Consulenza GDPR
Metti in piedi quello che manca: registro dei trattamenti, misure di sicurezza, DPIA, nomine dei responsabili, procedura per le violazioni dei dati.
Home / Compliance / Consulenza e audit GDPR
Compliance
Consulenza e audit GDPR
Il GDPR chiede di mettere in atto misure adeguate e di saperlo dimostrare. Ti affianchiamo su registro, sicurezza, DPIA e violazioni dei dati, e verifichiamo che i documenti dicano la verità dei sistemi.
Due servizi, un perimetro
Consulenza GDPR o audit GDPR:
quale ti serve?
La consulenza costruisce, l'audit verifica.
Si possono fare insieme o separati. Un audit non è una certificazione: è una verifica con un report dei divari.
Audit GDPR
Verifichi quello che c'è: confrontiamo registro, policy e misure dichiarate con ciò che i sistemi fanno davvero, e ti consegniamo i divari in ordine di priorità.
Consulenza
Su cosa ti affianca la consulenza GDPR
di Digital Adrenalin?
Sei attività, dal registro alla violazione dei dati.
Ogni misura documentata corrisponde a un sistema reale: chi scrive il documento conosce l'infrastruttura su cui i dati vivono.
Registro dei trattamenti
Mappiamo i trattamenti e teniamo il registro previsto dall'art. 30: finalità, categorie di dati e di interessati, destinatari, tempi di cancellazione.
Art. 30Misure di sicurezza
Cifratura, backup, controllo degli accessi, ripristino dei dati: misure adeguate al rischio, applicate dove i dati risiedono.
Art. 32DPIA
Valutiamo l'impatto dei trattamenti a rischio elevato prima di avviarli, per esempio su larga scala di categorie particolari di dati.
Art. 35Responsabili e fornitori
Nomine e contratti con chi tratta dati per tuo conto, e verifica di ciò che fa davvero.
Art. 28Violazioni dei dati
Procedura per riconoscere, valutare e notificare al Garante entro 72 ore, quando la notifica è richiesta.
Art. 33DPO
Valutiamo se la nomina è obbligatoria e, se serve, mettiamo a disposizione il DPO.
Art. 37Audit
Cosa verifichiamo con l'audit GDPR
di Digital Adrenalin?
Sei verifiche, dalla documentazione ai sistemi.
L'audit incrocia tre fonti: i documenti, le persone che trattano i dati e i sistemi su cui i dati risiedono.
Registro e documentazione
Il registro dei trattamenti è completo e aggiornato? Informative, nomine e policy corrispondono ai trattamenti reali?
DocumentiAccessi e permessi
Chi può accedere a quali dati: account, privilegi, utenti cessati, credenziali condivise.
AccessiBackup e ripristino
I backup esistono, sono protetti e il ripristino funziona davvero?
ContinuitàCifratura e protezione
Dati e dispositivi cifrati dove serve, protezione di posta, postazioni e rete.
MisureFornitori e responsabili
Chi tratta dati per tuo conto, con quale atto di nomina e con quali garanzie.
FilieraGestione delle violazioni
Esiste una procedura per riconoscere e notificare entro 72 ore? Chi la conosce?
ViolazioniObblighi
Chi deve tenere il registro
e fare la DPIA?
Il registro ha una deroga sotto i 250 dipendenti, la DPIA dipende dal rischio.
Il registro dell'art. 30 non si applica alle imprese con meno di 250 dipendenti, a meno che il trattamento presenti un rischio per i diritti degli interessati, non sia occasionale o includa categorie particolari di dati o dati su condanne penali e reati.
In pratica un trattamento continuativo, come paghe o gestione clienti, non è occasionale. La deroga si verifica caso per caso.
- DPIA: quando un trattamento può presentare un rischio elevato, in particolare con nuove tecnologie (art. 35, par. 1)
- DPIA in particolare per profilazione con effetti significativi, trattamento su larga scala di categorie particolari di dati, sorveglianza sistematica su larga scala di aree pubbliche (art. 35, par. 3)
- DPO per autorità pubbliche, monitoraggio regolare e sistematico su larga scala, trattamento su larga scala di categorie particolari di dati (art. 37)
Perché
Il GDPR chiede di fare un audit?
Chiede di verificare regolarmente l'efficacia delle misure.
L'art. 32 indica tra le misure una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative. L'art. 24 chiede di riesaminare e aggiornare le misure qualora necessario.
Il regolamento non impone un audit con quel nome né una cadenza fissa: impone di poter dimostrare che le misure funzionano. L'audit è lo strumento per farlo.
- Dimostrare di rispettare i principi del trattamento (responsabilizzazione, art. 5, par. 2)
- Riesaminare le misure quando cambiano sistemi, fornitori o trattamenti (art. 24)
- Verificare regolarmente l'efficacia della sicurezza (art. 32, par. 1, lett. d)
- Mettere il registro a disposizione dell'autorità di controllo, su richiesta (art. 30, par. 4)
I tempi
Quali tempi impone il GDPR?
72 ore per notificare, e verifica regolare delle misure.
Violazione dei dati
Notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne viene a conoscenza, salvo sia improbabile un rischio per le persone (art. 33).
72 oreRiesame delle misure
Le misure tecniche e organizzative sono riesaminate e aggiornate qualora necessario (art. 24, par. 1).
