Manutenzione IT
e GDPR

Non con queste parole: il regolamento non menziona i contratti di manutenzione. Quello che richiede è applicare misure tecniche e organizzative adeguate a proteggere i dati, ed essere in grado di dimostrare che vengono applicate in modo continuativo, non solo il giorno in cui si è firmato un documento. In pratica, buona parte di queste misure tecniche è informatica: che i backup funzionino e si verifichi che si ripristinano, che i sistemi siano aggiornati, che gli accessi siano controllati e revocati quando qualcuno lascia l'azienda, e che esista una capacità reale di rilevare un incidente e sapere cosa fare. Niente di tutto questo si regge da solo nel tempo: un sistema ben configurato oggi si degrada se nessuno lo ricontrolla dopo. Per questo la manutenzione informatica non è un capriccio tecnico aggiunto alla conformità normativa: è la parte che la tiene viva mese dopo mese, invece di ridurla a una carta firmata una volta.

Sì, ed è la cosa che più ci sorprende trovare non firmata in aziende che per il resto hanno la documentazione GDPR in ordine. Se il Suo fornitore informatico accede ai computer in cui ci sono dati di clienti, pazienti o dipendenti —e per fare assistenza tecnica ci accede, anche solo occasionalmente—, sta trattando dati personali per Suo conto. Questo lo rende responsabile del trattamento, e quel rapporto deve essere regolato da un contratto separato da quello di servizio: quali dati può toccare, per quale finalità, quale riservatezza impone al suo personale, quali misure di sicurezza applica, se può subappaltare e a quali condizioni, e cosa succede ai dati quando il rapporto finisce. Un fornitore serio lo propone di sua iniziativa senza che Lei debba chiederlo. Se il Suo si stupisce quando gli chiede di quel contratto, questo Le dice già qualcosa su come gestisce il resto dei suoi obblighi nei Suoi confronti.

Qualsiasi incidente che comporti distruzione, perdita, modifica o accesso non autorizzato a dati personali è una violazione: un ransomware che cifra il server, un portatile rubato senza cifratura, un'email con dati di clienti inviata alla persona sbagliata, persino un dipendente che consulta pratiche senza motivo. Non serve che ci sia intenzione né che i dati escano dall'azienda. Quando l'incidente comporta un rischio reale per i diritti delle persone interessate, va notificato all'autorità di controllo senza ingiustificato ritardo e, come riferimento, entro 72 ore da quando se ne viene a conoscenza. È un termine breve per improvvisare, quindi conviene averlo deciso in anticipo: chi valuta il rischio, chi redige la notifica e chi avvisa gli interessati se necessario. Documentarlo, anche se alla fine non si notifica perché il rischio è considerato basso, è altrettanto obbligatorio: l'assenza di registrazione è di per sé una mancanza.

È una parte, e non quella che fa la differenza quando arriva un reclamo o un'ispezione. Quello che quasi nessuna azienda ha documentato è ciò che regge il resto: chi ha accesso a quali sistemi e perché, cosa si fa esattamente il giorno in cui qualcuno lascia l'azienda, con quale frequenza si verifica che i backup si ripristinino davvero e non solo che il processo sia stato eseguito, e cosa si farebbe nelle prime ore se scattasse un allarme di sicurezza. Essere conformi al GDPR non significa avere antivirus e backup installati: significa poter dimostrare che entrambi funzionano e che dietro chi accede a ciascun dato c'è un criterio. Questa parte documentale è la prima che viene richiesta se un giorno bisogna rispondere all'autorità di controllo, ed è anche la prima che si dimentica, perché nel quotidiano non crea problemi visibili, finché all'improvviso non li crea.

Gli obblighi sono gli stessi a prescindere dalle dimensioni; cambia il modo proporzionato di adempierli, non il fatto di doverli adempiere. Una piccolissima impresa non ha bisogno della stessa struttura di una con cento dipendenti, ma ha bisogno delle stesse garanzie di fondo: che i dati siano protetti, che lo si possa dimostrare e che ci sia un minimo di controllo su chi accede a cosa. C'è una sfumatura che spesso si dimentica: le dimensioni dell'azienda non dicono nulla sulla delicatezza dei dati che tratta. Uno studio di due persone o un piccolo ambulatorio trattano dati sanitari o economici più delicati di molte grandi aziende che gestiscono solo ordini e fatture. Se ha dubbi sul livello di rigore che Le spetta esattamente per la Sua attività, è una domanda per uno specialista in protezione dei dati; ciò che dipende dall'informatica —backup, accessi, cifratura— vale allo stesso modo qualunque siano le Sue dimensioni.

Il tempo di risposta è quanto impiega qualcuno a prendere in carico la segnalazione: rispondere al telefono, aprire il ticket, confermare che se ne sta occupando. Il tempo di risoluzione è quanto ci vuole perché il problema sia risolto davvero, e può essere molto più lungo se serve ordinare un ricambio, ripristinare un backup di grandi dimensioni o coordinarsi con un terzo. Quasi tutti i contratti di manutenzione garantiscono per iscritto il primo, con cifre chiare, e lasciano il secondo a un generico «il prima possibile» che non impegna a nulla di concreto. La differenza conta perché è quella che Lei subisce davvero: ricevere una risposta in quindici minuti serve a poco se il sistema è ancora fermo sei ore dopo quella telefonata. Prima di firmare conviene chiedere esplicitamente quale dei due viene garantito, con quale cifra, e cosa succede se non viene rispettato. Se parlano solo di risposta, probabilmente Le stanno vendendo meno di quanto sembri a prima vista.

Per una piccolissima impresa con poca infrastruttura e poco rischio può avere senso, soprattutto all'inizio. Il problema si presenta col tempo: le ore singole si chiedono quando qualcosa si è già guastato, quindi vengono sempre spese per spegnere l'incendio del momento e mai per la prevenzione, che è proprio ciò che evita che l'incendio scoppi. Controllare i backup, verificare gli aggiornamenti, rivedere gli accessi o tenere aggiornata la documentazione GDPR non genera una chiamata urgente, quindi in un modello a ore tende a non farsi mai, per mancanza di occasione. Se comunque sceglie di procedere a ore, ha senso riservare esplicitamente una quota fissa all'anno per la revisione preventiva, invece di aspettare che avanzi budget. Non appena l'azienda cresce o tratta dati più delicati, un canone che includa quel lavoro preventivo di solito costa meno delle ore che si risparmiano reagendo tardi.

Deve essere previsto per iscritto nel contratto, non improvvisato il giorno in cui decide di cambiare fornitore. Deve indicare almeno tre cose: la restituzione o la cancellazione dei dati a cui il fornitore uscente ha avuto accesso, la consegna di credenziali, password e documentazione tecnica del sistema, e la conferma di chi è il titolare effettivo di domini, licenze e account cloud sottoscritti. Quest'ultimo punto è più frequente di quanto sembri: non è raro trovare domini o licenze di posta registrati a nome del fornitore e non dell'azienda, il che trasforma un cambio semplice in un blocco lungo. È anche il momento in cui vengono a galla i contratti fatti male o del tutto inesistenti: se non si è mai firmato nulla, non c'è niente a cui appigliarsi per pretendere quella restituzione. Per questo conviene rivedere questa clausola prima di doverla usare, non quando serve con urgenza.