Che cos'è la conformità dei dati?

Che cos'è la conformità dei dati?

La conformità dei dati consiste ottemperare alle leggi e agli standard di settore per l'archiviazione, la gestione o l'elaborazione di informazioni personali o dati sensibili. Al fine di tutelare la privacy, oggi esistono diverse tipologie di normative riguardanti i dati personali e sensibili. Le organizzazioni che non rispettano tali normative possono incorrere in violazioni della privacy e, di conseguenza, vedersi comminare multe o altre sanzioni da parte degli organismi preposti.

Ai sensi delle normative sopra citate, gli individui hanno determinati diritti sui propri dati aventi carattere personale. Sia i diritti che il modo in cui questi essi vengono descritti possono variare a seconda delle giurisdizioni, in quanto non esiste un insieme di standard avente validità universale. Tuttavia, seguire le prassi raccomandate per la gestione delle informazioni personali (ad esempio, le Fair Information Practices) costituisce già un buon inizio per un'azienda che desideri raggiungere un livello ottimale di conformità.

Perché la conformità dei dati è importante?

Protezione della privacy individuale:

Il rispetto delle normative sulla privacy dei dati, come si può dedurre, aiuta a mantenere riservati i dati personali. Molti regolamenti sulla privacy conferiscono ai consumatori il controllo dei propri dati, consentendo loro di modificarli o, in alcuni casi, di eliminarli; inoltre, impongono alle organizzazioni che raccolgono tali dati di informare i consumatori su chi può accedervi e su come vengono utilizzati.

Molti (tra cui Cloudflare) considerano la privacy un obiettivo auspicabile in sé e per sé. Indipendentemente dalle opinioni personali su questo tema, le organizzazioni che rispettano la privacy dei consumatori hanno maggiori probabilità di essere considerate attendibili dai propri utenti e clienti.

Come evitare multe e altre sanzioni:

È bene che le organizzazioni che intendono operare in diverse regioni, e che vogliono evitare di incorrere in sanzioni e in altre conseguenze spiacevoli, tengano la conformità dei dati nella massima considerazione. Molti regolamenti, infatti, conferiscono ai tribunali locali un considerevole potere di imporre multe, sanzioni e altre penalità per punire le violazioni.

Ad esempio, le sanzioni previste dal Regolamento generale sulla protezione dei dati (GDPR) sono:

• Una violazione di primo livello comporta una multa massima di 10 milioni di euro o del 2% del fatturato annuo mondiale dell'azienda, a seconda di quale importo sia più elevato
• Una violazione di secondo livello comporta una multa massima di 20 milioni di euro o del 4% del fatturato annuo mondiale dell'azienda, a seconda di quale importo sia più elevato
• Oltre a queste sanzioni, quando un'azienda viola i loro diritti ai sensi del GDPR, le persone fisiche possono chiedere un risarcimento per danni

Come evitare le violazioni dei dati:

Sebbene i concetti di conformità dei dati e di messa in sicurezza degli stessi non siano sinonimi, è innegabile che i controlli imposti dalla maggior parte delle normative sulla privacy dei dati rendano questi ultimi più sicuri, riducendo la probabilità che si verifichino fuoriuscite di dati involontarie o fraudolente.

Conformità dei dati e sicurezza dei dati sono sinonimi?

Non proprio, anche se questi due concetti interagiscono tra di loro in qualche maniera. Ad esempio, la conformità dei dati prevede l'implementazione di controlli per assicurare che individui non autorizzati possano visionare i dati, e questo migliora anche il livello di sicurezza.

Tuttavia, conformità e sicurezza sono due attività distinte e, di fatto, a volte entrano in conflitto. Ad esempio, se un tool anti-malware esterno analizza tutti i file del personale, il livello di sicurezza aumenta. Tuttavia, qualora il tool non fosse conforme agli standard normativi prescritti, il suo utilizzo porrebbe l'organizzazione in una posizione di non conformità.

È importante che i team di un'organizzazione addetti alla sicurezza e alla privacy collaborino strettamente per fare in modo che l'impegno verso la sicurezza e quello verso la conformità non entrino in conflitto.

Quali sono i principali standard di conformità dei dati che devono essere seguiti?

Solitamente ogni regione dispone di normative proprie sui dati, gli organi legislativi ne approvano di nuove quasi a ciclo continuo. Le normative principali che tuttavia si applicano alle aziende che operano a livello globale sono le seguenti:

• Regolamento generale sulla protezione dei dati (GDPR): il GDPR è una legge completa sulla privacy dei dati che istituisce una cornice normativa per la raccolta, l'elaborazione, l'archiviazione e il trasferimento dei dati personali. Il GDPR si applica a tutte le organizzazioni che offrono beni e servizi a persone residenti nell'UE.
• Health Insurance Portability and Accountability Act (HIPAA): si tratta di una legge federale statunitense che disciplina le modalità di gestione delle informazioni sanitarie. Attualmente, gli Stati Uniti non dispongono di un quadro normativo generale sulla privacy dei dati, ma sono dotati di normative specifiche per settore, come l'HIPAA.
• Payment Card Industry Data Security Standard (PCI DSS): questo framework è gestito e applicato dal PCI Security Standards Council (PCI SSC), un gruppo del settore privato fondato da diverse società di carte di credito. Lo standard PCI DSS si applica alle aziende che elaborano transazioni con carte di credito o di debito.