Quando serveProva di efficacia
L'art. 32 indica una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure di sicurezza.
RegolarmenteIl risultato
Cosa ricevi alla fine
dell'audit?
Un report con divari, priorità e piano di rientro.
Report dei divari
Ogni scostamento tra documento e sistema, con l'evidenza raccolta e il riferimento all'articolo.
EvidenzePriorità
Ordiniamo gli interventi per rischio e impegno, così sai da dove partire.
PrioritàPiano di rientro
Le azioni necessarie, chi le esegue e in che ordine. Sui sistemi che gestiamo possiamo eseguirle noi.
PianoSanzioni
Quali sanzioni prevede il GDPR?
Fino a 20 milioni di euro o al 4% del fatturato.
Obblighi di titolare e responsabile
Fino a 10.000.000 € o al 2% del fatturato mondiale annuo, se superiore: tra gli altri gli articoli da 25 a 39, cioè sicurezza, registro, DPIA, violazioni e DPO (art. 83, par. 4).
Fino al 2%Principi, consenso e diritti
Fino a 20.000.000 € o al 4% del fatturato mondiale annuo, se superiore: principi di base, consenso, diritti degli interessati, trasferimenti verso paesi terzi (art. 83, par. 5).
Fino al 4%Responsabilizzazione
Il titolare è competente per il rispetto dei principi e deve essere in grado di comprovarlo (art. 5, par. 2).
Art. 5Come lavoriamo
Come lavoriamo
sul GDPR?
Dall'assessment alla gestione, in quattro fasi.
Assessment
Mappiamo trattamenti, sistemi e fornitori e verifichiamo cosa è documentato e cosa no.
AnalisiRoadmap
Ordiniamo le azioni per rischio: registro, nomine, DPIA, misure.
PianoIntegrazione
Documenti e misure tecniche applicati insieme, sui sistemi reali.
AttuazioneGestione
Aggiornamento del registro, gestione delle violazioni e riesame delle misure nel tempo.
ContinuitàCome si svolge l'audit
Come si svolge
l'audit GDPR?
Dal perimetro al riesame, in quattro fasi.
Perimetro
Definiamo trattamenti, sistemi e sedi da verificare e raccogliamo i documenti esistenti.
Piano di auditEvidenze
Raccogliamo le prove: configurazioni, elenchi accessi, esiti dei ripristini, contratti.
RaccoltaVerifica
Confrontiamo documenti, persone e sistemi e annotiamo ogni scostamento.
RiscontroReport e riesame
Consegniamo il report con priorità e piano di rientro, e riverifichiamo dopo gli interventi.
EsitoDomande frequenti
Le domande
più frequenti
Il registro dei trattamenti è obbligatorio per tutte le aziende?
No. Non si applica alle imprese con meno di 250 dipendenti, tranne se il trattamento presenta un rischio per i diritti degli interessati, non è occasionale o include categorie particolari di dati o dati su condanne penali e reati (art. 30, par. 5).
Quando serve una DPIA?
Quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, in particolare con nuove tecnologie. Va fatta prima di avviare il trattamento (art. 35).
Entro quanto si notifica una violazione dei dati personali?
Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza, a meno che sia improbabile un rischio per i diritti e le libertà delle persone. Se si supera il termine, la notifica indica i motivi del ritardo (art. 33).
Quando è obbligatorio nominare un DPO?
Per le autorità pubbliche, per chi svolge come attività principale un monitoraggio regolare e sistematico degli interessati su larga scala, e per chi tratta su larga scala categorie particolari di dati o dati su condanne penali e reati (art. 37).
Perché affidare la consulenza GDPR a chi gestisce anche l'IT?
Perché le misure scritte nei documenti devono essere quelle attive. Chi gestisce l'infrastruttura le verifica sui sistemi, senza passaggi tra fornitori diversi.
L'audit GDPR è una certificazione?
No. È una verifica con un report dei divari. Il GDPR prevede meccanismi di certificazione approvati (art. 42), ma l'audit non ne è uno, e la certificazione non riduce comunque la responsabilità del titolare (art. 42, par. 4).
Ogni quanto va fatto un audit GDPR?
Il GDPR non fissa una cadenza: parla di verifica regolare dell'efficacia delle misure (art. 32, par. 1, lett. d) e di riesame quando necessario (art. 24). La frequenza dipende dal rischio e dai cambiamenti di sistemi e trattamenti.
Cosa succede dopo l'audit?
Ricevi il report e il piano di rientro. Le azioni sui sistemi che gestiamo possiamo eseguirle noi; per le altre indichiamo cosa fare e chi se ne occupa.
L'audit GDPR e il penetration test sono la stessa cosa?
No. L'audit verifica le misure rilevanti per i dati personali, come accessi, backup e cifratura, e la corrispondenza con i documenti. Il penetration test cerca vulnerabilità sfruttabili ed è un'attività diversa.
Serve già avere un registro dei trattamenti?
Aiuta, ma non è un requisito per partire. Se manca o è incompleto, l'audit lo segnala come primo divario.
Fonti: Regolamento (UE) 2016/679, artt. 5, 24, 30, 32, 33, 35, 37 e 83 (testo del Garante per la protezione dei dati personali). Questa pagina è informativa e non costituisce consulenza legale.
Vuoi sapere cosa ti serve davvero
per il GDPR?
Parti dalla consulenza o dall'audit.