Source: https://www.cineca.it/index.php/sistemi-informativi-universita/dematerializzazione/servizio-di-supporto-al-gdpr
Timestamp: 2020-08-03 18:28:06+00:00
Document Index: 107422781

Matched Legal Cases: ['art. 25', 'art. 35', 'art. 30', 'art. 32', 'art. 33', 'art. 7']

Servizio di supporto al GDPR | Cineca
La soluzione di supporto offerta dal nostro consorzio, GDP Cineca, copre le seguenti aree del GDPR:
Privacy by design e Privacy by default (art. 25)
DPIA – Data Protection Impact Assessment (art. 35)
Tenuta registro trattamenti (art. 30)
Misure di sicurezza (art. 32)
Richieste soggetti interessati (artt. 12, 13, 14)
Notifica di violazioni (art. 33)
Archivio consensi (art. 7)
L'applicativo risponde alle seguenti esigenze:
Registro dei trattamenti in qualità di Titolare del trattamento
Registro dei trattamenti in qualità di Responsabile del trattamento
Gestione degli asset: sedi, infrastrutture e strumenti di lavoro
Integrazione con la soluzione Cineca di gestione risorse umane, organigramma, ruoli e funzioni
Registro degli incidenti e dei data breach
Gestione mansionari e lettere di incarico
Strumento di document composition
Integrazione con la soluzione di Gestione documentale
Registro del Titolare e del Responsabile del trattamento
GDP Cineca consente la gestione dei registri in qualità sia di titolare sia di responsabile. La funzione si basa su una tabella dei soggetti coinvolti -titolari, responsabili esterni, DPO- e sull’associazione per ogni trattamento dei relativi soggetti con relativo ruolo. La tabella dei soggetti consente di raccogliere, oltre ai dati di contatto, informazioni aggiuntive utili anche ai fini della valutazione del rischio, come eventuali certificazioni o codici di condotta.
La funzione Asset Inventory permette la completa gestione degli asset -server, database e applicazioni- dell’organizzazione, classificati secondo standard descrittivi riconosciuti, e di associarli a specifici trattamenti, uffici, ruoli o persone.
È possibile definire Access Control List (ACL) specifiche per diversi elementi di raggruppamento, come ad esempio sede o tipologia.
Ogni modifica agli asset è storicizzata ed è possibile percorrerne la situazione lungo un asse temporale, anche attraverso l’esportazione di documenti che fotografano le modifiche.
GDP Cineca ha un modulo di valutazione dei rischi che si basa su una serie di tabelle: tipologia del rischio, tipologia asset, eventi rischiosi, tipologia misure di sicurezza, misure di sicurezza, livelli di rischio, matrice rischio lordo, matrice rischio netto, elementi di score.
Il sistema consente di effettuare tre livelli di analisi del rischio:
1) analisi complessiva del rischio di contesto sui dati del trattamento: responsabili, asset, tipo dati, categorie soggetti interessati, numerosità soggetti interessati, modalità trattamento ecc.. Il sistema utilizza una tabella di scoring che censisce e parametrizza gli elementi che concorrono al calcolo del rischio del trattamento. La funzionalità consente di avere un primo livello di rischio, utile in particolare per capire la necessità di effettuare un DPIA o meno.
2) analisi rischio inerente o lordo: a questo livello sono indicate sono le minacce a cui un trattamento può essere soggetto. Indicando probabilità e impatto per ogni minaccia, il sistema calcola in automatico il livello di rischio lordo di quel trattamento attraverso la matrice di rischio lordo.
3) analisi del rischio residuo o netto: per ogni evento rischioso o minaccia, vengono indicate le misure di sicurezza adottate con il relativo livello di efficacia, in modo che si possa effettuare, attraverso la matrice del rischio netto, il livello di rischio residuo del trattamento.
Il sistema genera un prospetto generale con il dettaglio dei tre livelli di rischio e degli elementi che concorrono alla valutazione; se il trattamento è legato ad asset per i quali è stata già fatta l’analisi del rischio, il sistema eredita tale analisi. L’analisi del rischio fa riferimento a principi normativi e standard emanati da WP29, ISO, ENISA, CNIL.
Per ogni trattamento è prevista la funzionalità DPIA che indica l’opportunità di procedere alla produzione di un Data Protection Impact Assessment (DPIA) per il trattamento stesso.
È possibile sottoporre il processo ad un workflow di lavorazione, con indicazione del responsabile del DPIA, e coinvolgere nella redazione soggetti differenti (IT, Sicurezza e Compliance). Tra le sezioni previste quella per l’inserimento del parere del DPO e quella di consultazione con il Garante. In automatico il sistema calcola la validità del DPIA in base al rischio; tutte le modifiche vengono storicizzate e viene creata una versione del DPIA. Dal cruscotto di visualizzazione viene verificato lo stato di lavorazione e la data di scadenza pianificata, nonché effettuata una eventuale revisione.
Funzione che permette di gestire e tracciare le richieste pervenute da parte di soggetti interessati. La funzione ha al suo interno un workflow che prevede la definizione degli stati di lavorazione della pratica e di profili abilitati.
La funzione consente di:
registrare i dati del soggetto richiedente e del documento di richiesta
allegare il documento di consenso
produrre schede informative dei trattamenti a cui il soggetto è associato
allegare documentazione con i dati specifici del soggetto in possesso del titolare
allegare la risposta finale inviata al soggetto richiedente
monitorare i giorni di lavorazione della pratica e attivare eventuali alert
Funzione che consente la gestione e la tracciatura degli eventi di violazione dei dati e prevede la definizione di stati di lavorazione e di profili abilitati.
Stati di lavorazione:
• in lavorazione, valorizzato in automatico in fase di creazione della pratica
• notificata al Garante, valorizzato in automatico se la violazione è stata notificata al Garante
• notificata al Garante e ai soggetti interessati, valorizzato in automatico se la violazione è stata notificata al Garante e ai soggetti interessati
registrare i dati generali della violazione (data, natura, eventuale id nel sistema di Incident Management)
produrre in maniera automatica i template per notificare al garante e ai soggetti interessati
allegare i documenti finali da inviare al garante e ai soggetti interessati
generare in modo automatico, in base ai trattamenti coinvolti, le informazioni relative a:
categorie soggetti interessati
utilizzo o meno di misure di sicurezza forti
GDP Cineca mette a disposizione un modulo di document composition tramite il quale definire una serie di layout documentali predefiniti e utilizzabili all'interno della procedura sia in modalità on demand sia in maniera automatica (generazione lettera di incarico del responsabile esterno, generazione del modulo di notifica al garante per la violazione ecc.). Il sistema prevede un motore per l’invio di notifiche agli utenti che devono firmare o approvare i documenti. È possibile integrare nel sistema strumenti di firma digitale.
Integrazione con la soluzione di Gestione documentale (Titulus)
La soluzione prevede la possibilità di gestire il salvataggio dei documenti sia a livello proprietario, presso unità di rete raggiungibili dall'applicativo, sia tramite il sistema di Gestione documentale (Titulus). Ai fini dell'integrazione, è sufficiente fornire le modalità di accesso ai servizi documentali utilizzati che si intendono integrare. Ove richiesto, può essere integrato anche il sistema di firma digitale di Cineca.