Conformità GDPR per SaaS: tutto ciò che devi sapere

“I dati sono una cosa preziosa e dureranno più a lungo dei sistemi stessi.”

Tim Berners-Lee, inventore del World Wide Web

I dati sono oro. E mentre il mondo intraprende una crociata verso lo sfruttamento dei dati in molteplici modi (sia etici che non etici), il GDPR entra in soccorso.

L’impatto della nuova legislazione dell’UE – Regolamento generale sulla protezione dei dati (GDPR) sulle imprese si sta rivelando una delle normative globali più cruciali oggi in quanto è legata alla governance e alla privacy dei dati. Molte persone non sono sicure di cosa sia il GDPR, di come potrebbe avere un impatto sulle loro attività o se dovrebbero addirittura preoccuparsi.

Il GDPR, o Regolamento generale sulla protezione dei dati, è entrato in vigore il 25 maggio 2018. Negli ultimi vent'anni l'Unione Europea (UE) è stata alla guida degli sviluppi normativi in materia di privacy e protezione dei dati. La violazione del GDPR può comportare sanzioni fino al 4% del fatturato globale annuo o fino a 20 milioni di euro, a seconda di quale sia il valore più alto. Il GDPR serve a proteggere i diritti alla privacy dei dati dei cittadini dell'UE, ma si applica a quasi tutte le aziende con un'impronta globale, incluso SaaS.

In questo articolo discuteremo della conformità al GDPR per SaaS e delle implicazioni della stessa.

Ci sono due ragioni per cui è nato il GDPR. Il primo è che l’UE vuole avere maggiore controllo sui dati personali dei suoi residenti e controllare come vengono utilizzati. In questo modo si spera di migliorare la fiducia nell’economia digitale.

In secondo luogo, l’UE sta facilitando un ambiente semplice e trasparente per le imprese operative, rendendolo quasi uniforme in tutta l’UE.

Sì, se tu...

Vendere beni o servizi a cittadini dell'UE o monitorarne il comportamento.
Trattare i dati personali dei cittadini dell'UE per conto di altre aziende.
Gestire un sito Web che utilizza tecnologie come i cookie per monitorare le persone con sede nell'UE
Impiegare qualsiasi residente dell'UE
Raccogliere qualsiasi tipo di dato che possa includere informazioni sui cittadini dell'UE

In poche parole, il GDPR è applicabile ai fornitori SaaS che hanno clienti o consumatori europei, indipendentemente dalla posizione geografica dell’organizzazione.

Sei un Titolare del trattamento?

Un titolare del trattamento dei dati è un individuo o un'organizzazione che controlla ed è responsabile della conservazione e dell'utilizzo delle informazioni personali. Essere un titolare del trattamento dei dati comporta gravi responsabilità legali, è necessario mantenere registrazioni dei dati personali e delle attività di trattamento.

Se la tua organizzazione controlla ed è responsabile dei dati personali in suo possesso, allora è un titolare del trattamento dei dati. d'altro canto, tu detieni i dati personali, ma qualche altra organizzazione decide ed è responsabile di ciò che accade ai dati, quindi quest'ultima organizzazione è il titolare del trattamento dei dati e la tua organizzazione è un responsabile del trattamento dei dati.
I titolari del trattamento possono essere sia persone fisiche che aziende, amministrazioni pubbliche e organizzazioni di volontariato. Individui come medici di medicina generale, farmacisti, politici e commercianti individuali, dove conservano informazioni personali sui loro pazienti, clienti, elettori, ecc.
Sarà onere del titolare del trattamento garantire che i contratti con il responsabile siano conformi al GDPR.

Sei un Responsabile del trattamento dei dati?

Un responsabile del trattamento è responsabile del trattamento dei dati personali per conto del responsabile del trattamento. Esempi di responsabili del trattamento dei dati includono società di gestione paghe, commercialisti e società di ricerche di mercato, che conservano o elaborano informazioni personali per conto di qualcun altro. Anche i fornitori di servizi cloud sono generalmente responsabili del trattamento dei dati.

I responsabili del trattamento dei dati sono tenuti a conservare registrazioni dei dati personali e delle attività di trattamento. Avranno la responsabilità legale se sono responsabili di una violazione.

Una società o persona può essere sia titolare del trattamento che responsabile del trattamento per insiemi distinti di dati personali. Ad esempio, a società di gestione paghe sarebbe titolare del trattamento dei dati relativi al proprio personale, ma sarebbe anche responsabile del trattamento dei dati relativi alle buste paga del personale che sta elaborando per le aziende clienti.

Prima di capire come le aziende SaaS devono iniziare a prepararsi per il GDPR, comprendiamo innanzitutto i tipi di dati a cui si applica il GDPR.

Dati personali

Qualsiasi informazione relativa a una persona identificabile che può essere identificata, direttamente o indirettamente, in particolare tramite riferimento a un identificatore come nome, numero di identificazione, dati sull'ubicazione o identificatori online che sono il risultato dei cambiamenti tecnologici. Si applica sia ai dati personali automatizzati che ai sistemi di archiviazione manuale. Dati personali pseudonimizzati, ad esempio un nome viene sostituito con un numero univoco, a seconda di quanto sia difficile caratterizzare lo pseudonimo per un individuo.

