Gli articoli sulla sicurezza del GDPR mappati: il lato sicurezza di una legge sulla privacy

Il GDPR è una legge sulla privacy. Gran parte del testo riguarda se sia lecito trattare dati personali, come informare le persone e quali diritti abbiano. Diversi articoli, però, impongono obblighi di sicurezza, ed è lì che i team di sicurezza incontrano il regolamento. ControlMapping mappa solo quegli articoli: integrità e riservatezza (Articolo 5(1)(f)), responsabilizzazione (24), protezione dei dati fin dalla progettazione (25), responsabili del trattamento (28), registri delle attività di trattamento (30), sicurezza del trattamento (32), notifica delle violazioni (33 e 34), valutazioni d'impatto (35) e responsabili della protezione dei dati (da 37 a 39).

Come ISO 27001 li copre

Dei 13 articoli su temi di sicurezza di GDPR, 12 (92%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →

Quasi tutti gli articoli del GDPR legati alla sicurezza si mappano su ISO 27001. Un ISMS fornisce misure di sicurezza basate sul rischio (Articolo 32), una gestione degli incidenti che può alimentare la notifica delle violazioni (Articoli 33 e 34), controlli sui fornitori per i responsabili del trattamento (Articolo 28) e responsabilità documentate. L'unico articolo senza mappatura ISO è l'Articolo 38, sulla posizione del responsabile della protezione dei dati, che riguarda indipendenza e linee di riporto che ISO 27001 non tratta.

Articolo per articolo

GDPR	Requisito	Corrispondenza	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	Redazione	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	Redazione	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	Redazione	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	Redazione	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	Redazione	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	Redazione	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	Redazione	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	Redazione	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	Redazione	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	Redazione	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	Redazione	A.5.2A.5.4
Art.38	Position of the data protection officer	Nessuna mappatura nei nostri dati	—
Art.39(1)	Tasks of the data protection officer	Redazione	A.5.2A.5.4A.6.3Clause 7.3

Cosa aggiunge il GDPR che ISO 27001 non prevede

Anche all'interno degli articoli sulla sicurezza, il GDPR è più specifico in alcuni punti:

• Termini per la notifica delle violazioni. Notificare all'autorità di controllo entro 72 ore dalla conoscenza di una violazione di dati personali (Articolo 33), e informare le persone interessate senza ingiustificato ritardo quando il rischio per loro è elevato (Articolo 34). ISO richiede una gestione degli incidenti, non una notifica alle autorità entro un termine preciso.
• Pseudonimizzazione e cifratura sono indicate nell'Articolo 32 come misure da considerare.
• Protezione dei dati fin dalla progettazione e per impostazione predefinita (Articolo 25) riguarda il modo in cui i sistemi vengono progettati e configurati, non solo protetti.
• Valutazioni d'impatto (Articolo 35) per i trattamenti ad alto rischio sono una valutazione della privacy, più ampia di una valutazione del rischio di sicurezza ISO.

L'altra direzione

Dei 123 Controlli dell'Allegato A e clausole dell'ISMS di ISO 27001, 47 (38%) corrispondono a qualcosa in GDPR, 47 sono solo debolmente correlati e 29 non hanno mappature nei nostri dati. Apri il report sui gap →

Passando dal GDPR a ISO 27001, la maggior parte dell'Allegato A ha una mappatura o una correlazione debole, ma i requisiti dell'ISMS, la sicurezza fisica e alcuni controlli tecnici non hanno un corrispettivo nel GDPR. Il GDPR non richiede un sistema di gestione né prescrive controlli tecnici; richiede misure adeguate al rischio e lascia la scelta a chi tratta i dati.

Come usare la sovrapposizione

1. Trattare l'Articolo 32 come un requisito del proprio ISMS: includerlo tra i requisiti legali e contrattuali (ISO A.5.31) e richiamarlo dalla valutazione del rischio.
2. Estendere il processo di gestione degli incidenti alle violazioni di dati personali: una decisione sull'eventuale notifica, il termine di 72 ore e il registro di ogni violazione, notificata o meno (Articolo 33(5)).
3. Applicare controlli sui fornitori per i responsabili del trattamento, con le clausole dell'Articolo 28 nei contratti.
4. Guardare oltre la sicurezza per la privacy: ISO/IEC 27701 estende un ISMS alla gestione della privacy.

Ogni collegamento al GDPR su questo sito è una valutazione della Redazione di ControlMapping, perché non esiste un crosswalk ufficiale. La comparazione ISO 27001 vs GDPR e la pagina del framework GDPR elencano ogni mappatura con la sua motivazione, e la gap analysis le esporta.

Domande

Cosa richiede l'Articolo 32 del GDPR?

Sicurezza del trattamento: misure tecniche e organizzative adeguate a un livello di sicurezza commisurato al rischio, comprendenti, ove opportuno, la pseudonimizzazione e la cifratura, la riservatezza, l'integrità, la disponibilità e la resilienza continue dei sistemi e dei servizi di trattamento, il ripristino tempestivo della disponibilità e dell'accesso ai dati in caso di incidente fisico o tecnico, e una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure.

ISO 27001 ti rende conforme al GDPR?

No. Supporta gli obblighi di sicurezza, in particolare l'Articolo 32, ma il GDPR richiede anche una base giuridica, la trasparenza, i diritti degli interessati e molto altro che ISO 27001 non copre.