Il modello GDPR per la valutazione del rischio dei fornitori di cui il tuo team privacy ha davvero bisogno

Punti chiave

Questo modello GDPR gratuito per la valutazione del rischio dei fornitori è creato su misura per i responsabili della protezione dei dati e i team privacy. Copre tutte le 10 disposizioni obbligatorie dell'articolo 28(3) del GDPR, le valutazioni d'impatto sui trasferimenti transfrontalieri allineate alle Raccomandazioni EDPB 01/2020, la mappatura della catena dei sub-responsabili ai sensi dell'articolo 28(2) e (4) e le verifiche di soddisfazione dei diritti degli interessati ai sensi degli articoli 15-22. Il modello include una matrice di valutazione del rischio integrata e un tracker di rimedio per una documentazione pronta per l'audit.

Definizioni

Che cos'è una valutazione del rischio dei fornitori?

Una valutazione del rischio dei fornitori è una valutazione sistematica delle pratiche di protezione dei dati, dei controlli di sicurezza e della conformità contrattuale di un fornitore di servizi terzo. Ai sensi del GDPR, i titolari del trattamento devono condurre una due diligence sui responsabili del trattamento prima e durante l'incarico per soddisfare il principio di responsabilizzazione di cui all'articolo 5(2). [GDPR art. 28]

Che cos'è una valutazione d'impatto sui trasferimenti (TIA)?

Una valutazione d'impatto sui trasferimenti (TIA) è una valutazione documentata necessaria quando si trasferiscono dati personali verso un Paese terzo privo di una decisione di adeguatezza dell'UE. La valutazione determina se il quadro giuridico del Paese di destinazione offra una protezione sostanzialmente equivalente. L'EDPB ha pubblicato linee guida dettagliate nelle Raccomandazioni 01/2020 a seguito della sentenza Schrems II (causa CGUE C-311/18). [Raccomandazioni EDPB 01/2020]

Che cos'è un accordo sul trattamento dei dati (DPA)?

Un accordo sul trattamento dei dati (DPA) è un contratto giuridicamente vincolante tra un titolare del trattamento e un responsabile del trattamento che definisce la materia, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati. L'articolo 28(3) del GDPR specifica 10 clausole obbligatorie che ogni accordo sul trattamento dei dati deve contenere.

Che cos'è l'EDPB?

Il Comitato europeo per la protezione dei dati (EDPB) è un organismo europeo indipendente istituito dal GDPR che contribuisce all'applicazione coerente delle norme sulla protezione dei dati in tutto lo SEE. Emana linee guida, raccomandazioni e decisioni vincolanti. [EDPB, Informazioni]

Statistiche e contesto

Secondo il Rapporto IAPP-EY 2023 sulla governance della privacy, l'organizzazione media gestisce rapporti con oltre 100 fornitori terzi che trattano dati personali, rendendo essenziale una valutazione strutturata del rischio dei fornitori per una conformità scalabile. Lo stesso rapporto ha rilevato che il 60% dei professionisti della privacy indica la gestione dei fornitori come una delle prime tre sfide operative. Il rapporto annuale 2023 dell'EDPB ha evidenziato un continuo aumento delle azioni di applicazione legate a una supervisione insufficiente dei responsabili del trattamento, con sanzioni per violazioni dell'articolo 28 che superano cumulativamente i 50 milioni di euro tra le autorità di controllo dello SEE. Secondo le previsioni 2023 di Gartner sulla privacy, entro il 2025 il 60% delle grandi organizzazioni utilizzerà strumenti automatizzati di valutazione del rischio dei terzi, rispetto a meno del 10% nel 2020.

Domande frequenti

Che cos'è una valutazione del rischio dei fornitori ai sensi del GDPR?

Una valutazione del rischio dei fornitori ai sensi del GDPR è una valutazione strutturata delle pratiche di protezione dei dati di un responsabile del trattamento terzo, della conformità contrattuale all'articolo 28, delle garanzie sui trasferimenti transfrontalieri e della capacità di supportare i diritti degli interessati ai sensi degli articoli 15-22. Aiuta i titolari del trattamento a dimostrare la responsabilizzazione ai sensi dell'articolo 5(2) e a documentare la due diligence per le autorità di controllo.

