Data Processor e divulgazione informazioni: la prima regola della riservatezza
Molte violazioni del GDPR non iniziano con un sofisticato attacco informatico.
Non servono malware, ransomware o hacker.
A volte è sufficiente una semplice domanda rivolta alla persona sbagliata.
“Il signor Rossi è vostro cliente?”
“È presente in struttura?”
“Potrei sapere in quale ufficio lavora?”
“Mi conferma che soggiorna presso il vostro hotel?”
Domande apparentemente innocue che, se gestite in modo superficiale, possono trasformarsi in una vera e propria violazione della riservatezza.
Ed è proprio questo uno degli aspetti che ogni Data Processor dovrebbe conoscere.
Data Processor e divulgazione delle informazioni: il silenzio è la prima regola della riservatezza
La riservatezza non riguarda solo i sistemi informatici
Le misure organizzative valgono quanto quelle tecnologiche
La riservatezza non riguarda solo i sistemi informatici
Quando si parla di protezione dei dati personali, il pensiero corre quasi sempre ai cyber attacchi, ai ransomware o ai data breach provocati dagli hacker.
In realtà, molte violazioni nascono durante le normali attività lavorative.
Un addetto alla reception conferma la presenza di un ospite.
Un’impiegata comunica informazioni a chi dichiara di essere un familiare.
Un operatore di call center conferma che una persona è cliente dell’azienda.
Un collaboratore rivela dettagli sul rapporto contrattuale di un cliente.
In tutti questi casi il problema non è tecnologico.
Il problema è la divulgazione non autorizzata di dati personali.
Ed è proprio questa una delle violazioni della riservatezza previste dal GDPR.
L’errore più frequente
Di fronte a una richiesta di informazioni, molti collaboratori cercano di capire se chi le richiede sia “autorizzato” a riceverle.
È un comportamento comprensibile.
Ma è anche il punto in cui, molto spesso, nasce l’errore.
La domanda corretta non dovrebbe essere:
“Questa persona sembra autorizzata?”
La domanda corretta dovrebbe essere un’altra:
“L’interessato mi ha autorizzato a comunicare queste informazioni?”
La differenza è sostanziale.
Il Data Processor non dovrebbe mai basare le proprie decisioni su supposizioni, rapporti di parentela dichiarati o semplici affermazioni verbali.
La decisione spetta sempre all’interessato oppure deve essere disciplinata da una procedura aziendale chiaramente definita.
Il comportamento corretto
Esiste una regola estremamente semplice che può prevenire numerose violazioni.
In caso di dubbio, non fornire informazioni. Contatta l’interessato.
Pensiamo, ad esempio, a una struttura ricettiva.
Una persona si presenta alla reception e chiede:
“Il signor Bianchi soggiorna nel vostro hotel?”
La risposta non dovrebbe mai essere:
- “Sì, è nella Suite 302.”
- “È appena uscito.”
- “Resterà fino a domenica.”
- “È salito in camera pochi minuti fa.”
Anche la semplice conferma della presenza di una persona costituisce una comunicazione di dati personali.
La procedura corretta consiste invece nel raccogliere i riferimenti del visitatore, contattare l’ospite e lasciare che sia quest’ultimo a decidere se ricevere quella persona o autorizzare la comunicazione delle informazioni richieste.
Lo stesso principio vale in qualsiasi contesto lavorativo.
Uno studio professionale.
Una clinica.
Un’azienda manifatturiera.
Una società di servizi.
Un call center.
Cambiano le attività.
Non cambia il principio.
Il ruolo del Data Processor
L’articolo 29 del GDPR stabilisce che chiunque operi sotto l’autorità del Titolare o del Responsabile del trattamento possa trattare dati personali esclusivamente seguendo le istruzioni ricevute.
Questo significa che ogni organizzazione dovrebbe fornire ai propri collaboratori indicazioni chiare e facilmente applicabili.
Non è sufficiente raccomandare genericamente di “fare attenzione alla privacy”.
Occorre definire procedure operative che spieghino:
- quali informazioni possono essere comunicate;
- a chi possono essere comunicate;
- quali verifiche devono essere effettuate;
- quando è necessario coinvolgere il referente privacy o il Titolare del trattamento.
La protezione dei dati personali non si improvvisa.
Si organizza.
Le misure organizzative valgono quanto quelle tecnologiche
Firewall, antivirus, autenticazione multifattore e sistemi di monitoraggio rappresentano strumenti fondamentali per la sicurezza informatica.
Ma nessuna tecnologia può impedire a un collaboratore di comunicare verbalmente informazioni riservate alla persona sbagliata.
Per questo motivo il GDPR attribuisce grande importanza anche alle misure organizzative.
Procedure.
Istruzioni operative.
Informazione.
Formazione continua.
Sono questi gli strumenti che consentono ai collaboratori di assumere il comportamento corretto quando ricevono richieste impreviste.
Una semplice domanda
per verificare il livello di maturità della vostra organizzazione
Provate a fare questo esercizio.
Se oggi una persona sconosciuta telefonasse o si presentasse presso la vostra organizzazione chiedendo informazioni su un cliente, un paziente, un ospite o un dipendente, tutti i vostri collaboratori saprebbero esattamente come comportarsi?
Oppure ciascuno risponderebbe secondo il proprio buon senso?
È proprio in questa differenza che si misura il livello di maturità di un’organizzazione.
Perché la riservatezza non dipende soltanto dalla correttezza delle persone.
Dipende soprattutto dall’esistenza di procedure semplici, condivise e conosciute.
E, molto spesso, la prima misura di sicurezza consiste semplicemente nel ricordare una regola tanto semplice quanto efficace:
La migliore risposta, quando non si è autorizzati a comunicare un’informazione, è non comunicarla.
Approfondisci altre casistiche di possibili violazioni in ambito sanitario
