TOMs Generator - Generatore di misure tecniche e organizzative

L’Art. 32 DSGVO (GDPR) chiede di proteggere i dati personali con misure tecniche e organizzative adeguate, in proporzione al rischio. Cosa sia «adeguato» la legge non lo dice nel dettaglio, ed è proprio questo che mette in difficoltà molte persone. Il TOMs Generator scompone l’obbligo astratto in misure concrete da spuntare, lungo le aree di protezione consolidate, e trasforma un articolo di legge in una lista che puoi davvero lavorare.

Lo strumento assegna le misure alle classiche aree di controllo note dalla pratica della protezione dei dati: controllo dell’accesso fisico (Zutrittskontrolle), controllo dell’accesso ai sistemi (Zugangskontrolle), controllo dell’accesso ai dati (Zugriffskontrolle), controllo della trasmissione (Weitergabekontrolle), controllo dell’inserimento (Eingabekontrolle), controllo degli incarichi (Auftragskontrolle), controllo della disponibilità (Verfügbarkeitskontrolle) e controllo della separazione (Trennungskontrolle). Per ogni area trovi misure concrete: dalla sala server chiusa a chiave, passando per le regole sulle password e la cifratura, fino al piano di backup.

Ogni misura può essere assegnata a un livello di protezione: base, standard o elevato. Così adatti il tuo modo di procedere al rischio reale del tuo trattamento, invece di documentare tutto o niente in blocco. Preimpostazioni pronte per le dimensioni aziendali più tipiche ti tolgono la prima selezione.

In più c’è un aiuto al controllo. Mentre spunti le misure, lo strumento conta per ogni area di controllo quante delle misure adatte sono già segnate. Quello che per te non vale, ad esempio il personale di sicurezza in un ufficio da una persona sola, lo segni come «non applicabile» e non viene più conteggiato. L’elenco «Queste misure mancano ancora» ti mostra da dove conviene iniziare: una tabella di marcia, non un verdetto.

Per la tua azienda inserisci i dati di base - nome, autore, data, versione - e alla fine crei un PDF chiaro con le misure attuate (senza conteggio e senza punti aperti), che puoi archiviare, allegare a un AVV (accordo sul trattamento dei dati per conto terzi), unire al tuo registro delle attività di trattamento oppure presentare all’autorità di controllo. Quello che inserisci viene salvato in locale come bozza, così puoi interrompere il lavoro e riprenderlo più tardi.

Il generatore struttura le tue misure e ti aiuta a riconoscere le lacune. Non fa però nessuna affermazione giuridicamente vincolante sul fatto che le tue misure siano adeguate ai sensi dell’Art. 32 nel singolo caso: dipende dal rischio concreto e dallo stato della tecnica. Usa lo strumento per struttura, documentazione e analisi delle lacune e, nel dubbio, fai valutare l’adeguatezza a una persona esperta di protezione dei dati.