ISO 27701: collegare gestione della privacy e sicurezza

La gestione della privacy funziona meglio quando decisioni sui trattamenti, misure di salvaguardia, gestione dei diritti e responsabilità dei fornitori si integrano tra loro. La ISO/IEC 27701 offre per questo lavoro un approccio basato sui sistemi di gestione: un sistema di gestione delle informazioni sulla privacy, o PIMS.

Per un CTO, la sfida è collegare gli obblighi documentati al comportamento dei sistemi. Una policy di conservazione deve diventare un processo di cancellazione; un impegno assunto come responsabile del trattamento deve limitare accessi e riutilizzi; una revisione privacy deve influenzare i rilasci. I controlli di sicurezza supportano questi risultati, ma non possono stabilire se un trattamento sia giustificato.

Scegliere l’edizione corretta e il rapporto con il vostro SGSI

La ISO/IEC 27701:2025 è la seconda edizione e definisce i requisiti del PIMS come norma autonoma. La precedente edizione del 2019 era un’estensione della ISO 27001 e della ISO 27002. Non costruite una nuova implementazione partendo dal presupposto che la certificazione ISO 27001 sia sempre un prerequisito. Verificate con il vostro organismo di certificazione l’edizione applicabile e le disposizioni transitorie.

Un SGSI ISO 27001 esistente resta utile. Governance, processi di gestione del rischio, controllo dei documenti, audit interni e riesame della direzione possono supportare entrambi i sistemi. La ISO 27002 fornisce linee guida sui controlli di sicurezza delle informazioni.

Mantenete distinti gli obiettivi. La sicurezza esamina riservatezza, integrità e disponibilità. La privacy esamina anche finalità, proporzionalità, trasparenza e conseguenze per le persone fisiche. Un database cifrato può comunque contenere informazioni raccolte senza necessità. Riutilizzare le evidenze di sicurezza è sensato; trattarle come prova di conformità in materia di privacy non lo è.

Definire il perimetro a partire dai trattamenti, non solo dall’infrastruttura

Iniziate dai servizi e dalle attività coperti dal PIMS. Includete sistemi di supporto, team, fornitori e interfacce. Un confine come «ambiente cloud di produzione» è insufficiente se l’assistenza clienti esporta dati personali in un sistema di ticketing separato.

Per ogni attività documentate:

• Finalità, categorie di dati personali e gruppi di persone interessate.
• Ruolo di titolare o responsabile del trattamento, comprese le attività in cui i ruoli differiscono.
• Fonti di raccolta, destinatari, luoghi di archiviazione e percorsi di trasferimento.
• Regole di conservazione, modalità di cancellazione, responsabili e obblighi applicabili.

I ruoli dipendono dall’attività di trattamento, non semplicemente dall’identità dell’azienda. Un fornitore di software può trattare i dati caricati dai clienti secondo le istruzioni di questi ultimi, agendo invece come titolare per i propri dati di fatturazione. Queste attività richiedono percorsi decisionali diversi.

Assegnate esplicitamente le responsabilità di ingegneria, prodotto, privacy, acquisti e operations. Se un DPO è obbligatorio o è stato designato, preservatene il ruolo indipendente di consulenza e sorveglianza invece di renderlo responsabile della scelta delle finalità del trattamento. Il GDPR stabilisce gli obblighi pertinenti di titolare, responsabile del trattamento e DPO.

Valutare i rischi per la privacy insieme ai rischi per la sicurezza

Usate l’inventario dei trattamenti per individuare i danni alle persone fisiche oltre all’esposizione dell’organizzazione. L’accesso non autorizzato conta, ma contano anche raccolta eccessiva, riutilizzi inattesi, registrazioni inesatte, procedure per l’esercizio dei diritti inaccessibili e conservazione oltre una necessità accertata.

Una valutazione pratica deve collegare ogni rischio a un’attività, a una conseguenza, a una salvaguardia esistente, a un trattamento del rischio, a un responsabile e a un evento che ne attivi la revisione. Registrate perché il rischio residuo viene accettato o perché è necessario ulteriore lavoro.

Consideriamo una funzione di reportistica che esporta dati sulle prestazioni dei dipendenti. Autenticazione e registrazione degli accessi rispondono alle esigenze di sicurezza. L’analisi privacy deve inoltre valutare se l’esportazione include campi non necessari, espone inferenze sensibili o consente usi incompatibili con la finalità dichiarata.

Una valutazione nell’ambito del PIMS può supportare il lavoro di valutazione giuridica, ma non soddisfa automaticamente i requisiti di ogni giurisdizione. Ai sensi dell’articolo 35 del GDPR, un trattamento che può presentare un rischio elevato richiede una valutazione d’impatto sulla protezione dei dati. Valutate separatamente questa soglia e conservate la decisione e l’eventuale valutazione richiesta.

Tradurre gli obblighi in controlli verificabili

Evitate una policy sulla privacy che l’ingegneria non può implementare. Per ogni obbligo, specificate il comportamento atteso del sistema e le evidenze che lo dimostrano. Quelli che seguono sono esempi pratici di implementazione, non un insieme universale di controlli obbligatori.

