Una solida compliance deve essere verificata da un punto di vista sostanziale, non formale.
Per affrontare una due diligence del proprio sistema privacy è necessario adottare l’approccio della privacy by design.
Prima ancora di domandarsi “che cosa richiedere” all’organizzazione che si intende acquistare, è necessario domandarsi: “esattamente che cosa sto acquistando?” e ancora “qual è il flusso dei dati che entra e esce dall’organizzazione?”.
Sarà sulla base della natura dell’azienda che intendo acquistare e sul reale flusso di dati che caratterizza le sue specifiche attività che potrò finalmente stilare la comoda Check-list della due diligence relativa al proprio sistema privacy.
La stessa, tra le altre cose, certamente dovrà comprendere:
- le finalità del trattamento dei dati personali e le conseguenti basi giuridiche;
- le policy aziendali e le procedureche sono state predisposte e adottate (in particolare le procedure di Data Breach e dei Diritti degli Interessati), le quali danno prova di un reale organizzazione di un sistema privacy;
- il registro delle violazioni (fondamentale al fine di comprendere quali sono state le violazioni dei dati subite dall’organizzazione e come la stessa le abbia gestite);
- la mappatura dei soggetti esterni (responsabili, contitolari, destinatari) e la relativa documentazione;
- le misure di sicurezza che sono state implementate sulla base dei rischi effettivi dell’azienda;
- le valutazioni di impatto necessarie per i trattamenti specifici che svolge l’azienda;
- l’organigramma interno, con relativa distribuzione delle responsabilitàtra il personale e le attività di formazione che sono state messe in atto al fine della necessaria sensibilizzazione;
- il registro dei trattamenti.
MI.ZAR Srl, sulla base della ventennale esperienza in materia di Privacy, può fornire un valido contributo per valutare il sistema Privacy. Contattaci tramite il nostro form:
