# Sicurezza nelle Attività di Trattamento dei Dati: Cosa Deve Sapere il Titolare del Trattamento

Il tema della sicurezza dei dati personali sta assumendo un’importanza sempre crescente nell’attuale contesto normativo e tecnologico. In particolare, il **Regolamento UE 2016/679**, noto come GDPR, raccoglie disposizioni fondamentali per garantire la protezione dei dati, e il suo articolo 28 stabilisce chiari obblighi per i titolari del trattamento quando collaborano con terzi. In questo articolo, esploreremo le principali evidenze delle garanzie di sicurezza che i titolari possono utilizzare per valutare e scegliere i propri partner nella gestione dei dati.

## Obblighi del Titolare del Trattamento

Il GDPR impone ai titolari del trattamento di prestare particolare attenzione nella selezione dei responsabili del trattamento, assicurandosi che questi forniscano garanzie appropriate per l’implementazione di misure tecniche e organizzative necessarie per la protezione dei dati. È fondamentale, dunque, che prima di procedere a qualsiasi affidamento, il titolare richieda evidenze delle misure di sicurezza adottate.

## Verifica dell’Adeguatezza delle Misure di Sicurezza

Una delle prime azioni da intraprendere è la verifica delle misure di sicurezza adottate dal partner. È consigliabile richiedere documentazione su diversi aspetti, tra cui:

– La presenza di un **Registro delle attività di trattamento** conforme all’articolo 30;
– L’adozione di un **Modello Organizzativo Privacy**;
– La designazione di un **Responsabile della Protezione dei Dati** (DPO);
– L’observanza delle disposizioni di sicurezza previste dall’articolo 32 del GDPR.

Il GDPR, in questo contesto, enfatizza il principio di integrità e riservatezza dei dati, obbligando i responsabili a valutare il rischio legato a potenziali violazioni, assicurarne la riservatezza e attuare formazione adeguata per il personale autorizzato ad accedere ai dati.

## Adesione a un Codice di Condotta

Un altro elemento chiave è l’adesione a un **codice di condotta** approvato o a meccanismi di certificazione, come indicato nelle sezioni relevant del GDPR. Queste adesioni possono fungere da prova di una gestione diligente e responsabile del trattamento dei dati, costituendo una garanzia aggiuntiva per i titolari.

## Esperienze Passate: Il Caso LAZIOcrea

Un caso emblematico di come tali misure possano diventare cruciali è rappresentato dai provvedimenti adottati dall’Autorità Garante Privacy nei confronti di LAZIOcrea, una società coinvolta in un significativo data breach. Il Garante ha messo in evidenza come la Regione Lazio e LAZIOcrea abbiano trascurato di adottare le necessarie misure di protezione e di informare tempestivamente l’autorità dopo la violazione. Questo episodio illustra l’importanza del monitoraggio e della verifica delle procedure di sicurezza da parte del titolare del trattamento.

## Certificazioni e Misure di Sicurezza

Le certificazioni, come quella ISO/IEC 27001, possono offrire ulteriori garanzie sulle misure di sicurezza adottate. La ISO 27001 è una norma internazionale che stabilisce i requisiti per un **Sistema di Gestione della Sicurezza delle Informazioni** (SGSI). Tuttavia, è importante notare che il possesso di tale certificazione non esonera il titolare del trattamento dalla responsabilità di monitorare e garantire la continua conformità alle normative vigenti.

### Limitazioni della Certificazione ISO 27001

Sebbene la certificazione ISO 27001 rappresenti un importante passo avanti nel garantire la sicurezza delle informazioni, non assicura a priori l’assenza di rischi o vulnerabilità. Inoltre, la certificazione è limitata a specifici ambiti di applicazione e deve essere considerata solo come un indicativo di buone pratiche piuttosto che una garanzia assoluta. Il titolare deve comunque effettuare un’analisi del rischio e valutare l’efficacia delle misure di protezione implementate.

## Normative per Infrastrutture Digitali e Servizi Cloud

Un’ulteriore dimensione da considerare è quella delle infrastrutture digitali e dei servizi cloud, soprattutto per le pubbliche amministrazioni, che devono conformarsi a regole specifiche nel loro processo di migrazione verso il cloud. Le tempestive mig