Rapporto OCPD

accade per la certificazione dei sistemi di gestione della protezione dei dati, in questo ambito non vi sono standard internazionali riconosciuti che possano essere adeguati con facilità.

È tuttavia ipotizzabile che l’IFPDT basi il proprio schema di valutazione per l’esame dei prodotti sui criteri definiti a tale scopo da un organismo indipendente tedesco, il «Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein»³. L’elenco enumera a titolo esemplificativo i requisiti di protezione e di sicurezza dei dati nonché le domande relative alle disposizioni legali rilevanti di cui tener conto a tale proposito e propone una struttura tipo per procedere alla verifica dei requisiti. Una semplice lista di controllo non è sufficiente, poiché il profilo dei requisiti e i tipi di dati variano da un prodotto o sistema informatico all’altro e i periti sono tenuti a documentare sempre le proprie valutazioni.

Le direttive definiscono i requisiti dell’assetto tecnico, compresi in particolare i principi della non eccedenza dei dati e della trasparenza.

L’ammissibilità del trattamento desiderato va verificata in base ai pertinenti principi di protezione dei dati (art. 4 segg. LPD).

Vanno pure individuate le misure tecniche e organizzative previste dal prodotto a tutela degli interessati. Tali misure risultano in primo luogo dagli articoli 8 segg. OLPD. La valutazione deve vertere sugli schemi di attacco su cui poggiano le misure adottate o da adottare, sugli attacchi contro i quali il prodotto o il sistema è protetto, sulle misure aggiuntive supportate (o le eventuali restrizioni) e infine sui rischi residui.

Va inoltre valutata la tutela dei diritti degli interessati (ad es. comunicazione, accesso, trasparenza). Oggi i diritti degli interessati sono spesso garantiti con accorgimenti organizzativi. Per il prodotto o sistema da certificare è determinante se l’impostazione tecnica:

• permette o addirittura incoraggia l’esercizio dei diritti da parte degli interessati; e

• supporta le unità organizzative nel garantire i diritti degli interessati.

In aggiunta vanno considerati gli aspetti legati alla parsimonia dei dati (ad es. operando in forma anonima o pseudonima) e alla registrazione dell’esercizio dei diritti da parte degli interessati.

Da notare infine che uno stesso prodotto permette di trattare e trasferire tra le varie componenti diverse tipologie di dati. A titolo d’esempio citiamo i dati degli interessati (dati primari) quali i dati sanitari personali raccolti da un’assicurazione, e i dati secondari (ad es. audit trail riguardanti l’immissione di dati e l’accesso a banche dati, ma anche le modifiche di configurazione o l’accesso a locali sensibili quali il centro di calcolo).

6. Rilascio e validità della certificazione (art. 6)

Il capoverso 1 esplicita che i requisiti posti a un ente o a un prodotto o sistema da certificare risultano dalle disposizioni legali in materia di protezione dei dati e dagli allegati 1 e 2.

Il capoverso 2 fissa a tre anni la validità della certificazione per l’organizzazione e la procedura (SGPD). Statuisce inoltre l’obbligo di riesaminare annualmente le certificazioni rilasciate (cfr. la norma pertinente nella guida ISO/IEC 62, n. 3.6.1). L’organismo di certificazione deve istituire un meccanismo di sorveglianza.