Descrizione generale delle misure tecniche e organizzative ai sensi dell’art. 32 co. 1 del RGPD
Titolare del trattamento: Segretaria 24 SRL, Via Monte Napoleone 8, 20121 Milano
Aggiornamento: 17.01.2020
1. Controllo agli ingressi
Obbligo dell’incaricato del trattamento di impedire l’accesso a persone non autorizzate agli impianti di trattamento dei dati con cui vengono trattati i dati contrattuali (controllo agli ingressi).
Implementazione tramite: impianto di allarme, incarico di un servizio di sicurezza esterno, sistema di chiusura transponder, videosorveglianza degli ingressi, citofoni agli ingressi, sensori di movimento, selezione attenta del personale delle pulizie e di sorveglianza, politica sostanzialmente "No-Visitors", utilizzo di tesserini per visitatori per le eccezioni
2. Controllo dell’accesso
Obbligo dell’incaricato del trattamento di impedire che i sistemi di trattamento dei dati possano essere utilizzati da persone non autorizzate (controllo dell’accesso), in particolare tramite l’impiego di procedure di cifratura conformi alle tecnologie più avanzate.
Implementazione tramite: password sicure (da creare secondo regole definite) per gli account utente; meccanismi di blocco automatico; autentificazione a due fattori; cifratura di banche dati e supporti , connessioni VPN o TLS con l’inserimento di nome utente e password
3. Controllo delle autorizzazioni
Obbligo dell’incaricato del trattamento di assicurarsi, in particolare tramite l’impiego di procedure di autentificazione e di cifratura conformi alle tecnologie più avanzate, che le persone autorizzate all’utilizzo di un sistema di trattamento dei dati possano accedere esclusivamente ai dati contrattuali per il trattamento dei quali dispongono di autorizzazione, che li trattino esclusivamente dietro istruzione dell’incaricato del trattamento e che durante il trattamento i dati contrattuali non possano essere letti, copiati, modificati o rimossi in modo non autorizzato (controllo delle autorizzazioni).
Implementazione tramite: pianificazione delle autorizzazioni e concessione delle autorizzazioni in base all’effettiva esigenza; registrazione degli accessi; procedure di autentificazione e cifratura; password sicure; meccanismi di blocco automatico
4. Controllo della trasmissione
Obbligo dell’incaricato del trattamento di assicurarsi, in particolare tramite l’impiego di procedure di autentificazione e di cifratura conformi alle tecnologie più avanzate, che durante il trasferimento elettronico o durante il trasporto i dati contrattuali non possano essere letti, copiati, modificati o rimossi in modo non autorizzato e che sia possibile verificare e determinare per quali destinatari è prevista la trasmissione dei dati contrattuali attraverso strutture per il trasferimento di dati (controllo della trasmissione).
Implementazione tramite: cifratura; Virtual Private Networks (VPN); firma elettronica
5. Controllo dell’inserimento
Obbligo dell’incaricato del trattamento di assicurarsi che sia possibile verificare e determinare a posteriori se e da chi i dati contrattuali sono stati inseriti, modificati, trasmessi o rimossi nei sistemi di trattamento dei dati (controllo dell’inserimento) e che sia possibile associare i dati contrattuali alla loro origine in qualsiasi momento (controllo dell’autenticità).
Implementazione tramite: registrazione; gestione dei documenti; documentazione di entrata e uscita
6. Controllo della disponibilità
Obbligo dell’incaricato del trattamento di assicurarsi che i dati contrattuali siano protetti contro distruzione e perdita accidentale o intenzionale (controllo della disponibilità). In particolare, questo vuol dire garantire la resistenza dei sistemi e dei servizi, custodire i dati contrattuali secondo i principi di una buona prassi di archiviazione dei dati e archiviare i dati regolarmente, compresa l’esecuzione di backup periodici, nella misura necessaria.
Implementazione tramite: protezione da scrittura/controllo versione; strategia di backup, gruppi di continuità (UPS); antivirus; firewall; manutenzione dei sistemi/stress test; aggiornamenti; procedure di notifica e piani di emergenza
7. Controllo della separazione
Obbligo dell’incaricato del trattamento di assicurarsi che i dati contrattuali raccolti per scopi differenti vengano trattati separatamente (controllo della separazione).
Implementazione tramite: autorizzazioni di accesso separate
8. Controllo dell’implementazione
Obbligo dell’incaricato del trattamento di assicurarsi che i principi sulla protezione dei dati vengano implementati in modo efficace e che durante il trattamento vengano adottate le misure necessarie per soddisfare i requisiti di legge sulla sicurezza dei dati e per proteggere i diritti degli interessati.
Implementazione tramite: istruzione e formazione dei collaboratori; controlli/campionature
9. Controllo dell’efficacia
Obbligo dell’incaricato del trattamento di implementare una procedura per il controllo, l’analisi e la valutazione periodica dell’efficacia delle misure tecniche e organizzative, per garantire la sicurezza del trattamento.
Implementazione tramite: documentazione completa, aggiornata e trasparente delle procedure di trattamento dei dati; gestione della protezione dei dati; gestione degli incidenti; stress test/campionature/attacchi simulati "dall'esterno"; adeguamento allo stato attuale della tecnica (aggiornamenti, formazioni)
10. Controllo dell’incarico
Obbligo dell’incaricato del trattamento di assicurarsi che i dati personali vengano trattati esclusivamente nel rispetto delle istruzioni del committente e che le istruzioni ricevute vengano messe in atto immediatamente.
Implementazione tramite: formulazione chiara dei contratti; formazione dei collaboratori; gestione formalizzata dell’incarico; attenta selezione dei fornitori; obbligo di convincimento preliminare; controlli successivi