La gestione corretta dei dati personali non va mai in vacanza
Durante il periodo estivo – ma lo stesso vale anche nelle pause natalizie o in occasione di chiusure temporanee - molte aziende e professionisti riducono l'attività o chiudono temporaneamente gli uffici.
Questo però non sospende gli obblighi di protezione dei dati personali previsti dal GDPR e dalla normativa nazionale e richiede una particolare attenzione. Anche durante le assenze prolungate non vengono meno i rischi di:
Per cercare al meglio di prevenire problemi e garantire la conformità anche durante le ferie, ti raccontiamo alcune misure utili.
Indice dei contenuti
Misure organizzative prima di andare in ferie
La riduzione o l’assenza del personale, l'eventuale ricorso al lavoro da remoto per urgenze e la gestione dei rapporti con clienti e fornitori richiedono un approccio strutturato e preventivo, che parta dall’adozione di alcune semplici misure organizzative:
1. pianifica le responsabilità: identifica una figura di riferimento per le emergenze legate alla sicurezza dei dati, anche se l'ufficio è formalmente chiuso. Questa persona deve essere facilmente raggiungibile e avere accesso ai sistemi per poter intervenire in caso di necessità. Se hai un contratto con un fornitore esterno, accertati che sia sempre raggiungibile e come fare a metterti in contatt
2. fai un breve aggiornamento con il team
- cogli l’occasione per fare un recap o dare istruzioni chiare al personale su come comportarsi in caso di sospette violazioni di dati
- stabilisci se inviare messaggi automatici di risposta che informino della chiusura senza rivelare dettagli sensibili sull'organizzazione o dati personali
3. sicurezza fisica degli uffici e dei dispositivi. Non dimenticarti alcune misure elementari, come:
chiudi a chiave archivi, armadi e locali di archiviazione che contengono i documenti- verifica i sistemi di allarme e videosorveglianza, se li avete
- limita l’accesso agli ambienti a personale autorizzato
- verifica che la server room sia fisicamente protetta con serrature sicure, sistemi di allarme e controllo degli accessi
- custodisci fisicamente i dispositivi in luoghi sicuri e limita, per quanto possibile, il numero di dispositivi portati in vacanza
- promuovi e verifica l'applicazione di una politica della "scrivania sgombra" prima della chiusura
Misure tecniche prima di andare in ferie
La tecnologia rappresenta il principale strumento di raccolta e protezione dei dati personali ma anche un pericoloso punto debole di vulnerabilità della sicurezza dei dati, anche durante la pausa estiva.
Connessioni remote occasionali, dispositivi incustoditi, sistemi non presidiati o backup automatici che potrebbero fallire senza supervisione richiedono molta attenzione e possono essere un possibile punto debole per i dati delle organizzazioni.
Una corretta implementazione di soluzioni tecniche adeguate è il primo baluardo contro accessi non autorizzati e rischiose violazioni di dati:
1. verifica le misure tecniche di sicurezza relative ai dispositivi aziendali, come:
a. gestione degli accessi e delle password:
- verifica che sia attivato il blocco automatico per i dispositivi dopo un periodo di inattività ridotto
- se non l’hai ancora fatto, attiva sistemi di autenticazione a due fattori: estendi questa misura a tutti i servizi cloud aziendali, sistemi di posta elettronica e piattaforme di gestione dei documenti e verifica che tutti i token di autenticazione e le app dedicate (come Google Authenticator o Microsoft Authenticator) siano funzionanti
- verifica che le password non siano state condivise in modo non autorizzato
- configura, se non lo hai, un sistema di remote wipe che permetta la cancellazione da remoto dei dati in caso di smarrimento o furto del dispositivo
c. blocca l’accesso a PC, smartphone e tablet con password robusteb. pulizia della posta elettronica: cogli l’occasione per pulire le cartelle di posta indesiderata e spam
2. fai il backup dei dati: esegui un backup aggiornato dei dati e verifica il regolare funzionamento dei sistemi di backup. Durante l'assenza, i sistemi automatici di backup devono continuare a funzionare regolarmente. Assicurati che il backup sia crittografato e protetto da accessi non autorizzati.
3. imposta un sistema di monitoraggio automatico: configura sistemi di monitoraggio che possano rilevare automaticamente tentativi di accesso sospetti o anomalie nei sistemi. Questi strumenti devono essere in grado di inviare notifiche immediate alla persona responsabile della sicurezza anche durante la chiusura.
4. verifica gli aggiornamenti: verifica che tutti i sistemi operativi, le applicazioni e i software di sicurezza (antivirus, firewall, sistemi di rilevamento intrusioni) siano aggiornati con le patch di sicurezza più recenti. Assicurati che i software antivirus e antimalware siano installati, attivi e aggiornati su tutti i dispositivi aziendali, inclusi quelli utilizzati per il lavoro da remoto. Meglio evitare l'installazione automatica non supervisionata che potrebbe causare malfunzionamenti. Stabilisci piuttosto una finestra di manutenzione programmata prima della chiusura o nei primi giorni di chiusura, quando è ancora possibile intervenire facilmente in caso di problemi.
- utilizza VPN aziendali e reti Wi-Fi sicure
- evitare l’uso di dispositivi personali non protetti per il trattamento di dati aziendali
I controlli dopo il rientro
Qualche precauzione e verifica è buona cosa anche dopo il rientro:
- fai fare una verifica completa dei sistemi
- verifica l'integrità dei backup
- assicurati che non ci siano stati tentativi di intrusione durante l'assenza
- esegui una scansione antivirus su tutti i sistemi e dispositivi
- organizza un breve incontro con il personale per raccogliere feedback su eventuali problemi riscontrati durante l'utilizzo di dispositivi aziendali in vacanza o negli accessi da remoto
- ricorda al tuo personale il contenuto fondamentale delle policy aziendali sul trattamento dei dati personali e sull’uso dei dispositivi elettronici, in particolare se durante le ferie sono emerse nuove minacce informatiche o sono stati pubblicati aggiornamenti
Una pianificazione accurata, l'implementazione di misure tecniche appropriate e la definizione di responsabilità chiare sono gli elementi fondamentali per garantire la compliance del trattamento dei dati anche durante la pausa estiva, a tutela del regolare funzionamento e ripresa delle attività, dimostrando la conformità del titolare del trattamento.
Ricordati che è fondamentale che queste misure siano proporzionate ai rischi identificati e che l'azienda sia sempre in grado di dimostrare l'efficacia e le ragioni delle scelte adottate.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
