Sensibilizzazione alla privacy: cos’è, perché è importante e come formare i propri dipendenti

La maggior parte delle violazioni dei dati non è causata da hacker che superano i firewall. È invece causata da errori evitabili commessi dai dipendenti: l’invio di un file al destinatario sbagliato, il lasciare un documento su un’unità condivisa con autorizzazioni errate, l’utilizzo di un account e-mail personale per i dati di lavoro o il cadere vittima di un’e-mail di phishing che porta a un accesso non autorizzato. La sensibilizzazione alla privacy è la pratica organizzativa volta a garantire che i dipendenti comprendano cosa siano i dati personali, quali siano le loro responsabilità ai sensi di normative come il GDPR e come gestire i dati in modo da proteggere sia le persone fisiche che l’organizzazione.

Che cos’è la consapevolezza in materia di privacy?

La consapevolezza in materia di privacy è il grado di comprensione da parte dei dipendenti dei rischi legati alla privacy e delle loro responsabilità nel trattamento dei dati personali. Essa comprende sia la dimensione giuridica, ovvero ciò che prevedono normative come il GDPR, sia la dimensione pratica: ovvero il modo in cui tali requisiti si traducono nelle decisioni quotidiane relative alla raccolta, alla conservazione, alla condivisione e alla cancellazione dei dati.

Un dipendente con una spiccata consapevolezza in materia di privacy conosce la differenza tra dati personali e dati non personali, comprende perché alcune categorie di dati (dati sanitari, dati finanziari, opinioni politiche) richiedono una protezione maggiore, sa distinguere quando una richiesta di dati è legittima e quando potrebbe trattarsi di un tentativo di ingegneria sociale, e sa cosa fare se sospetta che si sia verificata una violazione dei dati.

La consapevolezza in materia di privacy è distinta dalla consapevolezza in materia di sicurezza, ma è strettamente correlata ad essa. La consapevolezza in materia di sicurezza si concentra sulla protezione dei sistemi e dei dati dalle minacce esterne. La consapevolezza in materia di privacy si concentra invece sul modo in cui i dipendenti stessi gestiscono i dati. In pratica, le due dimensioni si sovrappongono in modo significativo: un’e-mail di phishing che porta al furto delle credenziali costituisce sia un incidente di sicurezza sia una violazione della privacy.

Perché la sensibilizzazione alla privacy è importante: il GDPR e il fattore umano

Ai sensi del GDPR, le organizzazioni sono responsabili del trattamento dei dati personali, anche quando tale trattamento presenta delle irregolarità a causa di un errore commesso da un dipendente. Una violazione dei dati causata dall’invio accidentale, da parte di un dipendente, di un elenco di clienti a un indirizzo errato tramite e-mail costituisce comunque una violazione soggetta a segnalazione. L’organizzazione è tenuta a segnalarla all’autorità di controllo competente entro 72 ore, a informare eventualmente gli interessati e a dimostrare di aver adottato misure tecniche e organizzative adeguate.

Le “misure organizzative adeguate” includono esplicitamente la formazione del personale. Il GDPR non specifica esattamente quali debbano essere le modalità di tale formazione, ma le autorità di controllo interpretano sistematicamente tale requisito come una sensibilizzazione continua e pertinente al ruolo ricoperto, non come un modulo una tantum da completare il primo giorno di lavoro.

La maggior parte delle segnalazioni di violazioni del GDPR presentate all’Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) riguarda errori umani, non attacchi esterni. La formazione sulla sensibilizzazione alla privacy affronta la causa più comune del tipo più diffuso di violazione.

Al di là della semplice conformità normativa, la consapevolezza in materia di privacy tutela la fiducia che clienti, partner e dipendenti ripongono in un’organizzazione. Una violazione dei dati non è solo un evento di natura normativa, ma anche un problema di reputazione. Le organizzazioni in grado di dimostrare una vera e propria cultura della responsabilità in materia di privacy sono in una posizione migliore per mantenere tale fiducia quando si verificano incidenti.

