Due quadri con obiettivi collegati
ISO/IEC 27001 definisce requisiti per un sistema di gestione della sicurezza delle informazioni: perimetro, valutazione e trattamento del rischio, responsabilità, controlli, verifica e miglioramento. Il GDPR stabilisce obblighi giuridici per titolari e responsabili, inclusi principi di trattamento, diritti, accountability e misure di sicurezza adeguate al rischio. I due quadri si incontrano nella protezione delle informazioni, ma hanno ambiti e criteri diversi.
Una struttura può usare il sistema ISO per rendere ripetibili attività che sostengono anche la protezione dei dati, come gestione degli accessi, incidenti, fornitori e continuità. Deve però verificare quali requisiti GDPR si applicano a ciascun trattamento, compresi trasparenza, base giuridica, limitazione delle finalità e diritti degli interessati.
Costruire una corrispondenza ragionata
La mappatura può associare un obbligo o un rischio privacy ai processi e ai controlli che lo affrontano, indicando responsabile, evidenza e metodo di verifica. Per esempio, un controllo sugli accessi può ridurre il rischio di consultazione indebita della cartella clinica. Restano necessarie verifiche su autorizzazioni, minimizzazione, tracciamento e coerenza con il ruolo professionale: l’esistenza di una policy non dimostra da sola che gli accessi reali siano appropriati.
Lo stesso controllo può sostenere più quadri, ma la prova deve restare specifica. Un test di ripristino dimostra qualcosa sulla continuità; non dimostra automaticamente che informative e tempi di conservazione siano corretti. Una matrice ben progettata riduce duplicazioni mantenendo visibili le differenze.
Usare il ciclo di gestione
Il responsabile del sistema può pianificare verifiche, registrare non conformità e seguire azioni correttive. Il DPO va consultato sulle implicazioni per la protezione dei dati e mantiene il proprio ruolo di sorveglianza; il titolare decide e risponde della conformità. Le funzioni cliniche, IT, legali e acquisti contribuiscono secondo le rispettive competenze.
Un riesame periodico può considerare incidenti, risultati delle verifiche, cambiamenti nei servizi, nuovi fornitori e rischi residui. Quando emerge una lacuna, occorre assegnare un intervento, valutarne l’efficacia e aggiornare la documentazione collegata. Così il sistema di gestione alimenta le decisioni quotidiane, invece di restare un fascicolo separato.
Descrivere correttamente la certificazione
Una certificazione ISO/IEC 27001 attesta la valutazione di conformità del sistema di gestione nel perimetro indicato, secondo le regole di certificazione applicabili. Non equivale a una certificazione generale di conformità al GDPR e non elimina l’obbligo di valutare ogni trattamento, informare le persone o gestire le richieste. Prima di comunicare il risultato, controllare ambito, validità e organismo di certificazione. La distinzione tutela chi acquista servizi e chi deve rendicontare alla direzione.