Analisi dei rischi

L'analisi dei rischi è sempre necessaria e va scritta.

L'analisi dei rischi viene svolta prima di avviare il trattamento.

Fine della analisi dei rischi è 1) verificare il trattamento e 2) valutare se è obbligatorio redigere anche una DPIA.

I criteri sono previsti per legge, ma sono molto ampi.

Seguono sintesi estratte dai Garanti Europei.

ASSISTENZA

Prenota ora senza impegno con una email quanto serve per realizzare e documentare la tua analisi dei rischi. No newsletter, solo una risposta.

CRITERI PER QUANTIFICARE IL RISCHIO

fonte: EDPS del 16.7.2019; v. anche Enisa

          
          1) nome/tipo di trattamento
        
  2) tratti dati personali sistematicamente per attribuire punti, profili, o predizioni:

      No
      
      Si
    
  3) il trattamento è alla base di una decisione automatizzata:

      No
      
      Si
    
  4) monitori sistematicamente in spazi pubblici o lo staff:

      No
      
      Si
    
  5) tratti dati sensibili a):

      No
      
      Si
    
  6) tratti dati in larga scala:

      No
      
      Si
    
  7) aggreghi dati raccolti per finalità diverse:

      No
      
      Si
    
  8) tratti dati di persone vulnerabili b):

      No
      
      Si
    
  9) usi trattamenti innovativi c):

      No
      
      Si
    
  10) escludi persone sulle base di dati personali (finanziamenti, espatrio, stato familiare:

      No
      
      Si
    
           note e recapiti eventuali per Privacykit

i dati sono inviati via email a privacykit per finalità di studio, in forma anonima.

note

a) sub 5 sono dati sensibili: etnici,politici,religioni, filosofici, sindacali, dati genetici, biometrici, salute, sessuali, criminali

b) sub 8 sono vulnerabili: bambini, poveri, disabili;

c) sub 9 sono trattamenti innovativi: machine learning, smart cars, social media screening per lavoro, accessi tramite impronte digitali

Se hai spuntato due o più scelte il trattamento è probabilmente a rischio e richiede anche DPIA; se non lo è devi argomentare più ampiamente. In ogni caso la motivazione va registrata, meglio nel registro dei trattamenti.

Link

"Oltre alla sicurezza informatica ci si deve concentrare sulla protezione di persone, processi, operazioni e risorse anche non strategiche" - Nicola Vanin - Data Governance & Information Security Manager