chiede di poterle dimostrare. Nella pratica significa che il registro dei trattamenti deve descrivere sistemi che esistono davvero, che gli accessi devono essere quelli dichiarati e che il backup di cui parla il documento deve essere testato. È il punto in cui la documentazione e la realtà si allontanano più spesso.
Le misure tecniche che implementiamo
Sono le stesse che rendono l'azienda più sicura: la conformità, fatta bene, non è un costo separato dalla sicurezza.
- Accessi nominali e privilegi minimi: ogni persona vede solo i dati che le servono
- Autenticazione a più fattori su email, VPN e accessi amministrativi
- Cifratura dei dispositivi e dei supporti rimovibili
- Backup verificati, con test di ripristino documentati
- Tracciamento degli accessi ai dati sensibili
- Procedura di cancellazione e conservazione coerente con i tempi dichiarati
Il registro dei trattamenti, dal lato dei sistemi
L'articolo 30 chiede di sapere quali dati tratti, dove si trovano, chi vi accede e per quanto tempo li conservi. Sulla carta si scrive in fretta; sui sistemi è un'altra storia. Nella maggior parte delle aziende i dati personali stanno anche in posti che il registro non menziona: cartelle condivise storiche, caselle email di persone che non lavorano più qui, backup con retention infinita, copie sul portatile di qualcuno, gestionali dismessi ma ancora accesi. Facciamo la mappatura tecnica reale e la riconciliamo con il documento, così quello che è scritto corrisponde a quello che c'è.
Un tecnico (non un commerciale) analizza la tua situazione e ti dice cosa sistemare. Che tu scelga noi o no.
La violazione dei dati: 72 ore
L'articolo 33 impone di notificare al Garante una violazione dei dati personali entro 72 ore da quando ne vieni a conoscenza, e l'articolo 34 di informare anche gli interessati quando il rischio per i loro diritti è elevato. È un termine che si rispetta solo se la procedura esiste prima: chi rileva, chi valuta, chi decide, chi scrive. Ti prepariamo la procedura tecnica e i log necessari a ricostruire cosa è successo e quali dati sono stati coinvolti — senza quella ricostruzione la notifica è impossibile da compilare in modo credibile.
Se un'email aziendale venisse compromessa oggi, sapresti dire entro domani sera quali dati personali contenevano quelle caselle? Il termine parte da adesso.
GDPR e NIS2 si sovrappongono
Se la tua azienda rientra nel perimetro del D.Lgs. 138/2024, ti trovi con due normative che chiedono cose molto simili con tempistiche diverse: controllo degli accessi, crittografia, continuità operativa, gestione degli incidenti. Le misure si costruiscono una volta sola, ma le notifiche seguono binari distinti — preallarme entro 24 ore all'ACN per la NIS2, notifica entro 72 ore al Garante per il GDPR — e possono scattare entrambe per lo stesso incidente. Conviene progettare la procedura tenendole insieme fin dall'inizio.
Cosa ti lasciamo in mano
Documentazione tecnica utilizzabile in caso di controllo o di incidente: mappa dei sistemi e dei flussi di dati, elenco delle misure attive con la data di implementazione, matrice degli accessi per ruolo, esiti dei test di ripristino, procedura di gestione delle violazioni e report periodici. Non un attestato: le evidenze. È anche il materiale che il tuo consulente privacy usa per allineare il resto della documentazione.
FAQ
Domande frequenti
Fate consulenza legale sul GDPR?
No. Non redigiamo informative, nomine o pareri legali: quelli restano al tuo consulente privacy, al DPO o al tuo legale. Noi implementiamo e documentiamo le misure tecniche dell'art. 32 e forniamo al consulente le informazioni sui sistemi che gli servono.
Abbiamo già le informative e il registro, siamo a posto?
È la parte formale, e serve. Manca però quasi sempre la verifica che i sistemi corrispondano a quanto dichiarato: dove stanno davvero i dati, chi vi accede, per quanto tempo restano, se il backup è testato. In caso di controllo o di incidente è la seconda parte a fare la differenza.
Entro quanto va notificata una violazione dei dati?
Entro 72 ore da quando se ne viene a conoscenza, al Garante per la protezione dei dati personali, ai sensi dell'art. 33. Se il rischio per gli interessati è elevato vanno informati anche loro, senza ingiustificato ritardo. Se l'azienda è soggetta anche alla NIS2, in parallelo scattano i termini verso l'ACN.
La cifratura dei portatili è obbligatoria?
Il GDPR non impone strumenti specifici, chiede misure adeguate al rischio. Nella pratica, per un portatile che esce dall'ufficio con dati personali a bordo, la cifratura del disco è la misura minima ragionevole: senza, il furto del dispositivo diventa una violazione da notificare.
Per quanto tempo dobbiamo conservare i backup?
Il tempo necessario alle finalità dichiarate, non per sempre. È un punto delicato, perché una retention infinita contraddice quanto scritto nel registro dei trattamenti. Impostiamo politiche di conservazione coerenti con i termini che il tuo consulente ha definito.
Serve tracciare chi accede ai dati?
Per i dati particolari — sanitari, giudiziari — e per gli accessi amministrativi è fortemente consigliato e in molti contesti atteso in caso di verifica. Configuriamo il tracciamento e la conservazione dei log in modo proporzionato, senza trasformarlo in un controllo indebito sui lavoratori.
Un cliente ci ha inviato un questionario sulla sicurezza: potete aiutarci?
Sì, è una richiesta sempre più frequente, spinta dagli obblighi di catena di fornitura della NIS2. Compiliamo con te la parte tecnica e, dove emergono lacune, ti diamo il piano per colmarle in ordine di priorità.