Altri regolamenti che è bene conoscere sono il California Consumer Privacy Act (CCPA), la direttiva ePrivacy, il Controlling the Assault of Non-Solicited Pornography and Marketing Act (CAN-SPAM) e il Sarbanes-Oxley (SOX) Act.

Quali azioni intraprendere per raggiungere la conformità per i dati

La conformità dei dati è un impegno costante e non vi è mai una garanzia assoluta che un'organizzazione sia pienamente conforme. Tuttavia, l'adozione di determinate pratiche rende più probabile il raggiungimento di un alto livello di conformità.

• Inventario dei dati: un'organizzazione dovrebbe sapere quali dati possiede e dove si trovano. In questo ambito, è utile dotarsi di una strategia di data governance onnicomprensiva.
• Controllo degli accessi: questa pratica limita la disponibilità dei dati solo alle persone e ai servizi che ne hanno bisogno. In questo modo si riduce l'esposizione dei dati, si prevengono fenomeni di spostamento laterale da parte degli attaccanti e i mantengono i dati al sicuro. La visualizzazione di dati personali da parte di persone non autorizzate può, in alcuni casi, rendere un'organizzazione non conforme, pertanto il controllo degli accessi è fondamentale.
• Crittografare i dati a riposo e in transito: la crittografia rende i dati illeggibili, facendo in modo che solo le persone o i servizi autorizzati a decrittografarli possano visualizzarli o modificarli.
• Addestrare dipendenti e collaboratori: la formazione e l'istruzione sono estremamente importanti per prevenire violazioni e inadempienze accidentali.
• Registrare l'utilizzo dei dati ed eseguire audit: la registrazione consente alle organizzazioni di dimostrare la conformità alle autorità esterne, e aiuta a confermare che vengono seguite le corrette politiche sui dati.
• Conoscere e studiare le normative applicabili: a seconda di dove e in quale settore opera un'azienda e di dove si trovano i suoi clienti, i suoi dati potrebbero essere soggetti a una pluralità di normative. Le organizzazioni sono tenute ad assumere personale competente sulle normative vigenti e capace di essere d'aiuto negli ambiti di governance e compliance dei dati. Quest'ultimo è un requisito previsto da alcune normative: il GDPR impone alle organizzazioni di una certa dimensione di impiegare un «Responsabile della protezione dei dati».

Cloudflare è un'azienda costruita per la conformità, a offre alle organizzazioni le funzionalità e le soluzioni di cui hanno bisogno per rimanere conformi. La connettività cloud di Cloudflare semplifica la conformità offrendo controlli componibili in un'unica piattaforma. Scopri come Cloudflare semplifica la conformità dei dati.

DOMANDE FREQUENTI

Che cos'è la conformità dei dati?

La conformità dei dati è il processo di rispetto dei requisiti legali e normativi per la gestione e la protezione delle informazioni digitali. Le organizzazioni sono tenute, in base a diverse normative e leggi, a garantire il trattamento dei dati secondo regole specifiche per tutelare la sicurezza e rispettare la privacy degli utenti.

Perché la conformità dei dati è importante per le aziende di oggi?

Il rispetto delle normative aiuta le organizzazioni a proteggere le informazioni sensibili da accessi non autorizzati e potenziali violazioni dei dati. L'essere conformi rafforza la fiducia dei clienti e garantisce all'azienda di evitare sanzioni legali o multe salate da parte degli organismi di regolamentazione.

Quali sono alcune delle normative più comuni in materia di conformità dei dati?

A livello globale, esistono diverse importanti normative che regolano il modo in cui i dati vengono gestiti. Tra gli esempi principali si annoverano il Regolamento generale sulla protezione dei dati (GDPR) nell'UE, il California Consumer Privacy Act (CCPA) nello stato americano della California e l'Health Insurance Portability and Accountability Act (HIPAA) negli Stati Uniti, per quanto riguarda le informazioni sanitarie.

In che modo i requisiti di conformità dei dati variano nelle diverse regioni?

I requisiti variano notevolmente a seconda del luogo in cui opera un'azienda o di dove si trovano i suoi utenti. Molte regioni hanno implementato leggi sulla residenza dei dati, che impongono che determinate tipologie di dati rimangano entro i confini fisici del paese in cui sono stati raccolti.

Quali passi può intraprendere un'organizzazione per garantire la conformità dei dati?

Raggiungere la conformità implica identificare quali normative si applicano ai propri dati specifici e implementare controlli tecnici per proteggerli. Ciò spesso include l'utilizzo della crittografia, la gestione delle autorizzazioni di accesso e lo svolgimento di controlli periodici per garantire che tutti i processi interni soddisfino gli standard legali richiesti.

Conformità dei dati e sicurezza dei dati sono sinonimi?

Sebbene siano correlati, servono a scopi diversi. La sicurezza dei dati si concentra sugli strumenti e sulle pratiche concrete utilizzate per proteggere le informazioni dalle minacce, mentre la conformità dei dati è l'obbligo legale di rispettare specifici standard normativi. È possibile avere sicurezza senza essere pienamente conformi, ma la conformità di solito richiede misure di sicurezza rigorose.