Il GDPR richiede che i dati personali siano trattati in modo sicuro, proporzionato e dimostrabile. Una PMI non deve implementare sistemi complessi come le grandi aziende, ma alcune misure minime sono imprescindibili:
-
mappatura dei dati: sapere quali dati vengono raccolti, dove sono archiviati e chi vi accede;
-
accessi controllati: password robuste, MFA, revoca immediata degli account di ex-dipendenti;
-
crittografia: dati sensibili cifrati sia a riposo (database, dischi) sia in transito (SSL/TLS);
-
backup regolari: con test periodici di ripristino per garantire continuità operativa;
-
aggiornamenti software: mantenere sistemi e applicazioni sempre patchati;
-
registro delle attività: documentare le misure adottate (principio di accountability);
-
formazione del personale: obbligatoria, anche breve ma ricorrente, sui principi di protezione dati.
In sintesi: il GDPR non impone tecnologie specifiche, ma obbliga le PMI a dimostrare di aver adottato misure adeguate al rischio.