Le novità introdotte dal GDPR, con riferimento all’analisi del rischio digitale, sono molte.
A seconda della tipologia di attività e trattamento effettuati in Azienda o nell’Organizzazione, il Titolare ha l’obbligo di individuare adeguate misure di sicurezza relative ai dati personali da essa trattati.
Si passa dalle vecchie – ormai superate – misure minime di sicurezza (es. password di almeno 8 caratteri con scadenza ogni 3 mesi se sensibili..) alle attuali misure idonee: quest’ultime non le troviamo elencate in nessuna norma o allegato, poiché cambiano a seconda dello «scenario digitale» in cui il dato “vive”.
Misure idonee di sicurezza da intendere come la metodologia improntata sul livello di sicurezza adeguata al rischio, da analizzare, implementare, ma soprattutto, da verificare periodicamente.
L’Analisi del rischio e il piano di miglioramento che richiama il concetto espresso anche dal D.Lgs. 81/08 e D.Lgs. 106/2009 in tema di prevenzione e sicurezza negli ambienti di lavoro “..valutazione globale e documentata di tutti i rischi per la salute e sicurezza dei lavoratori presenti nell’ambito dell’Azienda o dell’Organizzazione in cui essi prestano la propria attività, finalizzata ad individuare le adeguate misure di prevenzione e di protezione e ad elaborare il programma delle misure atte a garantire il miglioramento nel tempo dei livelli di salute e sicurezza..”
L’Analisi del rischio, inoltre, si ricollega anche al D.Lgs. 231/01, che all’art. 7 comma 3, recita “Il modello prevede, in relazione alla natura e alla dimensione dell’organizzazione nonché al tipo di attività svolta, misure idonee a garantire lo svolgimento dell’attività nel rispetto della legge e a scoprire ed eliminare tempestivamente situazioni di rischio”
