Partire da un flusso leggibile
L’art. 13, comma 6, del D.Lgs. 24/2023 richiede che il modello di ricevimento e gestione sia basato su una valutazione d’impatto. Il primo documento utile è quindi una descrizione del percorso dei dati: ingresso, disponibilità ai riceventi, scambi, eventuale estrazione, conservazione e cancellazione.
Nel disegno vanno inclusi anche i passaggi che non si vedono nella demo: notifiche email, richieste di supporto, copie di sicurezza e documenti esportati. Se una fase non è compresa nella fornitura, occorre attribuirla esplicitamente all’azienda o al professionista incaricato.
Il dossier minimo da richiedere
Le informazioni devono essere abbastanza precise da consentire un giudizio, senza pretendere la divulgazione di segreti o credenziali. È utile chiedere documenti datati e riferiti alla versione o alla configurazione effettivamente proposta.
- Descrizione di architettura, localizzazione e fornitori coinvolti.
- Misure di cifratura e modalità di gestione o recupero delle chiavi.
- Profili di accesso e poteri dell’amministrazione tecnica.
- Tipologie di log, finalità e tempi di conservazione.
- Procedura di backup, ripristino e gestione delle cancellazioni residue.
- Accordo sul trattamento e modalità di assistenza in caso di incidente.
Dalla misura tecnica al rischio per la persona
Scrivere «è presente la cifratura» non chiarisce quale minaccia venga ridotta. Una valutazione concreta collega la misura a un rischio: divulgazione dei documenti, accesso non autorizzato, perdita di disponibilità o identificazione indiretta del segnalante.
Esempio: una notifica priva del testo della segnalazione riduce l’esposizione del contenuto nella posta elettronica, ma non risolve ogni rischio dei metadati né quello della mancata consegna. Servono anche una valutazione del sistema email e un presidio periodico del portale.
Le parti che il fornitore non può compilare al posto dell’azienda
Il fornitore non conosce automaticamente gli incarichi interni, i dispositivi usati dai riceventi, le modalità di istruttoria e le persone che possono ottenere documenti. Non può quindi completare da solo una valutazione attendibile dell’intero trattamento.
Al titolare spetta motivare finalità, necessità, proporzionalità e scelte organizzative. Il DPO esprime il proprio parere e sorveglia lo svolgimento della valutazione secondo il GDPR. Il documento tecnico resta un supporto, non un certificato che trasferisce tutte le responsabilità al software.
Un registro delle questioni aperte
Per non bloccare il progetto su richieste indefinite, conviene mantenere una tabella con quesito, risposta, evidenza, responsabile e scadenza. Le questioni che incidono sulla sicurezza devono essere risolte prima dell’avvio, oppure gestite con misure e decisioni motivate nei limiti consentiti.
La DPIA va riesaminata quando cambiano trattamento o rischi: nuovi destinatari, una diversa gestione delle chiavi o un nuovo canale orale possono rendere necessario un aggiornamento. Con Segnalailleciti.it il confronto tecnico può partire da questo elenco, così che demo e documentazione rispondano alle esigenze reali dell’organizzazione.
Domande frequenti
Basta allegare la scheda di sicurezza del software?
No. La DPIA deve descrivere e valutare anche le scelte organizzative e i rischi del trattamento concreto.
È necessario inserire segnalazioni reali nella DPIA?
Di regola si descrivono categorie, flussi e scenari di rischio senza riportare contenuti identificativi dei fascicoli.
