Maturità ISO 27701 · Protezione della vita privata ed estensione del GDPR ai sistemi di gestione della riservatezza
La vostra gestione della vita privata misurata su ISO 27701, tradotta in piano d’azione quantificato.
13 ambiti, 144 domande, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 13 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 27701 · Protezione della vita privata ed estensione del GDPR ai sistemi di gestione della riservatezza
13 ambiti, 144 domande, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO/IEC 27701:2019 (revisione ISO/IEC 27701:2025) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 13 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in traiettoria.
Le richieste di esercizio dei diritti degli interessati sono trattate secondo un processo definito e tracciato?
- N1
Nessun processo identificato. Le richieste arrivano tramite canali vari e sono trattate dalla persona che le riceve, senza traccia conservata.
- N2
Esiste un punto di ingresso e una procedura scritta, ma la sua applicazione dipende dai team e i tempi di risposta non sono misurati.
- N3
Il processo è diffuso e applicato: ricezione centralizzata, autenticazione del richiedente, risposta entro il termine regolamentare, tracciabilità di ogni richiesta.
- N4
Le richieste sono monitorate tramite indicatori (volume, tipo, tempo di risposta, tasso fuori termine), rivisti periodicamente, e i trattamenti interessati sono identificati a ogni richiesta.
- N5
Gli scarti e i motivi ricorrenti alimentano correttivi sui trattamenti stessi, con un monitoraggio documentato delle revisioni del processo.
Azione per passare da N2 a N3
Centralizzare la ricezione delle richieste su un canale unico, aprire un registro di monitoraggio con data di ricezione, data di scadenza e data di risposta, e inserire la revisione delle richieste in corso nel comitato mensile della filiera dati personali.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 27701.
Di cosa parla questo quadro di riferimento
ISO 27701 è l’estensione di ISO 27001 e ISO 27002 alla protezione della vita privata. Descrive un PIMS, sistema di gestione delle informazioni private, e aggiunge due gruppi di misure distinti: uno per il titolare del trattamento, l’altro per il responsabile del trattamento. Riprende i principi di ISO 29100: consenso, minimizzazione, limitazione delle finalità, esattezza, trasparenza, partecipazione dell’interessato. Non si audita da sola: si certifica come estensione di una certificazione ISO 27001, su un perimetro definito.
È un quadro di riferimento impegnativo da gestire, perché riguarda pratiche distribuite tra il legale, la sicurezza, il business e gli acquisti. Il registro dei trattamenti riflette l’attività reale, o l’attività dichiarata tre anni fa? Le valutazioni d’impatto sono innescate da un criterio scritto, o dall’intuito del responsabile della protezione dei dati? Le richieste di esercizio dei diritti sono tracciate dall’inizio alla fine, con un tempo di risposta misurato? Le clausole di subappalto sono verificate dopo la firma, o archiviate?
Un equivoco ricorre spesso: ISO 27701 non è una certificazione GDPR. Non attesta la conformità al regolamento. Certifica che un sistema di gestione della vita privata è in atto e funziona. La corrispondenza pubblicata tra le misure della norma e gli articoli del GDPR resta indicativa, e il perimetro certificato può essere più ristretto del perimetro di trattamento dell’organizzazione. La revisione della norma, che la scinde da ISO 27001 per farne un testo autonomo di requisiti, rafforza questa necessità di chiarezza su ciò che è realmente coperto.
La diagnosi di maturità pone una domanda diversa da quella dell’audit di conformità. L’audit conclude con conforme o non conforme, su un requisito dato, a una data data. La diagnosi colloca ogni pratica su una scala progressiva, ambito per ambito, e indica l’azione che consente di passare al livello successivo. Il risultato non è un parere, è una traiettoria quantificata, comparabile tra business unit e nel tempo.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete anche adattarlo: l’IA regola gli ambiti, le domande e i livelli in base al vostro settore e al vostro ruolo, titolare o responsabile del trattamento, oppure costruisce una variante a partire dalla vostra politica di protezione dei dati, dal vostro registro e dalle vostre procedure esistenti.
Norma di riferimento: ISO/IEC 27701:2019 (revisione ISO/IEC 27701:2025)
Gli ambiti valutati
Governance del PIMS
Politica di protezione della vita privata, nomina e posizionamento del DPO, ruoli e responsabilità, risorse allocate, articolazione con l’SGSI esistente.
Perimetro e ruoli di trattamento
Determinazione del ruolo di titolare, contitolare o responsabile del trattamento, perimetro del sistema, contesto e parti interessate, dichiarazione di applicabilità estesa.
