Modelli e registrazioni · ISO 27701 · Punto 6.1.2 y 8.2
Modello di valutazione dei rischi per la privacy ISO 27701
L’analisi che decide quali controlli servono: che cosa può andare storto con i dati personali, quanto danno farebbe alle persone e chi si occupa di ciascun rischio.
In una frase
La valutazione dei rischi per la privacy individua i rischi legati al trattamento di dati personali, ne stima la probabilità e le conseguenze per le persone e per l’organizzazione, li confronta con i criteri di accettazione e assegna un titolare a ciascuno, perché i punti 6.1.2 e 8.2 della ISO/IEC 27701:2025 chiedono di definire il processo, applicarlo a intervalli pianificati e conservarne i risultati.
- Dove lo richiede la norma
- ISO 27701 · Punto 6.1.2 y 8.2 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
- Tipo di informazione
- Registrazione obbligatoria Informazioni documentate da conservare (6.1.2 e 8.2)
- Chi lo compila
- Responsabile del PIMS, con i proprietari dei trattamenti L’RPD fornisce consulenza; il titolare del rischio accetta il rischio residuo
- Quando
- A intervalli pianificati e in caso di cambiamenti significativi Di solito una revisione annuale e un’altra ogni volta che entra un nuovo trattamento o un nuovo sistema
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione Né la norma né il GDPR fissano un termine per la registrazione in sé; il principio di limitazione della conservazione (art. 5.1.e GDPR) obbliga a giustificare quello scelto.
Che cosa richiede la norma
Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione
La norma chiede di definire un processo di valutazione dei rischi privacy con criteri di accettazione e di valutazione, che dia risultati coerenti e confrontabili, e di applicarlo per identificare, analizzare e ponderare i rischi con il loro titolare. Il metodo —qualitativo, a matrice, per scenari— lo sceglie l’organizzazione.
La valutazione si ripete a intervalli pianificati e quando ci sono cambiamenti significativi (8.2), e bisogna conservare sia la descrizione del processo sia i risultati di ogni valutazione.
La specificità della privacy è guardare al danno per le persone, non solo per l’azienda. Il GDPR va nella stessa direzione quando chiede misure adeguate al rischio per i diritti e le libertà (artt. 24 e 32).
Struttura
Campi che il modello deve contenere
- Trattamento o asset valutato
- Scenario di rischio: che cosa può succedere e perché
- Conseguenze per gli interessati e per l’organizzazione
- Probabilità e livello di impatto secondo i criteri
- Livello di rischio risultante e confronto con il criterio di accettazione
- Titolare del rischio
- Opzione di trattamento e controlli dell’Appendice A associati
- Rischio residuo e accettazione da parte del titolare
- Data della valutazione e prossima revisione
Esempio
Esempio: rischio nel portale clienti di una clinica fittizia
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Trattamento | RAT-02 · Appuntamenti e referti nel portale pazienti · Clinica Arno (fittizia) |
| Scenario | Accesso di un terzo ai referti di laboratorio per riutilizzo delle password |
| Conseguenze | Divulgazione di dati sanitari: danno elevato per il paziente; notifica della violazione e perdita di fiducia |
| Ponderazione | Probabilità media × impatto alto = rischio alto (criterio di accettazione: medio) |
| Titolare del rischio | Direzione sanitaria |
| Trattamento del rischio | Mitigare: doppio fattore obbligatorio e avviso di accesso via e-mail |
| Rischio residuo | Basso · Accettato dalla direzione sanitaria il 9 aprile 2026 |
| Revisione | Aprile 2027 o prima se cambia il portale |
In audit
Errori che gli auditor rilevano più spesso
- Si riusa la valutazione di sicurezza della ISO 27001 senza ponderare l’impatto sulle persone.
- I criteri di accettazione non sono scritti e ogni valutatore assegna i punteggi a modo suo.
- Nessun rischio ha un titolare al di fuori del reparto IT.
- La valutazione non è stata ripetuta dopo l’ingresso di un fornitore cloud che tratta dati sanitari.
- Il rischio residuo non è stato accettato da nessuno con l’autorità per farlo.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1I rischi si registrano nella matrice dei rischi con titolare, ponderazione e trattamento.
- 2Ogni rischio è collegato al trattamento del registro delle attività e ai controlli della dichiarazione di applicabilità.
- 3La revisione periodica resta programmata con avviso di scadenza.
- 4Le violazioni e le non conformità correlate alimentano la mappa dei rischi.
Domande frequenti
Cosa ci chiedono prima di iniziare
È la stessa cosa della valutazione d’impatto del GDPR?
No. La valutazione dei rischi copre tutti i trattamenti del campo di applicazione e alimenta il sistema; la valutazione d’impatto dell’articolo 35 è un’analisi approfondita, obbligatoria solo quando un trattamento può presentare un rischio elevato. La prima di solito segnala quando serve la seconda.
Si può combinare con quella della ISO 27001?
Sì, con un’unica metodologia e criteri ampliati per ponderare il danno alle persone. Quello che non va bene è dare per scontato che un rischio di sicurezza basso per l’azienda sia basso anche per l’interessato.
Gestisca le registrazioni ISO 27701 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Rischi privacy e pianificazione
Valutare i rischi privacy (6.1.2), trattarli con una dichiarazione di applicabilità (6.1.3) e fissare…
Modello di registro delle attività di trattamento ISO 27701
Che cosa deve contenere il registro delle attività di trattamento in un PIMS ISO 27701 e per l’art. 30 del…
Modello di inventario dei dati personali ISO 27701
Come impostare un inventario dei dati personali per un PIMS ISO 27701: dove si trovano i dati, in quali…
Modello di dichiarazione di applicabilità ISO 27701
Cosa deve contenere la dichiarazione di applicabilità di un PIMS ISO 27701: controlli dell’Appendice A…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022