Oggigiorno, sono poche le aziende che non usano dispositivi informatici per l'esecuzione delle proprie attività. Un po' per gli obblighi che le norme hanno imposto all'imprenditore, ma anche perchè l'utilizzo delle tecnologie è divenuto altresì fattore di efficientamento delle risorse. Sempre di più le aziende utilizzano strumenti software di vario genere: sistemi di fatturazione, Customer Relationship Management (CRM), sito web aziendale, sistemi di comunicazione (voce e testo), sistemi di archiviazione, ecc.
A seconda della dimensione aziendale, del design adottato dai responsabili dei sistemi informativi rispetto ai tool disponibili, che tengono altresì conto (a volte) dei livelli di sicurezza desiderati, ai software considerati "Ufficiali", se ne affiancano altranti "Non ufficiali". Ciò vale non solo per i software, ma anche per i dispositivi.
Questo può comportare la necessità di analizzare diversi aspetti aventi notevole rilevanza dal punto di vista sia organizzativo che di compliance. Cerchiamo di analizzarli:
*. La gestione dei dati personali Quando si utilizza un software o un sistema informatico è di norma necessario provvedere ad assegnare univocamente la risorsa informatica per molteplici ragioni: da una parte si rispetta la riservatezza del comportamento del lavoratore, dall'altro si identifica l'autore delle attività compiute sulla risorsa e quindi è possibile gestire le eventuali responsabilità. Quest'ultimo aspetto è di fondamentale importanza per poter procedere ad una eventuale contestazione in caso di inadempimento o comportamento scorretto.
L'utenza è necessaria per il processo di autenticazione che dal punto di visto privacy, altro non è che un trattamento che prevede (nella versione più semplificata) la raccolta dei dati, la conservazione e il raffronto. Quando l'utenza è inserita all'interno di un software che opera online, come ad esempio una banale webmail, l'azienda avrà l'obbligo giuridico di:
- verificare l'idoneità del servizio
- valutarne le misure di sicurezza
- definire un idoneo modello di gestione dei dati con inserimento dello stesso nel registro dei trattamenti
- fornire istruzioni agli operatori che operano sul software
A questi obblighi se ne potrebbero aggiungere degli altri qualora ci si ritrovasse di fronte ad un fornitore esterno. In questo caso, oltre alle verifiche di cui sopra, si dovrebbe verificare l'idoneità del fornitore, che comprende tra le altre:
- l'analisi del contratto
- la verifica delle misure di sicurezza e livelli di servizio
- la verifica della localizzazione del fornitore e dei dati
- la verifica riguardo presenza di eventuali subfornitori
Molto spesso tale comportamento viene attuato successivamente all'inizio delle attività, ma solo con una analisi preventiva è possibile valutare eventuali rischi e porvi rimedio ove possibile.
Infine, ma non per importanza, tutte queste attività sopra citate dovranno essere inserite all'interno di un'informativa al trattamento dei dati personali che prenda in considerazioni le modalità e le finalità del trattamento, con tutte le ulteriori informazioni previste dall'art. 13 del Regolamento UE 2016/679 (GDPR).