Cosa richiede l'articolo 28 del GDPR per gli accordi con i responsabili del trattamento?

L'articolo 28(3) del GDPR impone 10 disposizioni specifiche in ogni accordo sul trattamento dei dati: trattamento solo su istruzioni documentate, obblighi di riservatezza, misure di sicurezza adeguate ai sensi dell'articolo 32, autorizzazione dei sub-responsabili, assistenza nell'esercizio dei diritti degli interessati, cancellazione o restituzione dei dati al termine dei servizi, diritti di audit e dimostrazione della conformità. Questo modello valuta sistematicamente ciascuna disposizione.

Come gestisce questo modello il rischio dei trasferimenti transfrontalieri?

La sezione 3 è allineata alle Raccomandazioni EDPB 01/2020 sulle misure supplementari a seguito della sentenza Schrems II. Copre i meccanismi di trasferimento (clausole contrattuali tipo, decisioni di adeguatezza, norme vincolanti d'impresa), la valutazione delle leggi di sorveglianza del Paese di destinazione, le misure tecniche e organizzative supplementari e l'effettiva applicabilità dei diritti degli interessati nella giurisdizione ricevente.

Perché la mappatura dei sub-responsabili è importante per la conformità al GDPR?

Ai sensi dell'articolo 28(2) e (4) del GDPR, i titolari del trattamento devono autorizzare i sub-responsabili e garantire che gli obblighi del GDPR si trasmettano a cascata per via contrattuale lungo l'intera catena del trattamento. L'EDPB ha sottolineato che la responsabilità del titolare non termina al primo livello: si estende a ogni sub-responsabile della catena. Questo modello mappa le sedi, i ruoli nel trattamento e le garanzie contrattuali dei sub-responsabili.

Quanto dura una tipica valutazione del rischio dei fornitori?

Secondo il benchmarking interno di Priverion, i team privacy dichiarano di dedicare oltre 8 ore per fornitore alle valutazioni manuali del rischio usando modelli su foglio di calcolo. Un modello strutturato e su misura può ridurre significativamente i tempi di valutazione eliminando le domande di sicurezza irrilevanti e concentrandosi esclusivamente sugli obblighi specifici del GDPR, come la conformità all'articolo 28, la prontezza per il TIA e la capacità di soddisfacimento delle richieste degli interessati.

Questo modello è adatto alla conformità alla nLPD svizzera?

Sebbene sia progettato principalmente per il GDPR, molti requisiti coincidono con la revisione della legge federale svizzera sulla protezione dei dati (nLPD/nDSG) entrata in vigore il 1° settembre 2023. Le sezioni sui trasferimenti transfrontalieri, sui sub-responsabili e sui diritti degli interessati sono rilevanti per entrambi i quadri normativi. La piattaforma Priverion supporta nativamente i flussi di lavoro di conformità sia al GDPR sia alla nLPD.

Quale metodologia di valutazione del rischio utilizza il modello?

Il modello include una griglia di valutazione integrata che classifica il rischio del fornitore come Basso, Medio, Alto o Critico in base a risposte ponderate in tutte e sei le sezioni della valutazione. Questo approccio è allineato alla metodologia basata sul rischio raccomandata dal framework di gestione del rischio dell'ENISA e produce la classificazione del rischio difendibile e documentata che le autorità di controllo si aspettano durante gli audit.

Come si confronta Priverion con le valutazioni dei fornitori basate su fogli di calcolo?

Le valutazioni basate su fogli di calcolo mancano di controllo delle versioni, punteggio automatizzato, visibilità tra entità e tracciabilità degli audit. La piattaforma Priverion automatizza i flussi di lavoro sul rischio dei fornitori con questionari strutturati, punteggio del rischio in tempo reale, tracciamento della catena dei sub-responsabili e gestione dei rimedi: il tutto ospitato su infrastruttura svizzera secondo il diritto svizzero in materia di protezione dei dati.

Confronto: approcci alla valutazione del rischio dei fornitori