Audit sulla protezione dei dati — Audit di conformità KVKK e GDPR

Che cos'è un audit?

L'audit di protezione dei dati valuta la conformità dei trattamenti di dati personali alla normativa vigente (GDPR, leggi nazionali e simili). A differenza dell'audit di cybersecurity, il focus è il TRATTAMENTO LECITO più che la protezione del dato in sé.

Perché si esegue?

L'obiettivo è individuare le non conformità che generano sanzioni amministrative e rischio reputazionale e verificare che i diritti degli interessati siano tutelati.

Chi lo richiede?

Organizzazioni che trattano dati personali in modo intensivo
Aziende che operano nell'UE o forniscono servizi all'UE ai sensi del GDPR
Aziende tecnologiche che forniscono servizi in qualità di responsabile del trattamento
Fornitori i cui clienti richiedono garanzie di protezione dei dati
Organizzazioni che implementano la ISO/IEC 27701

Criteri di audit

Il criterio è la normativa sulla protezione dei dati applicabile (KVKK, GDPR) insieme a uno standard di sistema di gestione della privacy come la ISO/IEC 27701, se presente. Si aggiungono anche le normative di settore e le clausole di trattamento dati nei contratti con i clienti.

Ambito dell'audit

L'inventario dei dati personali e la registrazione delle attività di trattamento
La base giuridica delle attività di trattamento
Informative sulla privacy e gestione del consenso
I processi di esercizio dei diritti dell'interessato e i tempi di risposta
Minimizzazione dei dati e periodi di conservazione
La policy di distruzione e i registri effettivi di distruzione
Gli accordi di trattamento dei dati e la gestione dei sub-responsabili
I trasferimenti transfrontalieri di dati e la loro base giuridica
I trattamenti che richiedono una valutazione d'impatto sulla protezione dei dati (DPIA)
L'adeguatezza delle misure tecniche e organizzative
I processi di rilevamento, notifica e registrazione delle violazioni di dati
La consapevolezza dei dipendenti e gli impegni di riservatezza
La nomina di una persona di contatto o di un responsabile della protezione dei dati

Norme correlate

ISO/IEC27701
ISO/IEC27001
ISO/IEC 29134
ISO 19011

Processo di audit

1Scelta dei criteri da applicareSi stabilisce la norma, lo schema o la normativa di riferimento; negli audit tematici la scelta del criterio determina direttamente il significato dell'esito.
2Valutazione del rischio e ambitoLe aree di rischio sono individuate in base ad attività e ubicazione dell'organizzazione; i giorni di audit sono pianificati di conseguenza.
3Esame di documenti e registrazioniSi esaminano politiche, procedure, autorizzazioni, registrazioni di misura ed esiti di audit precedenti.
4Audit in sitoSi percorrono le aree interessate; si effettuano misure, osservazioni e controlli documentali specifici del tema.
5Colloqui con i lavoratoriSe il tema lo richiede, si tengono colloqui riservati con i lavoratori indipendentemente dalla direzione; le dichiarazioni sono confrontate con le registrazioni.
6Valutazione della conformità legislativaLa conformità alla normativa vigente è verificata a parte; una non conformità legale è, in ogni schema, la categoria di rilievo più grave.
7Rendicontazione dei rilieviI rilievi sono classificati per gravità e raccolti in un rapporto.
8Azioni correttive e follow-upSi acquisisce un piano di azioni correttive; se ne segue la chiusura entro i tempi previsti dallo schema.

Rilievi

Le risultanze più gravi sono il trattamento senza base giuridica, la mancata distruzione di dati scaduti e l'assenza di un processo di notifica delle violazioni. Questi comportano un rischio diretto di sanzione amministrativa.

Rapporto di audit

Dati dell'organismo, dell'auditor e dell'auditato
Norma, schema o normativa applicati
Data, durata e ambito dell'audit
Rilievi dall'esame di documenti e registrazioni
Osservazioni in sito e risultati di misura
Rilievi dai colloqui con i lavoratori, se effettuati
Valutazione della conformità legislativa
Rilievi, relativa gravità ed evidenze
Piano di azioni correttive e tempistiche

Limiti del risultato

Un audit sulla protezione dei dati è una valutazione tecnica e procedurale; non è un parere legale. L'interpretazione della normativa e una valutazione vincolante sulla liceità di un trattamento spettano all'autorità di controllo competente. Il rapporto di audit non è un certificato di conformità né un documento che offra protezione dinanzi all'autorità.

Accreditamento

L'accreditamento varia con il tipo di audit. Gli audit di terza parte a supporto della certificazione di sistemi di gestione si svolgono secondo ISO/IEC 17021-1 e quelli a supporto della certificazione di prodotto secondo ISO/IEC 17065; tali ambiti sono soggetti ad accreditamento. Gli audit di prima e seconda parte e quelli regolati dalle regole proprie del proprietario di uno schema (SMETA, amfori BSCI) non rientrano nella certificazione accreditata; seguono la guida ISO 19011 e producono un rapporto. EUROLAB dispone di accreditamenti riconosciuti a livello internazionale secondo ISO/IEC 17021-1 e ISO/IEC 17065, rilasciati da enti firmatari dell'accordo IAF; quali audit possano essere offerti in ambito accreditato è confermato per iscritto in fase di offerta.

Ambito e abilitazioni

Audit correlati

Domande frequenti

Il superamento dell'audit dimostra che sono conforme alla KVKK?

No. La conformità è soggetta alla valutazione dell'autorità competente. L'audit fornisce una garanzia interna che i processi necessari per la conformità siano stati istituiti e funzionino; può essere considerato un indicatore di buona fede e diligenza in un'eventuale indagine.

Ho bisogno di un audit sulla protezione dei dati se possiedo già la ISO/IEC 27001?

Potrebbe essere necessario. La ISO/IEC 27001 si concentra sulla sicurezza delle informazioni; non verifica se i dati siano trattati lecitamente. Le informative sulla privacy, il consenso, i periodi di conservazione e i diritti dell'interessato non rientrano nell'ambito della 27001. Per il lato privacy, la ISO/IEC 27701 è un framework più diretto.

Ottengo un certificato in seguito a questo audit?

Dipende dal quadro in cui viene condotto l'audit. Se viene condotto nell'ambito di uno schema di certificazione accreditato, può portare a un certificato; l'output di un audit effettuato su richiesta del cliente o per una valutazione interna è un rapporto.

Viene verificata anche la conformità legale?

Sì, e in ogni audit tematico, la non conformità legale è la categoria di risultanza più grave. Per quanto ben strutturato sia il sistema di gestione, una violazione della normativa vigente, se rilevata, viene segnalata come massima priorità.