La norma ISO/IEC 27001 è una norma progettata per essere applicabile a tutte le Organizzazioni che trattano dati per conto terzi.[…] Il Garante Privacy stabilisce i requisiti aggiuntivi per l’accreditamento degli enti di certificazione di conformità al GDPR […].
Che cos’è la ISO/IEC 27001?
La Norma ISO/IEC 27001 definisce i requisiti necessari per l’implementazione di un Sistema di Gestione della Sicurezza delle Informazioni. Tale sistema ha lo scopo di consentire ad un’Organizzazione di controllare e garantire la salvaguardia in termini di riservatezza, disponibilità e integrità dei dati e delle informazioni che gestisce, anche e soprattutto per conto terzi.
I Destinatari
La norma ISO/IEC 27001 è una norma progettata per essere applicabile a tutte le Organizzazioni che trattano dati per conto terzi.
I vantaggi della certificazione
La certificazione consente di ottenere i seguenti vantaggi:
- possibilità di offrire maggiori garanzie ai clienti in merito alla capacità dell’Organizzazione di minimizzare i danni tramite riduzione e prevenzione dell’impatto degli incidenti contro la sicurezza delle informazioni;
- le evidenze generate da un Sistema di Gestione per la Sicurezza delle Informazioni aiutano a dimostrare alle autorità costituite la conformità a leggi e regolamenti;
- fattore esimente per la responsabilità amministrativa delle persone giuridiche per reati informatici;
- referenza riconosciuta a livello nazionale.
L’accreditamento degli enti di certificazione – i requisiti
Il Regolamento europeo prevede che il rilascio di certificazioni in materia di protezione dati sia effettuato da organismi accreditati a svolgere tali funzioni. In Italia, il legislatore ha affidato il compito dell’accreditamento ad Accredia.
Il provvedimento del Garante che contiene proprio questi requisiti aggiuntivi è stato adottato dopo il parere favorevole rilasciato dall’Edpb e stabilisce che Accredia verifichi che gli organismi certificatori soddisfino criteri di onorabilità, indipendenza e imparzialità, attestando l’assenza di conflitti di interesse con i soggetti che desiderano certificarsi.
L’Autorità sottolinea che la certificazione è un elemento importante in termini di responsabilizzazione – perché attesta, attraverso organismi indipendenti, l’impegno a conformarsi al Gdpr da parte dell’impresa o dell’ente che la ottengono – e contribuisce ad aumentare la fiducia degli utenti riguardo alla gestione dei loro dati personali.
La certificazione, tuttavia, ricorda l’Autorità, non esaurisce gli obblighi di osservanza del GDPR e, in ogni caso, lascia impregiudicati i compiti e i poteri di controllo del Garante.
