Preheader: Quando qualcuno fa assistenza sul server potrebbe entrare nel cuore informativo dello Studio.
Il gestionale non parte. Chi chiami? Il tecnico informatico.
Si collega da remoto. Inserisce le sue credenziali. Apre il server. Controlla cartelle, database, backup e configurazioni.
Problema risolto. Ma fermiamoci un momento.
A quali dati potrebbe avere accesso durante quell’intervento? Probabilmente a molti.
E allora nasce una seconda domanda: dal punto di vista privacy, che ruolo ha quel fornitore?
Non basta chiamarlo “tecnico”
Nel GDPR i ruoli non dipendono semplicemente dal nome scritto sul contratto. Dipendono dalle attività effettivamente svolte.
Il Comitato europeo per la protezione dei dati ricorda che i concetti di titolare e responsabile sono concetti funzionali: occorre guardare concretamente a chi decide finalità e mezzi e a chi tratta dati per conto di un altro soggetto.
Quando un fornitore tratta dati personali per conto dello Studio, l’articolo 28 del GDPR richiede specifiche garanzie e una disciplina contrattuale adeguata.
“Ma il tecnico è una persona di fiducia”
Perfetto. La fiducia è importante. Ma non sostituisce l’organizzazione.
Prova a chiederti:
• esiste un contratto aggiornato?
• il ruolo privacy del fornitore è stato valutato?
• sono disciplinati gli accessi da remoto?
• vengono utilizzate credenziali personali?
• è possibile ricostruire quando è avvenuto un accesso?
• il tecnico utilizza altri fornitori?
• cosa succede se si verifica un incidente?
• cosa accade ai dati quando termina il rapporto?
Sono domande molto più utili della semplice: “Abbiamo la nomina firmata?”
Il censimento dei fornitori
Fai un elenco di chi può potenzialmente entrare nei sistemi dello Studio: software house, tecnico informatico, gestore cloud, fornitore del backup, assistenza del gestionale, provider email, servizio di conservazione.
Potresti scoprire che una parte significativa della sicurezza dei dati dei tuoi clienti dipende da organizzazioni esterne.
Vuoi controllare gratuitamente anche i tuoi fornitori?
Nel nostro check gratuito dello Studio possiamo verificare insieme i principali fornitori che intervengono sui dati e capire se la documentazione e l’organizzazione sono coerenti con i servizi effettivamente utilizzati.
Fonti e approfondimenti
Regolamento (UE) 2016/679 – art. 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it
Garante Privacy – Responsabile del trattamento: https://www.garanteprivacy.it/responsabile-del-trattamento
EDPB – Guidelines 07/2020 sui concetti di titolare e responsabile: https://www.edpb.europa.eu/documents/guideline/guidelines-072020-on-the-concepts-of-controller-and-processor-in-the-gdpr_en