Cosa significa "misure adeguate", per una PMI
Non esiste una lista uguale per tutti: le misure si scelgono in base ai rischi. Ma per la maggior parte delle PMI le basi sono queste: accessi personali e non condivisi, accesso da remoto protetto, postazioni aggiornate e protette, backup verificati con una copia fuori sede, e qualcuno che controlla tutto con regolarità.
"Ripristinare tempestivamente": il punto che quasi tutti trascurano
La norma non chiede solo di avere un backup, chiede di poter ripristinare i dati in tempo. Un backup mai provato non dimostra niente. Per questo, nei sistemi che gestiamo, i test di ripristino sono periodici e documentati.
Se succede una violazione
Contenere
Isolare i sistemi coinvolti senza distruggere le tracce.
Capire
Quali dati, quante persone, che rischio.
Notificare
Al Garante entro 72 ore, quando necessario, e documentare tutto, anche le violazioni che non si notificano.
Rimediare
Chiudere la causa e rafforzare le misure.
Le informative proteggono te dal Garante. Le misure tecniche proteggono i dati. Servono entrambe.
Domande frequenti
Sono una piccola azienda, il GDPR vale anche per me? +
Sì: si applica a chiunque tratti dati personali, con obblighi proporzionati ai rischi.
Il mio fornitore IT deve firmare qualcosa? +
Se tratta dati personali per tuo conto, sì: un accordo ai sensi dell'articolo 28.
Chi decide quali misure sono "adeguate"? +
Il titolare, in base a una valutazione dei rischi. Conviene che sia scritta.
Fonti ufficiali
Questa guida ha scopo informativo e non costituisce consulenza legale.
Le misure tecniche sono il nostro lavoro: le progettiamo, le gestiamo e le documentiamo. Informative, registri e adempimenti legali spettano a un legale o a un consulente privacy: ci coordiniamo con il tuo sulla parte tecnica. Ognuno fa il suo mestiere, e i due lavori si parlano.