Mentre ci avviciniamo all'anniversario di un anno dall'implementazione del GDPR, molte organizzazioni stanno ancora lottando per raggiungere la conformità con la legislazione di riferimento.
Infatti, un recente studio condotto da Forrester ha scoperto che oltre la metà degli intervistati non ha preso tutte le misure necessarie per raggiungere la conformità, nonostante il passaggio della scadenza di maggio.
Conformarsi alla legislazione si è rivelato molto più impegnativo di quanto alcune organizzazioni avessero inizialmente previsto. Ci sono spesso enormi quantità di dati sparsi su una grande varietà di piattaforme, punti di accesso infiniti e un aumento delle richieste di dati ha messo ulteriore pressione sulle organizzazioni che stanno lottando per mettere ordine in casa.
Dimostrare la conformità al GDPR è un processo continuo e le organizzazioni avranno bisogno di identificare e affrontare continuamente i rischi per la privacy e la sicurezza per assicurarsi di essere dalla parte giusta della legge e non essere responsabili delle grandi multe che potrebbero essere imposte come risultato della non conformità.
Da maggio dello scorso anno, sono state emesse 91 multe per violazioni del GDPR, ma la multa di 50 milioni di euro a Google è emersa come la più grande fino ad oggi. Le organizzazioni più grandi sono state colpite più duramente dalle sanzioni finanziarie, ma per la maggior parte delle imprese, l'impatto deve ancora essere sentito.
Tuttavia, le conseguenze della non conformità sono molto reali e se le organizzazioni cadono in fallo della legislazione potrebbero affrontare multe paralizzanti, danni alla reputazione e un aumento del rischio di attacchi informatici.
Tuttavia, ci sono una serie di passi che le organizzazioni possono fare per assicurarsi di essere sulla strada giusta per la conformità al GDPR:
Suggerimenti per la conformità al GDPR
1. Condurre regolarmente audit e valutazioni del rischio
Il GDPR specifica che le organizzazioni devono condurre verifiche regolari delle attività di trattamento dei dati e rispettare una serie di principi di protezione dei dati che aiuteranno a salvaguardare i dati. Le organizzazioni dovranno determinare:
- Quali dati vengono raccolti?
- Da dove provengono i dati?
- Perché i dati vengono raccolti?
- Come viene elaborato?
- Per quanto tempo vengono conservati i dati?
- Dove vengono trasferiti i dati?
- Tutti i dati sono necessari?
- Chi ha accesso ai dati?
Per prevenire le violazioni dei dati, le organizzazioni dovrebbero minimizzare l'accesso ai dati sensibili e ridurre il numero di luoghi in cui i dati sono fisicamente conservati.
Conducendo audit regolari, le organizzazioni possono assicurarsi che un quadro adeguato è in atto per mantenere le informazioni personali identificabili dei clienti al sicuro e mitigare qualsiasi rischio.
2. Formazione di sensibilizzazione del personale
Il GDPR afferma che i dipendenti devono ricevere regolarmente una formazione di sensibilizzazione del personale sulla sicurezza delle informazioni. Questa formazione è la chiave per garantire che il personale sia a conoscenza delle politiche aziendali, dei regolamenti e dei requisiti legali che si applicano al loro ruolo quotidiano.
Le organizzazioni devono dimostrare che il personale ha letto e compreso le politiche GDPR. Essere in grado di fornire questa prova mette le organizzazioni in una posizione forte per dimostrare che la "Privacy" è diventata parte integrante del loro business quotidiano. L'eLearning è uno dei modi migliori per garantire che il personale comprenda pienamente la politica GDPR.
3. Implementare un efficace sistema di gestione delle politiche
La conformità può rivelarsi un compito impossibile utilizzando i metodi di comunicazione esistenti come la posta elettronica e l'intranet aziendale. Tuttavia, attraverso l'uso di un software di gestione delle politiche, le organizzazioni possono snellire i processi interni, dimostrare la conformità con i requisiti legislativi e indirizzare efficacemente le aree che presentano il più alto rischio per la sicurezza dei dati.
Un sistema di gestione delle politiche fornisce alle organizzazioni una soluzione centralizzata e facile da usare per creare, archiviare e distribuire importanti documenti di politica. Un efficace sistema di gestione delle politiche avrà un metodo coerente per creare le politiche, aggiunge struttura alle procedure aziendali e rende più facile tracciare la conformità.
4. Creare un piano di risposta agli incidenti
Secondo il GDPR, tutte le organizzazioni devono rivelare qualsiasi violazione dei dati personali all'autorità di vigilanza competente entro 72 ore dal rilevamento. Per soddisfare efficacemente questa richiesta, le organizzazioni devono avere un piano in atto che consenta loro di rispondere a qualsiasi incidente in modo rapido, pianificato e coordinato.
Il piano dovrebbe delineare quali passi devono essere fatti e specifici individui all'interno dell'organizzazione dovrebbero avere ruoli e responsabilità definiti per prendere decisioni efficaci e gestire la situazione di conseguenza.
L'istituzione di un piano di risposta agli incidenti aiuterà a educare e informare il personale, a migliorare le strutture organizzative, a migliorare la fiducia dei clienti e degli stakeholder e a ridurre qualsiasi potenziale impatto finanziario in seguito a un incidente grave.
5. Difendere tutti i punti di accesso
Per raggiungere la piena conformità al GDPR, le organizzazioni devono garantire che tutti gli endpoint siano protetti. Purtroppo, un gran numero di violazioni di dati prevenibili sono il risultato di sistemi senza patch. Nuove vulnerabilità vengono scoperte di continuo e, a meno che non vengano applicate le patch, gli hacker sfrutteranno queste vulnerabilità per penetrare in una rete.
Per dimostrare la conformità ai regolamenti, le organizzazioni devono dimostrare di aver preso tutte le misure necessarie per proteggere i loro sistemi. I revisori possono richiedere rapporti su quali patch sono state applicate e quando, quindi è vitale che le organizzazioni abbiano i sistemi corretti in atto per documentare accuratamente quali patch sono state emesse. Le patch sono essenziali per mantenere le macchine aggiornate, stabili e sicure da malware e altre minacce.
MetaPrivacy è stato progettato per fornire l'approccio migliore alla conformità alla privacy dei dati. Contattaci per ulteriori informazioni su come possiamo aiutare la vostra organizzazione a migliorare la sua struttura di conformità.
DISCLAIMER: Il contenuto e le opinioni di questo blog sono solo a scopo informativo. Non sono intesi a costituire una consulenza legale o professionale e non devono essere considerati o trattati come un sostituto di consigli specifici relativi a circostanze particolari, il Data Protection Act, o qualsiasi altra legislazione attuale o futura. MetaCompliance non accetta alcuna responsabilità per eventuali errori, omissioni o dichiarazioni fuorvianti, o per qualsiasi perdita che possa derivare dall'affidamento sui materiali contenuti in questo blog.
