1. Individuare i trattamenti esposti
Si identificano i sistemi che trattano dati personali e che sono raggiungibili da internet: siti, portali, applicazioni, API, pagine di registrazione e di login.
GDPR · Articolo 32 · Sicurezza del trattamento · Da €490
GDPR art. 32: dimostra la verifica tecnica delle misure di sicurezza
L'articolo 32 chiede misure tecniche e organizzative adeguate al rischio e una procedura per testarne e valutarne regolarmente l'efficacia. Una verifica tecnica documentata è la prova più concreta che questo lavoro è stato fatto, e la più utile da mostrare al DPO e in caso di audit.
Cosa dice davvero l'articolo 32
L'articolo impone al titolare e al responsabile del trattamento di garantire un livello di sicurezza adeguato al rischio. Tra i criteri indicati ci sono la pseudonimizzazione e la cifratura dei dati, la capacità di assicurarne riservatezza, integrità e disponibilità, la capacità di ripristino in caso di incidente e, appunto, una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure.
Quest'ultimo punto è quello che un penetration test o un vulnerability assessment dimostrano in modo diretto: non che le misure esistano sulla carta, ma che reggono davanti a chi prova a forzarle.
Dal rischio alla prova: come la verifica si collega all'articolo
Un percorso in quattro passaggi, che rende la verifica coerente con l'analisi dei rischi.
2. Verificare le misure dichiarate
Controlliamo autenticazione, controllo degli accessi tra utenti, protezione delle sessioni, validazione degli input e configurazioni. Sono le misure che l'analisi dei rischi indica come necessarie.
3. Documentare l'esito
Il report indica cosa è stato testato, con quale metodo, quali vulnerabilità sono state confermate e quale impatto potrebbero avere sui dati personali.
4. Correggere e ripetere
Le correzioni vengono riverificate. La procedura si ripete a intervalli coerenti con il rischio e dopo le modifiche rilevanti.
Perché una vulnerabilità diventa un tema privacy
Una falla su un sito o su un'applicazione non è solo un problema tecnico. Se permette l'accesso a dati personali di altri utenti, può trasformarsi in una violazione di dati da valutare secondo gli articoli 33 e 34, che prevedono la notifica all'autorità di controllo entro 72 ore dalla conoscenza dell'evento, nei casi previsti.
Per questo la verifica tecnica non serve solo a correggere: serve a sapere in anticipo quali dati potrebbero essere esposti, e a decidere con criterio. È un tema da condividere con il DPO prima che con lo sviluppo.
Cosa ottieni dalla verifica
Test dell'efficacia
Verifichiamo se le misure dichiarate reggono davvero contro le vulnerabilità applicative più comuni, con prove riproducibili.
Mappa delle esposizioni sui dati
Per ogni vulnerabilità indichiamo quali dati personali potrebbero essere raggiunti e con quale livello di impatto.
Evidenza per accountability
Report e attestazione firmata costituiscono documentazione utile per la responsabilizzazione del titolare e per il confronto con il DPO.
Priorità di correzione
Un ordine di intervento basato sul rischio per le persone interessate, non solo sulla gravità tecnica, con la riverifica finale.
Cosa la verifica non dimostra
Un penetration test non è una valutazione di conformità al GDPR. Non sostituisce il registro dei trattamenti, la valutazione d'impatto (DPIA) dove prevista, le basi giuridiche, le informative e la gestione dei diritti degli interessati.
Dimostra una parte specifica e importante: l'efficacia delle misure tecniche sui sistemi esposti. Va inserita nel quadro complessivo di accountability che il titolare costruisce.
Come si prepara la verifica per il DPO
Il DPO è il lettore naturale del report. Alcune scelte semplificano il lavoro di entrambi.
Il perimetro sui trattamenti
Indicate quali applicazioni trattano dati personali. La verifica si concentra lì, e il report lo dichiara.
Gli account di prova
Se l'applicazione ha più ruoli o utenti, servono account di prova distinti, così che il controllo tra utenti sia verificabile.
Il canale per gli esiti
Definite in anticipo chi riceve i risultati e con quali tempi, in modo che il DPO sia informato delle vulnerabilità rilevanti.
La riverifica
La prova finale mostra lo stato dopo le correzioni: è il documento che il DPO archivia accanto alla valutazione iniziale.
Quanto costa
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa, per un dominio o un'applicazione esterna con i suoi sottodomini. Per più domini il prezzo è su preventivo; il piano Enterprise e NIS2 parte da €4.900. Il listino completo è nella home.
Domande frequenti su GDPR e sicurezza tecnica
Il penetration test è obbligatorio per il GDPR?
Il GDPR non prescrive un test specifico, ma richiede di testare, verificare e valutare regolarmente l'efficacia delle misure (art. 32, par. 1, lett. d). Un test documentato è uno dei modi più solidi per farlo.
Il report può essere usato con il DPO?
Sì. Documenta cosa è stato testato, quando, con quale esito e quali azioni correttive: materiale utile per il confronto con il DPO e per la documentazione di accountability.
Quali dati vengono trattati durante il test?
Limitiamo l'accesso ai dati allo stretto necessario per dimostrare un'esposizione, e concordiamo per iscritto le modalità. Il test si svolge solo sul perimetro autorizzato.
Una vulnerabilità trovata va notificata?
La verifica non sostituisce le valutazioni del titolare. Se una vulnerabilità ha già portato a un accesso non autorizzato a dati personali, la valutazione sulla notifica (artt. 33 e 34) va fatta subito, con il DPO. Te lo segnaliamo appena lo riscontriamo.
Quanto costa?
Il perimetro singolo costa €490 una tantum, IVA esclusa. Per più domini il prezzo è su preventivo; il piano Enterprise e NIS2 parte da €4.900.
Con quale frequenza va ripetuta?
Almeno una volta all'anno e dopo modifiche rilevanti ai trattamenti o alle applicazioni. Per i trattamenti ad alto rischio conviene una cadenza più stretta, da concordare con il DPO.
Vuoi una prova tecnica per il tuo DPO o per un audit?
Mandaci un dominio: in 24 ore ti diciamo per iscritto se la verifica da €490 ti serve e su quale perimetro.
Leggi il perimetro gratis