Dati personali sensibili

I dati personali sensibili sotto l'egida del GDPR sono considerati categorie speciali di dati personali che sono informazioni più sensibili su un individuo e quindi necessitano di maggiore protezione come razza, origine etnica, opinioni politiche, religione, appartenenza sindacale, dati genetici come sequenza del DNA, dati biometrici impronte digitali o scansioni della retina utilizzate a fini di identificazione, ecc.

È importante che i clienti SaaS e i fornitori SaaS siano preparati e operativi per la conformità al GDPR. Se non l'hai già fatto, ecco come puoi farlo:

Avere consapevolezza

I decisori e le persone chiave dell'organizzazione dovrebbero essere consapevoli del GDPR e analizzarne l'impatto, identificare i rischi coinvolti e includerli nel loro processo di gestione del rischio.

Documentazione adeguata

Per essere responsabili e garantire efficacia documentazione del processo, dovresti documentare quali dati personali conservi, da dove provengono e con chi li condividi. Potresti anche richiedere controlli regolari di questa documentazione. È importante, non solo perché è un requisito legale, ma anche perché può supportare una buona governance dei dati e aiutarti a dimostrare la tua conformità ad altri aspetti del GDPR.

Comunicazione dell'informativa privacy

Prima di raccogliere qualsiasi dato personale, la legislazione attuale richiede che tu comunichi ai tuoi clienti la tua identità, i motivi per cui raccogli i dati, l'uso che ne verrà fatto, a chi saranno divulgati e se saranno trasferiti al di fuori dell'UE. Ai sensi del GDPR, ulteriori informazioni devono essere comunicate agli interessati prima del trattamento.

Diritti degli individui

Le organizzazioni dovranno fornire i dati personali in una struttura comunemente utilizzata o in formato elettronico, gratuitamente. Inoltre, sarà necessario verificare le proprie procedure per garantire che coprano tutti i diritti di cui godono gli individui. Ad esempio, come reagiresti se qualcuno ti chiedesse di cancellare i suoi dati personali? I tuoi sistemi ti aiuterebbero a individuare ed eliminare i dati? E chi prenderà questa decisione?

Conserva i registri per dimostrare il consenso: chi ha acconsentito, quando, come e cosa gli è stato detto. Rendere più semplice per le persone revocare il consenso in qualsiasi momento lo desiderino. Includi revisioni periodiche del consenso nei tuoi processi aziendali perché il GDPR chiarisce che i titolari del trattamento devono essere in grado di dimostrare chiaramente che il consenso è stato dato. Pertanto esamina i sistemi di cui disponi per registrare il consenso per assicurarti di avere una traccia di controllo efficace.

Secondo il GDPR, le organizzazioni dovranno gestire la richiesta di accesso del soggetto (SAR) più rapidamente, oltre a fornire informazioni aggiuntive. Le persone hanno già il diritto di accedere ai propri dati personali attraverso una SAR. Tuttavia, le richieste saranno generalmente libere e gli interessati avranno il diritto di ricevere le informazioni in formato elettronico.

Se un’organizzazione gestisce un gran numero di SAR, l’impatto dei cambiamenti potrebbe essere considerevole. Pertanto, adottare misure per organizzare l’approccio alle SAR aiuterà le organizzazioni a conformarsi al GDPR.

Violazioni dei dati

Dovresti assicurarti di avere in atto le giuste procedure per rilevare, segnalare senza indebito ritardo, se possibile entro 72 ore dalla presa di coscienza e indagare, una violazione dei dati personali.

Nominare i responsabili della protezione dei dati

Un'organizzazione deve designare qualcuno che si assuma la responsabilità della conformità alla protezione dei dati; è possibile nominare un soggetto esterno o qualcuno dell'organizzazione stessa. Potrebbe essere necessario apportare alcune modifiche alla struttura della tua organizzazione.

Regolazione dei dati e progetti futuri

Una DPIA (Data Privacy Impact Decision) è il processo di considerazione sistematica del potenziale impatto che un progetto o un’iniziativa potrebbe avere sulla privacy degli individui. Consente alle organizzazioni di identificare potenziali problemi di privacy prima che si verifichino e di trovare un modo per mitigarli. Una DPIA può comportare discussioni con le parti/stakeholder rilevanti. In definitiva, tale valutazione può rivelarsi preziosa per determinare la fattibilità di progetti e iniziative futuri. Il GDPR ha imposto DPIA per quelle organizzazioni coinvolte in trattamenti ad alto rischio; ad esempio laddove viene utilizzata una nuova tecnologia, laddove un’operazione di profilazione potrebbe incidere in modo significativo sugli individui o laddove vi sia un monitoraggio su larga scala di un’area accessibile al pubblico.

Il GDPR può sembrare un’ulteriore arena su cui lavorare per le aziende SaaS, ma a lungo termine ha perfettamente senso riconoscere la preoccupazione della privacy dei dati, data la quantità di dati che vengono generati.

Riferimenti: