Chi siamo
DE Consult è un team di professionisti che operano nel mondo della compliance mettendo in campo competenze differenti e complementari. Una squadra affiatata in grado di supportare enti e aziende di ogni dimensione con un particolare focus sulla normativa Privacy (dlgs 196/03 e Regolamento Europeo Privacy UE – GDPR 2016/679).
Servizi
Audit
Ogni attività di compliance parte da un audit o pre-assessment che permette di avere una fotografia dell’organizzazione e del gap rispetto a quanto richiesto dalle normative.
In collaborazione con i referenti aziendali, l’auditor o il tema di audit effettua un’analisi dal punto di vista legale, documentale, organizzativo e informatico per proporre un piano di adeguamento.
Scopri di più
- a) GAP ANALYSIS – Verifica di Conformità GDPR
L’attività prevede la verifica del livello di conformità dell’azienda o dell’ente al Regolamento Europeo 2016/6799
- Analisi dei macro processi aziendali
- Analisi dei rischi nel trattamento dati
- Valutazione delle misure di sicurezza fisica e logica
L’attività si conclude con la predisposizione da parte del Team di un Report di valutazione che permette di:
- evidenziare in maniera semplice le non conformità e i punti della norma disattesi
- evidenziare le aree di rischio e le possibili sanzioni
- fare un piano di miglioramento e adeguamento sulla base dei rischi e delle risorse a disposizione.
Compliance
Il team offre consulenza per l’adeguamento alla normativa vigente in ambito trattamento e sicurezza per la protezione dei dati: l’analisi e il supporto prevedono gli ambiti legali, procedurali, organizzativi ed informatici anche in base al tipo di cliente, ai trattamenti interessati e al livello di servizio richiesto. Dall’analisi di pre-assessment alla nomina di DPO esterno.
Scopri di più
a) ANALISI DPIA – Data Protection Impact Assessment
La valutazione d’impatto Privacy secondo il GDPR e le linee guida del WG 29
Effettuare una corretta DPIA – Data Protection Impact Assessement – consente ai Titolari del trattamento di poter identificare le misure più appropriate per ridurre e minimizzare i rischi connessi al trattamento di dati personali e di adottare, tenuto conto dello stato dell’arte, ogni misura tecnica, giuridica ed organizzativa necessaria all’adeguamento.
Il risultato dell’analisi DPIA consente, pertanto, all’azienda di allinearsi ai requisiti della normativa GDPR consentendovi di adottare in modo graduale e sostenibile le procedure necessarie a:
- proteggere l’azienda da attacchi e da contestazioni sul trattamento dati
- Identificare in maniera chiara ruoli e responsabilità
- minimizzare i rischi di sanzioni
- essere pronti a rispondere ad eventuali ispezioni degli Organi di Vigilanza
b) Valutazione legale ed adeguamento contratti ai sensi del Regolamento UE 2016/679
La correttezza e adeguatezza dei contratti stipulati dall’azienda (nei confornti dei clienti, fornitori, dipendenti o soggetti terzi) è fondamentale per la protezione dei dati aziendali e per la compliance del proprio sistema Privacy alla Normativa GDPR.
Il servizio propone l’analisi e verifica di:
– condizioni generali di vendita e condizioni particolari
– condizioni generali di acquisto e contrattualistica con i Fornitori critici e con consulenti esterni
– condizioni legali su materiale di marketing e pubblicità, cataloghi, brochure, sito web, Twitter, Facebook, Instagram, LinkedIn
– informative e nomine di dipendenti ai fini Privacy
Privacy e security
Quali sono le informazioni da proteggere o come sono trattate, condivise e conservate? Quale il livello di riservatezza e di protezione? Come è strutturato il sistema informativo o come è protetto da attacchi interni ed esterni? L’audit completo non si dovrebbe limitare a interviste e analisi documentali, ma dovrebbe prevedere anche test di Vulnerability Assessment al fine di documentare la robustezza e le eventuali vulnerabilità del sistema informativo dell’organizzazione, e poter definire un piano di adeguamento.
Scopri di più
a) Sicurezza Informatica GDPR
Il servizio viene svolto da personale adeguatamente formato, in collaborazione con il personale IT dell’azienda e sotto la supervisione se nominato del DPO – Data Protection Officer, per l’individuazione delle vulnerabilità e delle non conformità dei sistemi informativi, rispetto ai requisiti del GDPR valutando la sicurezza applicativa, logica e fisica.
