I mercoledì della privacy: la gestione delle chiavi di studio, incombente da regolamentare

La gestione delle chiavi rientra nel tema del controllo degli accessi fisici, materia nel dettaglio disciplinata dalla ISO IEC 27001/2013. La necessità di tali controlli pone in evidenza come una cattiva gestione dei dispositivi fisici (quali appunto le chiavi necessarie per accedere ai locali dello studio o alle casseforti dove presenti), o informatici (come le password e i pin necessari per gli allarmi di studio), possa rendere vulnerabile la sicurezza dei dati personali di cui entra in possesso lo studio di amministrazione nell'esercizio della sua attività gestoria.

L’analisi del rischio
Aspetti questi che devono essere gestiti all'interno di procedure tecniche ed organizzative che vanno pensate, con un approccio “by default” ai sensi del'articolo 25 Gdpr, a seguito di una valutazione sul rischio. L'analisi del rischio in questione necessita di organizzare misure che siano controllate e verificate e, laddove si renda necessario, anche migliorate periodicamente. Il tutto tenendo fede al sistema di gestione indicato nel Ciclo di Deming, che distingue le quattro fasi come «Plan (pianificare/analizzare) – Do (fare) – Check (controllare periodicamente) – Act (intervenire per migliorare)».

Il momento principale nella gestione di queste procedure, dunque, la troviamo nella cosiddetta «Valutazione dei rischi».Qui si deve pensare a quali misure possano essere attuate per rendere maggiormente sicure le aree fisiche dello studio che contengano i documenti cartacei (archivi fisici), nonché tutti i dispositivi attraverso i quali si possa entrare in contatto con le medesime informazioni (archivi elettronici).

Come proteggere l’archivio cartaceo
Iniziamo dall'analizzare l'aspetto che riguarda l'archivio cartaceo: in relazione a questo, non si deve far riferimento al solo archivio come considerato nel senso stretto del termine, cioè quella stanza nella quale gli amministratori conservano i dati di condomìni non più gestiti, ma anche i faldoni che sono o potenzialmente potrebbero essere utilizzati in maniera continuativa, trattandosi di condomìni attualmente in gestione.Sarebbe opportuno che lo studio fosse comunque attrezzato per avere una stanza archivio a ciò dedicata, nella quale possano avere accesso solamente le persone (addetti al trattamento), appositamente incaricati attraverso una nomina che possa essere documentabile (quindi che sia in forma scritta).

Questi soggetti devono essere “sensibilizzati” in relazione al rischio che un trattamento illecito o una perdita/distruzione dei dati possa comportare in termini di rischi sui diritti e le libertà delle persone, nonché in capo al titolare di studio per le conseguenze di un Data Breach o, ancor peggio, di eventuali sanzioni o azioni risarcitorie che dovessero nascere da atteggiamenti di leggerezza o fraudolenti da parte degli stessi collaboratori o di terzi. L'addetto al trattamento che potrà avere accesso alle aree archivio, deve quindi essere debitamente istruito dal titolare di studio ai sensi dell'articolo 29 Gdpr, meglio ancora se indotto a frequentare un corso di aggiornamento professionale relativo al Trattamento dei dati personali nell'ambito condominiale.

E come gli archivi elettronici
Per quanto invece riguarda gli “archivi elettronici”, si impongono i medesimi accorgimenti che siano diretti a valutare una procedura di controllo relativa alla sala server o alle apparecchiature utilizzate per tale scopo,ma anche per l'accesso ai locali nei quali si gestiscono le videosorveglianze-videoregistrazioni. Se questi strumenti elettronici non sono riposti in stanze separate, appare opportuno che siano immessi quanto meno in armadi protetti da chiavi e che si proceda a valutare la gestione delle stesse.

I rischi a cui uno studio può essere sottoposto riguardano comportamenti sia in buona fede che da parte di malintenzionati interni o esterni all'organizzazione; in particolare, la valutazione deve tenere presente:
- la mancanza di separazione dei ruoli tra collaboratori/dipendenti, venendo così meno al rispetto dei principi di minimizzazione e della separazione dei ruoli;
- la perdita il furto o la riproduzione/duplicazione illecita dei dispositivi per l'accesso ai vari locali;
- la perdita di controllo dei dispositivi forniti a terzi (manutentori, pulitore, collaboratori).

La necessità di un registro chiavi
Da un punto di vista pratico, la gestione delle chiavi per gli accessi fisici nei locali /aree archivio, non può prescindere dall'utilizzo di un “registro chiavi” che sia tenuto dal titolare del trattamento e al massimo da un suo delegato, nel quale vengono indicati i ruoli e i codici che dovranno essere periodicamente aggiornati per mitigare i rischi.Questo farà parte integrante della valutazione dei rischi e dovrà essere anche allegato al registro delle attività di trattamento.

Nel registro in questione devono essere annotate anche, ad esempio, le procedure per la consegna ed il ritiro delle chiavi, il numero delle stesse, e la loro gestione nel caso di cambio di mansione degli autorizzati; la registrazione dei controlli svolti e delle modifiche dei codici di allarme, pin e password (che andranno effettuati ad intervalli predefiniti); la gestione delle istruzioni agli autorizzati per la gestione dei dispositivi assegnati, comprese le modalità di comportamento in caso di furto/smarrimento e le istruzioni per i condòmini che avranno accesso a studio e dei fornitori.L'utilizzo dello strumento del registro delle chiavi può considerarsi per l'amministratore come un ulteriore elemento necessario alla dimostrazione del principio di accountability.