Policy e procedure privacy aziendali
Politiche interne che disciplinano la gestione dei dati personali: utilizzo dispositivi, social media, BYOD, retention, accesso ai dati, password.
01
Le policy sono il sistema operativo della tua privacy
Le informative dicono al mondo esterno cosa fa la tua azienda. Le policy dicono al mondo interno come lo fa. Senza policy chiare, ogni dipendente interpreta le regole a modo suo: ed è proprio dove nascono i data breach, le violazioni formali, le sanzioni. Le policy traducono il GDPR in comportamenti operativi quotidiani.
02
Le policy che redigiamo
Policy di utilizzo dei dispositivi aziendali, policy di utilizzo di Internet e posta elettronica, policy BYOD (Bring Your Own Device) per dispositivi personali usati per lavoro, policy social media (cosa i dipendenti possono e non possono pubblicare), policy password e gestione delle credenziali, policy di accesso ai dati e gestione dei privilegi, policy di retention dei dati per ogni categoria di trattamento, policy clean desk, policy mobile working e smart working.
03
Stile e applicabilità
Le policy che scriviamo sono leggibili, brevi, applicabili. Non scopiazziamo articoli del GDPR: traduciamo i requisiti in regole pratiche, con esempi concreti su cosa fare e cosa non fare. Una policy che nessuno legge è una policy che nessuno applica.
04
Implementazione e comunicazione
Ti aiutiamo a comunicare le policy ai dipendenti attraverso formazione mirata, a raccogliere la presa visione (necessaria per la responsabilità disciplinare), a integrarle nei contratti di assunzione e nei regolamenti interni.
Altri servizi privacy
Art. 13 / 14 GDPR
Redazione informative privacy GDPR
Informative privacy conformi al GDPR per ogni punto di raccolta dati: sito web, form, contratti, dipendenti, marketing, videosorveglianza.
Art. 30 GDPR
Registro dei trattamenti GDPR
Il Registro delle attività di trattamento è il documento centrale del sistema privacy. Lo costruiamo, lo manteniamo, lo aggiorniamo con cadenza periodica.
Art. 28 GDPR
Nomine Responsabili esterni del trattamento (DPA)
Contratti di nomina a Responsabile del trattamento (DPA - Data Processing Agreement) per fornitori che trattano dati personali per tuo conto.
Domande frequenti
Domande frequenti sulle policy privacy
01 Le policy interne sono obbligatorie?
Il GDPR non impone un elenco di documenti. Impone però di poter dimostrare quello che si fa, e le misure di sicurezza dell’art. 32 vanno scelte, applicate e verificate. Senza procedure scritte quella dimostrazione non esiste: restano le buone abitudini delle persone, che cambiano quando cambia il personale.
02 Quali servono davvero a una PMI?
Quattro coprono la gran parte dei casi: gestione delle violazioni di dati, conservazione e cancellazione, controllo degli accessi, uso degli strumenti aziendali. Le altre si aggiungono quando c’è un motivo, non per riempire un raccoglitore. Una policy che nessuno applica peggiora la posizione dell’azienda, perché documenta una regola disattesa.
03 Le policy vanno firmate dai dipendenti?
Quelle che riguardano il loro comportamento sì, e in particolare quella sull’uso degli strumenti aziendali. La firma non serve come formalità: serve a dimostrare che la regola era conosciuta, che è la condizione per poterla far valere. Meglio ancora se accompagnata da un momento di formazione, con registro delle presenze.
04 Ogni quanto si aggiornano?
Una revisione annuale, e fuori scadenza ogni volta che cambia qualcosa di sostanziale: un sistema nuovo, un incidente, un rilievo emerso in audit. La revisione va datata e tracciata, altrimenti non si distingue un documento vivo da uno fermo.
05 Se ho già la ISO 27001 servono lo stesso?
In gran parte le hai già. Un sistema di gestione della sicurezza delle informazioni copre accessi, incidenti e strumenti, e quelle procedure valgono anche ai fini privacy. Resta da aggiungere la parte propriamente privacy: conservazione, diritti degli interessati, rapporti con i responsabili esterni. Si innesta sui documenti che esistono, non si duplica.