“Quando in AgID ci siamo trovati per la prima volta alle prese con la redazione della Procedura strutturata di gestione delle violazioni di informazioni e dati personali – e anche successivamente, al momento dell’aggiornamento e della verifica di sostenibilità di tale documento – abbiamo dovuto riflettere paradossalmente non sulla specifica procedura, almeno non solo e non prioritariamente”. Lo ha detto l’avvocato Raffaella Vai, DPO dell’Agenzia per l’Italia Digitale, partecipando al Forum Nazionale dei Data Protection Officer e Responsabili della Conservazione, promosso da ANORC e che ha visto al centro il tema della violazione e della tutela dei dati personali.
Una sessione mattutina, moderata dal presidente di ANORC Professioni l’avvocato Andrea Lisi, in cui gli esperti intervenuti hanno parlato di esperienze concrete nel campo delle prevenzione e della gestione del data breach e una sessione pomeridiana, moderata dalla vicepresidente di ANORC Professioni l’avvocato Sarah Ungaro e dal Segretario generale di ANORC l’avvocato Luigi Foglia, che è stata invece di confronto fra Responsabili della Conservazione, Data protection officer, Responsabili della gestione documentale e Responsabili della Transizione Digitale.
“Risulta inevitabile – ha aggiunto l’avvocato Raffaella Vai – riflettere non tanto sullo specifico obiettivo di redazione o verifica della procedura di gestione del data breach ma proprio sulla necessità di immergere e collegare le attività di prevenzione, di gestione e di ripristino degli incidenti a quello che è il primario processo di adeguamento continuo dell’effettiva sicurezza delle informazioni processate dal proprio ente di riferimento. Un onere preliminare è quello del rispetto teorico ed effettivo sia degli standard internazionali sia della normativa unionale e nazionale di settore. Espletata questa prima fase preliminare, bisogna fare i conti con le specificità dell’ente in cui si opera. Solo allora ci si trova a riflettere sulla migliore predisposizione di adeguate e specifiche misure di sicurezza, sia organizzative sia tecniche, da stabilire con riferimento alla specifica struttura e alle attività dell’ente di riferimento. Tre sono i principali obiettivi: prevenire e fronteggiare le diverse e possibili minacce (misure di prevenzione); rilevare le minacce che si sono concretizzate (misure di rilevazione); ripristinare la sicurezza (misure di ripristino)”.
“In questo ambito – ha detto ancora la Dpo dell’Agenzia per l’Italia Digitale – sono di fondamentale importanza le valutazioni effettuate di concerto con altri ruoli di primario riferimento per la sicurezza dell’ente. Certamente penso al vertice gerarchico, che è il rappresentate legale del soggetto giuridico titolare del trattamento, ma fondamentalmente mi riferisco a diversi altri ruoli fondamentali, fra cui il Responsabile della transizione digitale, figura prevista all’articolo 17 del Codice dell’amministrazione digitale, oggi sempre più centrale nelle logiche di trasformazione digitale del Paese; penso al Responsabile della sicurezza, al Responsabile della gestione dei sistemi informativi, al Responsabile della conservazione, penso al personale incaricato quale amministratore di sistema e, all’esterno dell’ente, ai fornitori che trattano dati personali per conto dell’ente titolare e che a tal fine sono nominati responsabili del trattamento”.
Tra i partecipanti al confronto, anche Mario Valentini, DPO del Mipaaf: “Il Ministero delle Politiche agricole è un’amministrazione centrale e, come tale, presenta alcune peculiarità organizzative che sono poi riflesse nella gestione della tutela dei dati personali- ha spiegato- La complessità dell’Ente ha richiesto l’emanazione di un decreto ministeriale specifico in tema di organizzazione e protezione dei dati, che ha anche dei riflessi sulle procedure di gestione del data breach. In particolare, il decreto – che ha avuto una lunga gestazione proprio per dare un documento che fosse concretamente calato nella realtà organizzativa del Ministero – prevede un articolato di diverse funzioni che riguardano anche la gestione del data breach. Nel dettaglio, contiene un articolo specifico sull’esercizio delle funzioni di titolare del trattamento, venendo a coincidere con il Ministero delle Politiche agricole. Il ruolo del Responsabile della protezione dei dati – ha quindi concluso Valentini – è stato sin dall’inizio un ruolo di collegamento tra le attività di ciascuna delle 15 funzioni in cui il Ministero è articolato e che si trovano a dover gestire le problematiche in tema di trattamento dei dati personali, inclusa la possibilità di incorrere in Data Breach”.
Il Forum è stato patrocinato da: GPDP – Garante per la Protezione dei Dati Personali, AgID, ANDIP, ClubTI, Clusit, CNA, CNA Professioni, Galileo, Istituto Italiano Privacy, PROCEDAMUS, Privacy Italia, PROTECH, SIT, SOS Archivi, THEMIS.
Le registrazioni delle due sessioni sono disponibili gratuitamente per tutti gli iscritti alla piattaforma DIGEAT ai seguenti link:
