Il rischio si valuta dentro il registro, e ogni funzione si trova scrivendo una parola

Quattro funzioni mancanti, tre delle quali c’erano

Una DPO ha usato la piattaforma per qualche giorno e ha mandato un elenco di cose che, secondo lei, non c’erano: il registro delle violazioni, la valutazione del rischio, il caricamento dei documenti e i prezzi. Tre di quelle quattro c’erano da mesi. I prezzi stanno in una pagina raggiungibile dal menu; le violazioni e i documenti stanno dentro la scheda del cliente, che è il posto giusto perché una violazione riguarda un titolare e non lo studio.

Si poteva rispondere spiegando dove sono. Sarebbe stata la risposta sbagliata. Se una professionista esperta cerca e non trova, il problema non è la professionista: è che le sezioni annidate dentro un cliente non compaiono da nessuna parte finché un cliente non lo apri. Quindi ne sono uscite due cose: la funzione che mancava per davvero, e un modo per trovare tutte le altre.

Il rischio dell’art. 32, nel registro dove serve

L’art. 32, par. 1, chiede misure adeguate «tenendo conto» del rischio «di varia probabilità e gravità», e il par. 2 dice quali eventi guardare: distruzione, perdita, modifica, divulgazione o accesso non autorizzati. Fino a ieri nel registro si scrivevano le misure senza dire da che cosa proteggevano. Adesso ogni trattamento ha tre righe — accesso illecito ai dati, modifica indesiderata, perdita o indisponibilità — e per ciascuna si indica quanto è probabile e quanto sarebbe grave, su quattro gradi: trascurabile, limitato, significativo, massimo.

• La sintesi prende il grado più alto fra le tre dimensioni, non la media: un rischio massimo di perdita dei dati non si compensa con un rischio trascurabile di modifica, e una media lo nasconderebbe.
• Il rischio residuo — quello che resta dopo le misure — si compila solo se vuoi: è dietro una casella, perché dichiararlo senza averlo davvero stimato è peggio che lasciarlo vuoto.
• Se il rischio risulta alto e nel trattamento non hai indicato nessuna misura, il modulo lo segnala. Non ti blocca: lo dice.
• Quando il rischio è significativo o massimo compare un richiamo alla valutazione d’impatto dell’art. 35, e la valutazione già fatta viene ripresa dal modulo DPIA invece di essere ricompilata.

Una parola, e ci arrivi

Ctrl K, o Cmd K su Mac, apre una finestra di ricerca sopra qualunque pagina; c’è anche un pulsante in cima al menu, e uno nella barra superiore sul telefono. Si scrive una parola qualsiasi e compaiono le voci che le corrispondono, ordinate, con scritto sotto dove si trovano. Le destinazioni sono 29: 19 sezioni del menu e 10 temi che stanno dentro la scheda del cliente. Quando scegli uno di quei dieci, la ricerca chiede per quale cliente e ti ci porta; se il cliente è uno solo, non chiede niente.

• Cerca l’etichetta in tutte e nove le lingue, non solo in quella attiva: chi ha imparato il mestiere sui testi inglesi scrive «breach» e trova le violazioni anche con l’interfaccia in italiano.
• Capisce i numeri di articolo e le sigle: «art. 30», «art. 33», «72», «DPIA», «DSAR», «SCC», «RoPA», «Schrems».
• Non si offende per il singolare o il plurale: «violazione» trova «Violazioni dei dati».
• Trova anche i clienti per nome e per settore.
• Non aggiunge nemmeno una lettura al database: l’elenco dei clienti è quello che il menu tiene già in memoria per contare le scadenze.

Entrambe le aggiunte nascono da una prova gratuita e da una persona che si è presa il disturbo di scrivere che cosa non funzionava. Se qualcosa ti rallenta mentre lavori, dirlo serve davvero.