Cifratura, privilegio minimo, registrazione dei log e ripristino restano importanti salvaguardie condivise. Scegliete le misure in base al rischio: l’articolo 32 del GDPR non impone una cifratura generalizzata in ogni situazione. Documentate i limiti relativi all’accesso alle chiavi, al ripristino e alla cancellazione quando incidono sui risultati in materia di privacy. Per gli aspetti di implementazione si veda cifratura e gestione delle chiavi.

Costruire procedure operative che reggano ai casi reali

La gestione dei diritti richiede un canale di ricezione, responsabili, una verifica dell’identità proporzionata, ricerche nei sistemi, revisione dei dati di terzi e una consegna sicura. Ai sensi del GDPR, la risposta è normalmente dovuta entro un mese; le proroghe consentite richiedono una comunicazione entro quel primo mese. Conservate registrazioni dei casi che spieghino le decisioni, non solo il numero di ticket chiusi. Un workflow per le richieste di accesso deve coprire anche i sistemi manuali e l’assistenza dei fornitori.

La gestione degli incidenti deve distinguere il contenimento tecnico dalle decisioni di notifica in materia di privacy. Ai sensi del GDPR, i responsabili del trattamento informano i titolari senza ingiustificato ritardo. I titolari valutano la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne sono venuti a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Registrate il ragionamento in caso di mancata notifica e valutate se un rischio elevato richieda la comunicazione agli interessati.

Le procedure relative ai fornitori devono esaminare istruzioni, sub-responsabili, assistenza nella gestione di richieste e incidenti, restituzione o cancellazione dei dati e accesso alle evidenze. Quando si applica il GDPR, i contratti ai sensi dell’articolo 28 devono contenere elementi specifici obbligatori. Il certificato di un fornitore è un’assurance di supporto, non un sostituto di tali clausole.

I trasferimenti internazionali richiedono una valutazione giuridica separata. La certificazione ISO 27701 non li autorizza né neutralizza i rischi legati alla sorveglianza. Documentate il meccanismo applicabile, valutatene le condizioni e implementate misure supplementari ove necessario. La sola localizzazione dei dati non stabilisce la conformità.

Esempio pratico: un servizio di assistenza clienti

Supponiamo, a titolo illustrativo, che un fornitore SaaS tratti i messaggi di assistenza secondo le istruzioni dei clienti e sia titolare dei propri dati di contatto relativi agli account. Entrambe le attività usano la stessa piattaforma di assistenza.

Il team mappa contenuto dei messaggi, allegati, identificativi degli account, accessi dei fornitori e destinazioni delle esportazioni. Scopre che un’esportazione di debug copia i messaggi completi in uno spazio di lavoro di ingegneria con una conservazione più lunga.

Il trattamento è specifico: sostituire le esportazioni dei messaggi completi con campi diagnostici minimizzati, limitare gli accessi eccezionali, applicare un periodo di conservazione approvato e registrare chi autorizza le eccezioni. Verificate che le esportazioni ordinarie omettano il corpo dei messaggi e che le registrazioni diagnostiche scadute vengano rimosse.

Il pacchetto di evidenze contiene il registro del trattamento, la valutazione dei ruoli, le condizioni contrattuali con il fornitore, la decisione sul rischio, la configurazione, i risultati dei test e lo storico delle approvazioni. La revisione condivisa dei controlli di accesso supporta sia la sicurezza sia la privacy, mentre la decisione sulla finalità dell’esportazione resta specifica della privacy.

Prepararsi alla certificazione con evidenze operative

La certificazione è effettuata da un organismo di certificazione indipendente, non dall’ISO. Prima di pianificare la valutazione, verificate perimetro, edizione, approccio di audit e aspettative sulle evidenze. Un tipico processo di certificazione iniziale comprende una verifica della preparazione e della documentazione seguita dalla valutazione dell’implementazione; verificate le modalità con l’organismo scelto.

Svolgete un audit interno rispetto ai requisiti applicabili e alle vostre procedure. Campionate attività di trattamento, casi di esercizio dei diritti, decisioni sui fornitori, applicazione della conservazione e modifiche di prodotto. Distinguete un documento mancante da un controllo che esiste ma non funziona nella pratica.

Il riesame della direzione deve considerare risultanze, rischi aperti, modifiche, prestazioni e risorse. Le azioni correttive richiedono responsabili, evidenze di completamento e verifiche di efficacia. La certificazione può fornire assurance sul sistema di gestione nel perimetro definito, ma non stabilisce la conformità al GDPR, non crea una base giuridica e non copre attività esterne a quel perimetro.

Iniziare da un’attività di trattamento tracciabile

Scegliete un’attività, seguitene i dati attraverso i sistemi e i fornitori collegati e collegate ogni obbligo rilevante a un responsabile, a una salvaguardia e a uno storico delle decisioni. Rivedetela dopo ogni modifica pertinente invece di attendere il prossimo audit.

Secani supporta questo flusso delle evidenze collegando requisiti, controlli, sistemi, evidenze e decisioni di revisione. I team possono conservare le evidenze condivise del SGSI accanto alle decisioni specifiche sulla privacy, trasformare le lacune in attività assegnate e preservare l’approvazione umana dei suggerimenti supportati dall’IA. Il primo deliverable utile è una catena revisionata che va dalla finalità del trattamento alla salvaguardia implementata e alle evidenze a supporto.