Cosa significa, nella pratica, la consapevolezza in materia di privacy per i dipendenti

La sensibilizzazione alla privacy non significa trasformare i dipendenti in avvocati specializzati in materia. Significa fornire loro le conoscenze pratiche necessarie per gestire correttamente i dati nel loro specifico ruolo. Nella maggior parte delle organizzazioni, ciò si traduce in una serie di competenze fondamentali:

• Riconoscere i dati personali. Nomi, indirizzi e-mail, numeri di telefono, indirizzi IP, dati di localizzazione, informazioni sanitarie, dati finanziari: i dipendenti devono sapere cosa si intende per dati personali nel contesto del loro lavoro.
• Comprendere il principio del “need to know”. L’accesso ai dati personali dovrebbe essere consentito solo alle persone che ne hanno bisogno per lo svolgimento delle proprie mansioni. I dipendenti che comprendono questo principio sono meno propensi a condividere i dati in modo informale o a concedere accessi non necessari.
• Gestire correttamente le richieste relative ai dati. Cosa fare quando un cliente chiede di visionare i propri dati, ne richiede la cancellazione o si oppone al loro trattamento. Sapere che esiste una procedura da seguire e a chi rivolgersi in caso di necessità è più importante che conoscere ogni singolo dettaglio del GDPR.
• Gestione sicura dei dati nell'attività quotidiana. Invio di dati sensibili tramite canali crittografati, non archiviazione di dati personali in account di posta elettronica personali o unità condivise non protette, blocco dello schermo quando ci si allontana dalla postazione di lavoro, non discutere dei dati dei clienti in luoghi pubblici.
• Riconoscere e segnalare gli incidenti relativi alla privacy. Un’e-mail inviata per errore, un allegato inviato alla persona sbagliata, un dispositivo smarrito contenente dati non crittografati: i dipendenti che sanno che ciò costituisce una potenziale violazione e a chi segnalarla consentono alle organizzazioni di rispettare il termine di 72 ore per la notifica.

Formazione sulla consapevolezza in materia di privacy: come renderla efficace

Gli stessi principi che valgono per la formazione sulla sicurezza valgono anche per quella sulla privacy: sessioni brevi, regolari e mirate al ruolo specifico sono preferibili a quelle lunghe, sporadiche e generiche. Un modulo di e-learning annuale di 30 minuti sul GDPR garantisce la conformità solo sulla carta. Non modifica in modo affidabile il modo in cui un addetto al servizio clienti gestisce una richiesta di accesso da parte di un interessato sei mesi dopo.

Una formazione efficace sulla sensibilizzazione alla privacy presenta diverse caratteristiche:

• Basata su scenari. Una formazione che presenta situazioni realistiche, del tipo: “Ricevi un’e-mail in cui ti viene chiesto di inoltrare i dati personali di un cliente a una terza parte; cosa fai?”, sviluppa le capacità decisionali, non solo le conoscenze.
• In linea con il ruolo. I rischi legati alla privacy che deve affrontare un team di assistenza clienti sono diversi da quelli del settore finanziario, delle risorse umane o dell’IT. Una formazione che si riferisca al lavoro quotidiano effettivo di un dipendente ha maggiori probabilità di essere assimilata e messa in pratica.
• Si ripete regolarmente. Le normative sulla privacy si evolvono. Le pratiche di trattamento dei dati cambiano. Un nuovo strumento o processo può comportare nuovi rischi per la privacy. La formazione continua garantisce che la consapevolezza stia al passo con questi cambiamenti.
• Documentata. La capacità di dimostrare che la formazione è stata completata, indicando chi, quando e cosa, costituisce di per sé un requisito di conformità. Una formazione che lascia una traccia verificabile ha un valore significativamente maggiore rispetto a una formazione che non lo fa.

La piattaforma di formazione sulla sensibilizzazione alla sicurezza di Guardey include la privacy nell’ambito del suo programma più ampio, offrendo alle organizzazioni un’unica piattaforma dedicata sia alla sicurezza che alla privacy, con le funzionalità di monitoraggio e rendicontazione necessarie per soddisfare sia i revisori che i responsabili della protezione dei dati.