GDPR art. 32: misure di sicurezza adeguate spiegate in pratica

L'articolo 32 del GDPR è uno dei più citati e, insieme, uno dei meno compresi. Non contiene un elenco di prodotti da comprare né una lista chiusa di adempimenti: chiede misure "adeguate". Per molte PMI questa formula è fonte di incertezza, perché lascia all'azienda il compito di decidere cosa è sufficiente e di saperlo dimostrare.

Cosa dice l'articolo 32

Il Regolamento (UE) 2016/679 chiede al titolare e al responsabile del trattamento di mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio.

Per stabilire cosa è adeguato si tiene conto di:

• stato dell'arte, cioè le soluzioni ragionevolmente disponibili;
• costi di attuazione;
• natura, ambito, contesto e finalità del trattamento;
• rischio per i diritti e le libertà delle persone, valutato per probabilità e gravità.

L'articolo indica poi alcuni esempi di misure, "tra le altre, se del caso": pseudonimizzazione e cifratura; capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi; capacità di ripristinare tempestivamente la disponibilità dei dati dopo un incidente; una procedura per testare e valutare regolarmente l'efficacia delle misure.

Adeguato non significa massimo

Il principio chiave è la proporzionalità. Uno studio professionale che tratta dati sanitari dei clienti ha esigenze diverse da un'azienda che gestisce solo anagrafiche di fornitori. Non esiste una soglia unica: esiste una valutazione del rischio, documentata, da cui discendono scelte motivate.

In caso di verifica o di violazione, la domanda non sarà "avevate il prodotto X?", ma "perché avete ritenuto queste misure sufficienti, e come avete verificato che funzionassero?".

Le misure tecniche in pratica

Tradotte nella realtà di una PMI, le misure più ricorrenti sono:

• Controllo degli accessi: account personali, password robuste, privilegi limitati a ciò che serve, rimozione tempestiva degli utenti cessati.
• Autenticazione a più fattori su posta elettronica, accessi remoti e servizi cloud come Microsoft 365 o Google Workspace.
• Aggiornamenti regolari di sistemi operativi e applicazioni, e dismissione dei sistemi non più supportati.
• Protezione degli endpoint e della posta contro malware e phishing.
• Cifratura dei portatili, dei dispositivi mobili e dei supporti rimovibili, e delle comunicazioni.
• Backup con copie isolate dalla rete principale e prove di ripristino periodiche: è il modo concreto di garantire la disponibilità e il ripristino tempestivo richiesti dalla norma.
• Registrazione degli eventi (log) per ricostruire chi ha fatto cosa in caso di problemi.
• Sicurezza della rete: firewall configurato, rete ospiti separata, accessi remoti protetti.

Le misure organizzative

La tecnologia da sola non basta. Le misure organizzative sono spesso quelle che mancano:

• policy sull'uso degli strumenti aziendali, delle password e dei dispositivi personali;
• istruzioni scritte e formazione per le persone autorizzate al trattamento;
• nomine e contratti con i fornitori che trattano dati per conto dell'azienda, con requisiti di sicurezza chiari;
• procedura per le violazioni di dati personali, per rispettare le tempistiche degli artt. 33 e 34 (vedi la nostra guida al data breach);
• gestione dei dispositivi in ingresso e in uscita, inclusa la cancellazione sicura.

Testare e documentare: la parte che si dimentica

L'art. 32 chiede esplicitamente una procedura per testare e valutare regolarmente l'efficacia delle misure. In pratica significa:

1. provare i ripristini da backup, non limitarsi a controllare che il backup "sia andato a buon fine";
2. verificare le vulnerabilità dei sistemi esposti e interni con scansioni periodiche;
3. controllare gli account: chi ha accesso a cosa, e se ne ha ancora bisogno;
4. rivedere le policy quando cambiano processi, sistemi o fornitori;
5. conservare le evidenze di tutto questo.

Le evidenze sono ciò che permette di dimostrare la conformità, secondo il principio di responsabilizzazione del GDPR.

Il legame con la NIS2

Per le aziende che rientrano anche nella NIS2, molte misure si sovrappongono: gestione degli accessi, backup, continuità operativa, gestione degli incidenti. Conviene impostare un unico sistema di gestione della sicurezza, invece di due percorsi paralleli che duplicano documenti e sforzi.

Checklist essenziale

• ☐ Valutazione del rischio documentata
• ☐ MFA su posta e accessi remoti
• ☐ Backup isolati e ripristini testati
• ☐ Dispositivi portatili cifrati
• ☐ Aggiornamenti gestiti e sistemi obsoleti dismessi
• ☐ Policy e formazione per il personale
• ☐ Verifiche periodiche con evidenze conservate

Come può aiutarti Area GUI

Area GUI si occupa delle misure tecniche che sostengono la conformità all'art. 32: gestione e aggiornamento dei sistemi, sicurezza gestita, backup e verifiche periodiche, con report utili come evidenza. Per valutare la tua situazione puoi contattarci.