In breve
Trentuno aree documentali diventano settantasette, divise in sei famiglie: informare, nominare, registrare, valutare, reagire, dimostrare. La pagina dell'archivio è stata ridisegnata: sopra ogni famiglia c'è un mosaico che è la fotografia di quel cliente, e la famiglia messa peggio si promuove da sola in cima.
Da dove nasce
Un archivio documentale con trentuno caselle sembra completo finché non provi a usarlo in un caso vero. Poi ti accorgi che i consensi raccolti finiscono in «Altri documenti», che l'accordo sindacale sulla videosorveglianza non ha un posto suo, e che la valutazione d'impatto sui trasferimenti — quella che accompagna ogni clausola contrattuale standard dopo Schrems II — non sta da nessuna parte. «Altri documenti» è la casella dove va a morire tutto quello che il progettista non ha previsto.
Le quattro che pesavano di più
- Decisioni automatizzate e profilazione (art. 22). Con lo scoring, i filtri sui curricula e i sistemi antifrode è ovunque, e la sanzione da ottocentoventicinque milioni decisa nei Paesi Bassi in questi giorni riguarda esattamente questo. Non aveva una casella.
- Trattamenti biometrici. Richiedono una valutazione propria e finivano dentro «Misure di sicurezza», dove nessuno li cerca.
- Registro degli accessi e dei log. È la prima evidenza chiesta quando si contesta un accesso abusivo, ed è anche l'obbligo che grava sugli amministratori di sistema.
- Anonimizzazione e pseudonimizzazione. Quasi sempre dichiarata, quasi mai documentata: è il punto su cui le autorità hanno smontato più difese negli ultimi due anni.
E poi il resto
Accordi sindacali e autorizzazioni sul controllo a distanza — senza quelli videosorveglianza e geolocalizzazione sono illecite a monte, prima ancora del GDPR. Registro delle violazioni dell'art. 33, par. 5, che è un obbligo autonomo e non si esaurisce nella gestione del singolo incidente. Risorse e indipendenza del DPO ex art. 38, la prima domanda di ogni verifica sul ruolo. Consensi raccolti e revoche, che sono la prova richiesta dall'art. 7, par. 1. E ancora: informativa ai candidati, ai minori, al segnalante; amministratori di sistema; rappresentante nell'Unione; mappa dei flussi; classificazione dei dati; test di vulnerabilità; privacy by design di progetto; piano di risposta agli incidenti; comunicazioni agli interessati dell'art. 34; polizza cyber; relazione periodica del DPO.
Perché la pagina è stata rifatta
Settantasette riquadri in griglia sono un muro, non un elenco. Adesso le aree stanno in sei famiglie che corrispondono alle sei cose che un titolare deve saper dimostrare, e sopra ognuna c'è un mosaico: una tessera per area, piena se contiene documenti. Non è un'illustrazione presa da una libreria — è il ritratto di quel cliente, e cambia mentre ci lavori. Una foto d'archivio sarebbe identica per tutti e non direbbe niente.
La famiglia messa peggio non la scegliamo noi: la sceglie il codice, in base alla copertura, e sale in cima con il fondo pieno del proprio colore e un pulsante che apre direttamente la prima area vuota. Le altre cinque restano monocromatiche di proposito. Sei colori per sei famiglie erano sei colori che non dicevano niente; il colore lo usa una cosa sola per schermata, ed è per questo che si vede.
Una cosa da sapere prima di aprirla
Su un cliente nuovo il mosaico sarà quasi tutto vuoto e le sei schede diranno tutte «vuoto». È onesto ed è scomodo. Non tutte le settantasette aree servono a tutti: un ambulatorio e un'agenzia immobiliare ne usano insieme meno di venti. I modelli di settore servono proprio a partire dalle aree che riguardano quel cliente invece che da tutte.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
