Nell’ambito del generale principio di accountability introdotto dall’art. 22 del GDPR, si prevede espressamente che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare che il trattamento dei dati personali è effettuato conformemente al Regolamento.
Particolarmente significativo a tal proposito è l’art. 32 del Regolamento, rubricato “sicurezza del trattamento”, che letteralmente prescrive: tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati persona li in caso di incidente fisico o tecnico;
d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Innovativo è il forte richiamo del Regolamento allo strategico concetto di resilienza che costituisce la nuova grande missione da promuovere nell’ambito della compliance.
L’evoluzione tecnologica ed i sempre più frequenti attacchi cibernetici mirati alla violazione dei sistemi informativi pubblici e privati evidenziano la crescente necessità di dotarsi di strumenti di mitigazione del rischio di compromissione dell’integrità, disponibilità e riservatezza dei dati.
In questa logica si innesta la diffusione della cultura della Business Resilience intesa quale continuità operativa protesa a fronteggiare le probabili avversità a sistemi e processi conseguenti ad eventi accidentali e/o intenzionali.
Sicurezza del trattamento è anche Business Continuity.
Per Business Continuity (BC) si intende la capacità di mantenere funzionanti i propri processi di business, i servizi, i sistemi ed anche il capitale umano, malgrado il manifestarsi di situazioni naturali o intenzionali umane avverse, pur ammettendo performances differenti rispetto la normale operatività.
La gestione della continuità operativa, è dunque un processo strategico che ha l’obiettivo di:
– garantire la “sopravvivenza” di tutte le funzioni primarie dei processi aziendali ed organizzativi;
– identificare le vulnerabilità di processi e sistemi potenzialmente in grado di compromettere la continuità del business aziendale;
– mitigare i rischi correlati alla continuità operativa aziendale, gestendone gli impatti dannosi a più livelli.
Ciò passa attraverso un processo di gestione della Continuità Operativa BCM (Business Continuity Management) che comprende:
– la valutazione degli impatti sul business – BIA (Business Impact Analysis) ovvero la mappatura dei processi aziendali, al fine di identificarne criticità e impatto sul business, la tempistica di ripristino (RTO) oltre che le risorse necessarie affinché il processo possa essere ripristinato ai livelli di normale funzionamento;
– il piano di continuità operativa – BCP (Business Continuity Plan) ovvero il complesso di procedure formalizzate che guidano le organizzazioni nel rispondere, recuperare, riprendere e ripristinare a un livello predefinito almeno le funzioni organizzative critiche, a seguito di un’interruzione.
– il piano di recupero da situazioni di disastro – DRP (Disaster Recovery Plan), ovvero il processo documentato per recuperare una infrastruttura IT in caso di disastro (naturale o intenzionale umano);
E’ fuor di dubbio che in tale contesto, disporre di un BCP agevola l’adeguamento al Regolamento nel pieno ossequio del generale principio dell’accountability del Titolare del trattamento che ben potrà far leva sulle practices di Business Continuity, con particolare riferimento alle procedure di incident management nelle ipotesi di data breach disciplinate dall’art. 33 del Regolamento.