Il piano di adeguamento prevede l’individuazione delle misure e delle configurazioni tecniche sui sistemi informatici per garantire la compliance dell’infrastruttura e delle applicazioni.
Ambiti di analisi:
- misure di sicurezza
- data encryption
- continuous audit
- ethical hacking & awareness
- backup & disaster recovery
- protezione dati “by design”
- secure SDLC
- secure infra & tlc engineering
- policy framework
- violazioni e data breach
- breach detection & reaction
- incident response: operations, plans, organization, readiness
- cyber threat intelligence
- compromise assessment
Risultato di questa analisi è un report tecnico che certifica la conformità tecnica al GDPR per ciascuno dei componenti oggetto di adeguamento.
Il vantaggio di tale attività è quello di definire in maniera preventiva le misure tecniche da adottare per evitare sanzioni e violazioni ai propri sistemi.
Incarico DPO – Data Protection Officer
Responsabile della Protezione Dati. Il servizio permette l’incarico di un DPO certificato per rispondere in maniera affidabile ai requisiti della norma GDPR 2016/679 in materia di Privacy e Protezione dei dati da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o dal danno accidentale (principio di integrità e riservatezza).
Scopri di più
Il nostro DPO si assume la responsabilità di valutare la conformità dell’organizzazione alla normativa GDPR e di identificare le misure tecnico/organizzative da adottare per consentire di adempiere ai requisiti in materia di Privacy e Protezione dei Dati. Il DPO affianca inoltre l’azienda nella fase di adeguamento e mantenimento ovvero nella messa in opera delle misure tecnico/organizzative per garantire la conformità alla normativa GDPR.
Il DPO:
- agisce come esperto indipendente e riporta direttamente al vertice
- si occupa, con il coordinamento dei Responsabili in Azienda, di tutte le comunicazioni pertinenti con le Autorità di Vigilanza della Normativa GDPR
- si occupa delle comunicazioni con gli Interessati in caso di contestazioni o rilievi in materia di Privacy e Protezione dei Dati
- garantisce un costante aggiornamento in materia di GDPR
Mantenimento: Data Protection Program (DPP)
Il Programma di Protezione Dati (DPP) è un pacchetto di servizi finalizzato a fornire all’organizzazione una guida operativa strutturata per la Protezione dei Dati Personali così da garantire nel tempo la conformità alla normativa Privacy GDPR.
Scopri di più
Il servizio analizza i rischi della vostra azienda inerenti la gestione e l’elaborazione dei Dati in base alle procedure operative in essere ed alle situazioni di rischio operativo potenziale, con l’obiettivo di identificare le misure tecnico/organizzative minimali da attuare per avere la piena conformità alla normativa Privacy GDPR.
Che cosa prevede:
- mappatura dei Processi di Gestione dei Dati
- identificazione e censimento dell’ubicazione fisica dei Dati sensibili
- valutazione dei rischi di trattamento dei Dati e di non conformità alla normativa
- identificazione di misure tecnico/organizzative da attuare in modo sostenibile e graduale in merito a: sicurezza logica e fisica dei dati, controllo degli accessi e della conservazione dei dati, creazione di regole per il trattamento, spostamento, copia e distruzione dei dati
- aggiornamento formativo periodico del personale aziendale in merito ai temi Privacy GDPR
Formazione
I professionisti del Team sono in grado di elaborare un percorso formativo ad hoc per il personale dell’azienda, su tutte le tematiche relative alla Privacy e Protezione dei dati, sia dal punto di vista legale, procedurale o tecnico informatico.
I percorsi verranno studiati su misura sulla base delle effettive esigenze.
Certificazioni
DE Consult, tramite i propri partner, può supportare professionisti ed aziende per l’ottenimento della certificazione delle competenze – per le persone fisiche – e delle organizzazioni.
La privacy da obbligo a opportunità
La tutela della privacy e la protezione dei dati sono concetti condivisibili e riconosciuti come fondamentali, ma diventano un nemico da evitare quando a livello aziendale è necessario prendere in considerazione la conformità agli obblighi di legge. La corretta adozione di misure di protezione dei dati e l’adeguamento dei processi aziendali dovrebbe invece essere vissuta come un’occasione per rendere più efficiente l’organizzazione e ridurre i potenziali rischi di attacchi, perdite di dati, interruzioni di servizio o danno di immagine.
