Scadenza GDPR · Regolamento generale sulla protezione dei dati
La vostra conformità GDPR, misurata articolo per articolo e tradotta in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Scadenza GDPR · Regolamento generale sulla protezione dei dati
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Regolamento (UE) 2016/679, applicabile dal 25 maggio 2018 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Le durate di conservazione definite sono realmente applicate nei sistemi?
- N1
Nessuna durata è definita. I dati sono conservati senza limite di anzianità e nessuna cancellazione è documentata.
- N2
Le durate figurano nel registro, ma nessun meccanismo di cancellazione è in atto. La rimozione resta manuale ed eccezionale.
- N3
Le durate sono applicate sui principali trattamenti, tramite cancellazione o archiviazione automatizzata. Alcune applicazioni periferiche restano fuori perimetro.
- N4
L’applicazione delle durate è sistematica su tutti i trattamenti, con prove di esecuzione conservate e scostamenti gestiti.
- N5
Le durate sono riviste periodicamente in base agli usi e agli obblighi legali, con un monitoraggio documentato delle revisioni e un controllo interno pianificato.
Azione per passare da N2 a N3
Selezionare i trattamenti che detengono il maggior volume di dati personali, definire con i responsabili applicativi una regola di cancellazione o archiviazione eseguibile, pianificarla nei sistemi e verificarne l’esecuzione durante il comitato di compliance trimestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu GDPR.
Di cosa parla questo quadro di riferimento
Il regolamento (UE) 2016/679 è applicabile dal 25 maggio 2018. Non si limita a vietare o autorizzare: impone una dimostrazione. Il titolare del trattamento deve poter provare in ogni momento il rispetto dei principi dell’articolo 5, tenere il registro previsto dall’articolo 30, documentare la base giuridica di ogni trattamento, informare gli interessati, rispondere ai loro diritti nei termini previsti, notificare le violazioni entro 72 ore e condurre una valutazione d’impatto quando il trattamento presenta un rischio elevato. L’obbligo riguarda tanto la pratica quanto la prova di questa pratica.
È questa esigenza di prova a rendere il GDPR difficile da governare nel quotidiano. Il registro riflette i trattamenti realmente in produzione, o lo stato dei luoghi realizzato al momento del progetto di adeguamento? Le durate di conservazione sono applicate nei sistemi, o solo scritte in una colonna? Una richiesta di cancellazione indirizzata a un servizio clienti viene tracciata, qualificata e trattata entro il mese? Molte organizzazioni dispongono di una documentazione solida e di un’esecuzione disomogenea a seconda delle entità e dei settori di attività.
Due evoluzioni spostano lo sforzo. Il contenzioso sui trasferimenti fuori dall’Unione europea ha reso la mappatura dei fornitori e degli hosting molto più strutturante rispetto al 2018. E l’arrivo degli usi dell’intelligenza artificiale rimette la protezione dei dati al centro: addestramento dei modelli, dati di input, minimizzazione, informativa agli interessati. La confusione più frequente resta trattare il GDPR come un progetto concluso, mentre il regolamento descrive un dispositivo permanente che deve vivere al ritmo dei nuovi trattamenti.
La diagnosi di maturità risponde a una domanda diversa rispetto all’audit di conformità. L’audit conclude con uno scostamento o una conformità su un requisito. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione precisa che fa passare al livello superiore. Il GDPR non è oggetto di alcuna certificazione: la maturità è quindi l’unico linguaggio che permette di confrontare entità, seguire una progressione nel tempo e decidere un budget di adeguamento.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete adattarlo al vostro contesto: l’IA modifica gli ambiti, le domande e i livelli, oppure costruisce una declinazione a partire dalle vostre politiche, registri e procedure interne.
Norma di riferimento: Regolamento (UE) 2016/679, applicabile dal 25 maggio 2018
Gli ambiti valutati
Governance e ruoli
Designazione e posizionamento del DPO, mezzi assegnati, rete di referenti, articolazione con il legale e la sicurezza, reporting alla direzione.
Registro dei trattamenti
Esaustività e aggiornamento del registro, qualifica titolare o responsabile del trattamento, finalità, categorie di dati e di interessati, processo di aggiornamento.
Liceità e basi giuridiche
Base giuridica documentata per trattamento, gestione del consenso e del suo ritiro, test di bilanciamento per il legittimo interesse, trattamenti di dati sensibili.
Informativa e diritti degli interessati
Informative e politiche sulla privacy, canali di ricezione delle richieste, qualifica, tracciabilità, rispetto del termine di un mese, tasso di richieste chiuse.
Minimizzazione e durate di conservazione
Politica di conservazione per trattamento, applicazione effettiva delle cancellazioni e degli archivi nei sistemi, pseudonimizzazione, controllo dei set di dati di test.
Sicurezza dei trattamenti
Misure tecniche e organizzative dell’articolo 32, gestione delle abilitazioni, cifratura, tracciamento, test e revisioni periodiche.
Violazioni dei dati
Procedura di rilevamento e qualifica, registro delle violazioni, decisione di notifica all’autorità entro 72 ore, informativa agli interessati, lezioni apprese.
Valutazioni d’impatto e protezione fin dalla progettazione
Criteri di attivazione di una DPIA, metodo e validazione, integrazione del privacy by design nei progetti e nei comitati di architettura.
Fornitori e trasferimenti
Mappatura dei fornitori e sub-fornitori, clausole dell’articolo 28, audit, localizzazione degli hosting, disciplina dei trasferimenti fuori dall’Unione europea.
Sensibilizzazione e miglioramento continuo
Formazione dei settori esposti, controlli interni pianificati, indicatori, monitoraggio del piano d’azione e confronto nel tempo.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Il GDPR è certificabile?
No. Il regolamento prevede meccanismi di certificazione su perimetri definiti, ma non esiste un certificato di conformità globale al GDPR. Datamensio misura la maturità del vostro dispositivo e prepara i controlli, ma non rilascia alcuna attestazione.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit si pronuncia requisito per requisito e conclude con uno scostamento o una conformità. La diagnosi colloca ogni pratica su una scala di maturità e indica l’azione che fa avanzare di un livello. I due sono complementari: la diagnosi prepara e dà priorità, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in un’unica sessione di lavoro. La versione completa, in modalità collaborativa con il DPO, il legale, la sicurezza e i settori operativi, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata alla raccolta delle prove.
Si può adattare il quadro di riferimento alla nostra organizzazione?
Sì. Gli ambiti, le domande e i livelli sono modificabili, e potete aggiungere i vostri requisiti interni o settoriali. L’IA può anche generare una declinazione a partire dalle vostre politiche e dal vostro registro esistenti.
Come confrontare più filiali o business unit?
Lo stesso quadro di riferimento viene diffuso a ogni entità, il che rende i punteggi confrontabili per ambito. Il benchmark colloca ogni business unit rispetto alle altre e rispetto alla propria valutazione precedente. Una roadmap trasversale consolida poi le azioni comuni.
La diagnosi copre i nostri usi di intelligenza artificiale?
Gli ambiti liceità, minimizzazione e valutazioni d’impatto integrano i trattamenti che alimentano i modelli. Le domande possono essere arricchite per coprire un caso d’uso specifico, addestramento, dati di input o informativa agli interessati.
Serve una competenza giuridica per rispondere?
Le domande vertono sulle pratiche e sulla loro tracciabilità, non sull’interpretazione del testo. Un DPO o un responsabile compliance può rispondervi senza difficoltà. La modalità collaborativa permette di assegnare le domande tecniche al referente competente.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.