Le persone che lavorano in azienda, per lavorare in modo coordinato e per il raggiungimento di uno scopo comune, hanno bisogno di essere inquadrati in modo preciso nella realtà aziendale e di operare secondo regole comuni.

Da qui l’importanza di definire la struttura organizzativa individuando e nominando ufficialmente i vari ruoli aziendali.

Un ruolo aziendale non è rappresentato solo dalla persona chiamata a ricoprirlo, ma anche dai compiti e dalle responsabilità proprie dello stesso. E’ quindi indispensabile che per ogni ruolo, o per ogni raggruppamento di ruoli, vi siano delle regole scritte, formalizzate in manuali interni o integrate nella lettera d’incarico.

Il Titolare deve:

• Definire la struttura organizzativa.
• Nominare formalmente con una lettera d’incarico le varie figure.
• Definire le procedure interne che regolano i compiti di ogni figura

La scelta della gerarchia migliore dipende dalle capacità delle persone coinvolte.

E’ importante precisare che la struttura non è necessariamente rigida, ma spetta al Titolare scegliere quella che più si addice alla sua realtà aziendale.

Nella maggior parte delle aziende si è soliti trovare più ruoli attribuiti ad una stessa persona: nei piccoli uffici è probabile che l’amministratore di sistema sia anche il responsabile della sicurezza informatica ed il custode delle password. La presenza di persone distinte per ogni ruolo è un’esigenza che fa capo principalmente ad aziende medio-grandi.

Definire la struttura organizzativa individuando e nominando con apposita lettera d’incarico le seguenti figure:

Figure esplicitamente nominate e definite nel D.Lgs. 196/2003

Il Garante: l’autorità istituita dalla legge n. 675 del 31 dicembre 1996 che tutela la riservatezza dei dati personali.

L’Interessato: la persona fisica, la persona giuridica, l’ente o l’associazione cui si riferiscono i dati personali.

Il Titolare: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.

Il Responsabile: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali.

L’Incaricato: le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile.

Altre figure individuate per una corretta gestione della sicurezza.

L’Amministratore di sistema: persona responsabile dell’amministrazione di determinati strumenti elettronici. Può essere l’incaricato responsabile della sua postazione o una persona alla quale compete l’amministrazione di più postazioni.

Il Responsabile della sicurezza informatica: persona con conoscenze informatiche adeguate a garantire la sicurezza informatica in azienda. Prepara il piano di sicurezza aziendale scegliendo gli strumenti e le procedure più idonee per salvaguardare gli strumenti informatici aziendali ed i dati contenuti o passanti per essi.

Il Manutentore di sistema: persona che si occupa degli interventi tecnici hardware e software sugli strumenti elettronici. Ad esempio: installazione antivirus, sostituzione componenti hardware, configurazione della rete…

Il Custode delle password: persona incaricata alla custodia delle parole chiave delle credenziali di autenticazione delle persone incaricate al trattamento dati.

L’Incaricato al controllo dei locali: persona responsabile dell’accesso ai locali nei quali si effettuano i trattamenti.

Il Professionista esterno: professionista esterno chiamato a prestare il suo servizio utilizzando i dati personali raccolti dall’azienda ed a lui affidati. Ad esempio il commercialista.

L’Esterno che accede ai locali: persona che per motivi ben definiti accede ai locali nei quali vengono trattati i dati personali.

Ricordiamo che è possibile attribuire più ruoli ad una stessa persona, in questa circostanza si può predisporre una sola lettera d’incarico comprendente più ruoli.

Per garantire la continuità dell’attività è bene che alcuni ruoli siano assegnati ad almeno due persone diverse o che si predispongano dei regolamenti interni grazie ai quali si potranno attivare delle procedure idonee a sopperire alla momentanea mancanza di una figura.

E’ opportuno individuare un elenco di professionisti esterni che possano intervenire prontamente al verificarsi di un evento che possa pregiudicare la continuità dell’attività aziendale.

L’elenco dovrà essere organizzato in una tabella.

NOME	ATTIVITA’	TELEFONO	…
Hardware Srl	Assistenza Hardware	…
Mario Rossi	Recupero Dati	…

Alle figure devono essere date precise indicazioni per l’espletamento della loro funzione lavorativa. Vi è quindi la necessità di predisporre dei manuali operativi nei quali siano indicati con precisione i compiti e le responsabilità proprie del ruolo.

Le procedure che il Titolare deve regolamentare sono:

• Accesso ai locali del trattamento
• Accesso agli archivi cartacei
• Utilizzo dei sistemi informatici
• Utilizzo di Internet
• Utilizzo della posta elettronica
• Procedura di backup e ripristino
• Procedura per l’esercizio dei diritti degli interessati
• Piano di formazione