GDPR e aziende: solo un obbligo o anche un’opportunità?
<Il principio introdotto dal GDPR richiede per le Aziende uno sforzo maggiore perché determina la necessità di svolgere un assessment privacy completo per giungere all’individuazione dei rischi esistenti e potenziali ed elaborare le misure più adatte per minimizzare i rischi stessi. Se è vero che in questo processo le Aziende sono chiamate, da un lato, ad assumersi una maggior responsabilità in forza del principio dell’accountability e, dall’altro, a sostenere dei costi, tuttavia questi sforzi non avranno solo il risultato di evitare le sanzioni ma avranno effetti positivi riflessi su molti ambiti. Si pensi agli investimenti per l’implementazione di misure di sicurezza in campo IT che dovessero rendersi necessari a seguito delle criticità emerse durante l’assessment privacy che garantiranno anche una miglior protezione dell’intera azienda dal cyber crime. L’analisi privacy coinvolge anche l’ambito giuslavoristico, si pensi ad esempio ai temi comuni a tutte le aziende della disciplina dell’uso della casella mail aziendale e di Internet, profili che vanno disciplinati unitamente ad altre istruzioni sull’uso dei dispositivi aziendali al fine di garantire il rispetto dei principi del trattamento dei dati personali stabiliti dalla normativa ma anche il corretto esercizio dei poteri di controllo e disciplinari del datore di lavoro previsti dallo Statuto dei lavoratori. Altri profili interessati nel percorso di verifica e adeguamento delle aziende sono quelli della videosorveglianza e della geolocalizzazione che possono costituire dei mezzi per accrescere la sicurezza e l’efficienza delle aziende . Ancora, la nomina dei responsabili ai sensi dell’art. 28, potrà essere l’occasione per fare il punto sui rapporti contrattuali in essere, rinsaldarli o terminarli, prevenire il contenzioso >
CERTIFICAZIONI: QUANDO SONO NECESSARIE, QUANDO CONSIGLIATE
<Chi si può certificare? Sia le persone fisiche che le organizzazioni . Gli articoli 37-38-39 introducono e definiscono il Data Protection Officer, nuova figura strategica che sarà in molti casi obbligatoria. Gli articoli 42 e 43 trattano la “certificazione” e gli “organismi di certificazione” intendendo quegli enti specializzati in certificazioni di prodotto (ISO17065) in grado di valutare l’organizzazione a fronte di “criteri approvati dalle autorità di controllo”; ma questi criteri non sono ancora stati comunicati. Per quanto riguarda le persone, nel GDPR non si parla di “certificazione del DPO”e per quanto riguarda le organizzazioni si dice chiaramente che “si incoraggia l’istituzione di meccanismi di certificazione” ma non si parla di obbligo o di requisito che solleva da ulteriori verifiche. Per ciò che riguarda le persone: il 30 novembre 2017 è stata pubblicata la norma UNI 11697 che ha indicato le figure professionali possibili in ambito della protezione dei dati personali. A fronte della norma UNI è ora possibile per gli OdC fare due scelte: accreditarsi presso Accredia ed emettere certificati in conformità alla UNI 11697 oppure adeguare il proprio percorso di certificazione ai requisiti della nuova norma, ma non accreditarsi, operando comunque correttamente sul mercato. A proposito del DPO il Garante ha chiarito che la normativa attuale non prevede l’obbligo per i candidati di possedere attestati formali delle competenze professionali. Per ciò che riguarda le organizzazioni: il 18/07/2017 Accredia, con il Garante, hanno chiarito che i soggetti legittimati al rilascio della certificazione sono l’Autorità di controllo competente (il Garante) oppure gli organismi di certificazione. Attualmente in Italia esiste solo uno schema di certificazione (di prodotto) accreditato da Accredia in tempi precedenti il GDPR ed è possibile per gli OdC fare riferimento a questo organismo di certificazione per proporre sul mercato un prodotto “accreditato” e quindi proponibile sul mercato alle aziende che lo dovessero richiedere>
Le fasi del processo
Credits: Ing. Domenico Tarantino
Il team
Il nostro è un team formato da professionisti esperti del settore privacy. Saranno a tua disposizione per ascoltarti e suggerirti le migliori soluzioni per la risoluzione dei tuoi problemi.
