Il processo di Audit Privacy
Il processo di audit sulla privacy si configura come strumento di controlli interno volto a verificare la conformità del trattamento dei dati personali effettuati dalle aziende alla normativa vigente, in particolare al Regolamento (UE) 2016/679 (GDPR) e alla disciplina nazionale di attuazione.
La normativa privacy non prevede che si debbano svolgere delle verifiche specifiche; solo al DPO viene formalizzato di svolgere attività di sorveglianza dell’osservanza della normativa privacy da parte del titolare e responsabile del trattamento.
La normativa privacy non prescrive neppure regole specifiche per le modalità di esecuzione di tali verifiche, rimesse totalmente al titolare o al responsabile.
Le verifiche devono essere eseguite perché in primo luogo sono uno strumento di accountability, perché il titolare dev’essere in grado di dimostrare che il trattamento è stato effettuato in conformità del Regolamento; per individuare punti deboli e quindi evitare sanzioni; per evitare data breach e quindi i costi derivanti dall’interruzione della produzione.
Se non risultano le evidenze del rispetto del principio di accountability siamo di fronte alla prima mancanza di conformità che dovrà essere rilevata nel corso della verifica. Le verifiche potranno essere svolte sia dal personale interno sia da quello esterno purché abbia le competenze necessarie sul piano tecnico e giuridico, purché non sia in conflitto di interessi e non dipenda gerarchicamente dal titolare e venga supportato dal titolare nelle attività.
Caratteristiche base dell’audit
Gli audit sono tipologie specifiche di controlli, regolamentate da vari modelli. L’audit garantisce ad ogni organizzazione di mantenere le proprie attività conformi agli standard previsti, allineare i comportamenti di tutte le persone e attività a tutti gli standard definiti, un miglioramento continuo, con eliminazione di sprechi di tempo e risorse.
Come condurre un audit
Le norme tecniche hanno lo scopo di armonizzare e standardizzare i processi e definiscono le caratteristiche di un prodotto, processo o servizio secondo il risultato dell’arte e sono il risultato del lavoro di decine di migliaia di esperti, ci spiegano come eseguire le attività garantendo la sicurezza, rispetto per l’ambiente e prestazioni certe. Rappresentano specifiche tecniche adottate da un organismo di normazione riconosciuto che non hanno carattere di obbligatorietà; possono essere internazionali (ISO, europea (EN), nazionale (Unitalia).
Principi dell’audit
1. Integrità: l’auditor che gestisce un programma di audit dovrebbe:
- Gestire il proprio lavoro in modo etico;
- Intraprendere attività di audit solo se competenti;
- Eseguire il proprio lavoro in modo imparziale ossia con equità e senza pregiudizi nelle relazioni;
- Tenere conto su eventuali esigenze che possono essere esercitate sul loro giudizio;
1. Presentazione imparziale
- Obbligo di riferire in modo veritiero e accurato mediante comunicazioni obbiettive, tempestive, chiare e complete.
- Professionalità, riservatezza, indipendenza e approccio basato sull’evidenza. A tali principi viene aggiunto l’approccio basato sul rischio.
I soggetti coinvolti nell’audit
- La Direzione dell’Organizzazione oggetto di audit;
- Il responsabile del programma, solitamente il referente privacy;
- Auditor o il team di audit (responsabile del team, esperto tecnico)
Le fasi di svolgimento dell’audit:
1. Plan: sulla base degli obiettivi dell’audit, valutate le priorità sul rischio, si definisce il programma;
2. Do: ossia attuare il programma;
3. Check: monitorare il programma;
4. Act: miglioramento continuo.
Il processo di audit sulla privacy non si limita ad una funzione meramente ricognitiva, ma assume valenza giuridica sostanziale quale presidio di legalità, strumento di gestione del rischio e mezzo di prova della conformità normativa. La sua implementazione sistematica si pone, pertanto, come elemento imprescindibile nell’ambito dei modelli organizzativi aziendali orientati al rispetto della disciplina in materia di protezione dei dati personali.