Registro e mappatura dei trattamenti
Esaustività del registro, finalità, basi giuridiche, categorie di dati e interessati, tempi di conservazione, frequenza di aggiornamento.
Valutazioni d’impatto e privacy by design
Criteri di innesco di una DPIA, metodo di analisi, integrazione dei requisiti nei progetti e negli acquisti, minimizzazione e pseudonimizzazione fin dalla progettazione.
Consenso e informativa agli interessati
Raccolta e prova del consenso, revoca, informative, trasparenza su finalità e destinatari, casi dei minori e dei dati sensibili.
Diritti degli interessati
Processo di ricezione e autenticazione delle richieste, accesso, rettifica, cancellazione, portabilità, opposizione, tracciabilità e monitoraggio dei tempi di risposta.
Subappalto e catena di trattamento
Selezione e valutazione dei responsabili del trattamento, contratti e istruzioni documentate, subappalto ulteriore, audit e prove ottenute, reversibilità.
Trasferimenti fuori Unione Europea
Identificazione dei flussi, meccanismi di trasferimento adottati, valutazioni d’impatto dei trasferimenti, localizzazione effettiva dei dati e degli accessi remoti.
Sicurezza dei dati personali
Misure tecniche e organizzative associate ai trattamenti, gestione degli accessi, cifratura, log, segregazione degli ambienti.
Violazioni di dati e incidenti
Rilevamento e qualificazione, procedura di notifica all’autorità e agli interessati, tempi, registro delle violazioni, lezioni apprese.
Conservazione, archiviazione e cancellazione
Applicazione effettiva dei tempi, purghe automatizzate, archiviazione intermedia, cancellazione presso i responsabili del trattamento, prove di distruzione.
Sensibilizzazione e cultura
Formazione dei team esposti, integrazione nei percorsi di onboarding, comunicazione interna, appropriazione da parte del business e non solo della filiera legale.
Monitoraggio, audit e miglioramento
Indicatori di gestione, audit interni del PIMS, riesame della direzione, trattamento delle non conformità, confronto nel tempo.
È disponibile una versione breve del quadro di riferimento, con 40 domande, per l’autovalutazione online. La versione completa comprende 13 ambiti e 144 domande.
Domande frequenti
ISO 27701 vale come certificazione GDPR?
No. La norma attesta che un sistema di gestione delle informazioni private è in atto e funziona su un perimetro definito. Non attesta la conformità al regolamento, che spetta alle autorità di controllo. Datamensio misura la vostra maturità e prepara la scadenza, senza sostituirsi all’ente certificatore.
Bisogna essere certificati ISO 27001 in anticipo?
Nella versione 2019, l’estensione ISO 27701 si basa su una certificazione ISO 27001 esistente o condotta simultaneamente. La revisione della norma fa evolvere questo punto verso un testo di requisiti autonomo. La diagnosi copre entrambi i casi e segnala le misure che si basano sul sistema di gestione della sicurezza.
Quale differenza tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza di requisiti e conclude con uno scarto o una conformità. La diagnosi colloca ogni pratica su una scala di maturità e indica l’azione che consente di passare al livello successivo. I due sono complementari: la diagnosi prepara, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20-30 minuti. La versione completa, in modalità collaborativa, coinvolge il DPO, la sicurezza, il legale e gli acquisti: la maggior parte del tempo è dedicata alla raccolta presso questi contributori. Ogni domanda può essere assegnata alla persona giusta.
Si può adattare il quadro di riferimento al nostro ruolo e al nostro settore?
Sì. Le domande, i livelli e gli ambiti sono modificabili, e potete isolare le misure proprie del titolare o del responsabile del trattamento. L’IA genera una variante a partire dai vostri documenti: politica, registro, procedure. Il controllo del quadro di riferimento resta vostro.
Come confrontare più entità del gruppo?
Lo stesso quadro di riferimento viene diffuso a ogni business unit, con un punteggio per ambito e un obiettivo comune. Il benchmark confronta le entità tra loro e ciascuna con le proprie valutazioni precedenti. Una roadmap trasversale consolida i piani d’azione senza duplicare i cantieri comuni.
Come viene quantificato il piano d’azione?
Lo scarto tra il punteggio e l’obiettivo genera le azioni. L’IA le raggruppa in una roadmap prioritizzata, e il catalogo di prestazioni apre una soluzione di fronte a ogni elemento, con costo, tempi e impatto atteso sul punteggio. Voi decidete su elementi comparabili.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.