Certificati di cancellazione dei dati personali per la conformità nella cessazione del rapporto con il responsabile del trattamento

Maria, Responsabile della sicurezza delle informazioni di una fintech europea in crescita, fissava una breve e-mail ricevuta da DataLeap, il fornitore SaaS di analisi marketing che la sua azienda aveva appena dismesso.

“Confermiamo che tutti i dati associati al vostro account sono stati cancellati dai nostri sistemi di produzione.”

Era cortese, tempestiva e quasi inutile.

Per tre anni DataLeap aveva trattato identificativi dei clienti, dati di interazione delle campagne, attributi di lead scoring, metadati del consenso e analisi comportamentali relativi a migliaia di clienti UE. FinSecure si stava preparando a un audit DORA, il Responsabile della protezione dei dati stava riesaminando le evidenze di responsabilizzazione ai fini GDPR e il team acquisti voleva chiudere il record del fornitore prima del successivo ciclo di fatturazione. L’e-mail rispondeva a una sola domanda circoscritta: i dati di produzione. Non diceva nulla su backup, log, ticket di supporto, ambienti di analisi, cache dei sub-responsabili, copie di test, credenziali API o report archiviati.

Maria pose la domanda che ogni CISO, DPO e responsabile della conformità prima o poi affronta durante la chiusura di un servizio SaaS:

Dov’è il certificato di cancellazione?

Quella domanda trasforma una normale risoluzione contrattuale in un evento di conformità. Ai sensi del GDPR, i titolari del trattamento devono poter dimostrare la conformità a principi quali limitazione della conservazione, integrità, riservatezza e responsabilizzazione. Ai sensi di DORA, gli enti finanziari devono gestire il rischio ICT derivante da terze parti lungo l’intero ciclo di vita della relazione, incluse la cessazione e le strategie di uscita che prevengono interruzioni, non conformità normativa e danni ai clienti. Ai sensi di ISO/IEC 27701:2025, le organizzazioni hanno bisogno di evidenze PIMS basate sui ruoli per le attività di trattamento dei dati personali svolte come titolare del trattamento, responsabile del trattamento, sub-responsabile e responsabile del trattamento di dati personali in cloud. Ai sensi di ISO/IEC 27001:2022, dipendenze dai fornitori, servizi esterni, controlli operativi ed evidenze conservate devono essere gestiti all’interno del Sistema di gestione della sicurezza delle informazioni.

La lacuna raramente emerge durante l’onboarding. Si manifesta all’uscita. Il contratto afferma che i dati saranno cancellati, ma non definisce le evidenze. Il fornitore di servizi cloud può esportare un CSV, ma non sa spiegare la gestione dei backup. Gli acquisti possono cessare il rapporto con il fornitore, ma la funzione di conformità non può dimostrare la destinazione finale dei dati. L’IT può disabilitare gli account, ma la disabilitazione degli accessi non equivale alla cancellazione. La funzione legale può inviare una comunicazione di risoluzione, ma gli auditor richiedono una catena delle evidenze.

Clarysec considera la cessazione del rapporto con il responsabile del trattamento una catena di controlli verificabile in audit, non un adempimento amministrativo residuale.

Perché la cessazione del rapporto con il responsabile del trattamento è diventata un punto critico di conformità

La conclusione di una relazione relativa a servizi SaaS, paghe, HR, finanza, CRM, hosting cloud, analisi marketing o servizi ICT gestiti è uno dei momenti a maggior rischio nel ciclo di vita dei dati personali. Durante l’operatività ordinaria, l’organizzazione sa almeno quale sistema è in esercizio, chi ne è responsabile e quale contratto si applica. Al momento della cessazione, la titolarità operativa si frammenta rapidamente. Gli acquisti chiudono il record del fornitore. L’IT disabilita gli utenti. La funzione legale archivia il contratto. L’area di business passa alla piattaforma sostitutiva. Il vecchio fornitore continua a conservare dati secondo i cicli standard di backup, archiviazione o logging.

Questa frammentazione è esattamente ciò che auditor e autorità verificano.

Il GDPR definisce il trattamento in modo ampio, includendo conservazione, cancellazione e distruzione. Distingue i titolari del trattamento, che determinano finalità e mezzi, dai responsabili del trattamento, che agiscono per conto dei titolari. Article 5 stabilisce principi quali limitazione della finalità, minimizzazione dei dati, limitazione della conservazione, integrità e riservatezza. Article 5(2) aggiunge il principio di responsabilizzazione, secondo cui il titolare del trattamento deve poter dimostrare la conformità. Article 28(3)(g) richiede che i contratti con i responsabili del trattamento prevedano che, a scelta del titolare, il responsabile cancelli o restituisca tutti i dati personali al termine del servizio e cancelli le copie esistenti, salvo che la legge ne imponga la conservazione.

Una comunicazione informale del fornitore raramente soddisfa tale standard quando i dati riguardano informazioni sulle paghe, registrazioni finanziarie, dati relativi alla salute, identificativi dei clienti, log di autenticazione o registrazioni regolamentate dei clienti.

DORA innalza il livello di attenzione per gli enti finanziari. Dal 17 gennaio 2025, DORA si applica come quadro normativo dell’UE per la resilienza operativa digitale del settore finanziario. Richiede agli enti finanziari di gestire il rischio ICT derivante da terze parti come parte integrante del proprio quadro complessivo di gestione del rischio e di restare pienamente responsabili della conformità quando i servizi sono esternalizzati. DORA si attende che le organizzazioni mantengano registri delle informazioni sui contratti di servizi ICT, identifichino i servizi a supporto di funzioni essenziali o importanti, svolgano due diligence, valutino il rischio di concentrazione, includano diritti contrattuali di accesso, ripristino e restituzione dei dati e mantengano strategie di cessazione e di uscita.

Per le funzioni essenziali o importanti, i contratti DORA devono spingersi oltre. Devono prevedere disposizioni su diritto di audit, periodi di transizione, livelli di servizio, test di continuità, obblighi di cooperazione e supporto all’uscita. Un certificato di cancellazione non costituisce l’intero pacchetto di uscita DORA, ma è un elemento di evidenza critico al suo interno.

NIS2 è rilevante anche per molti fornitori nella più ampia catena ICT, inclusi fornitori di servizi di cloud computing, provider di data center, fornitori di servizi gestiti, Managed Security Services e altri fornitori di infrastrutture digitali. NIS2 Article 21 richiede misure tecniche, operative e organizzative adeguate e proporzionate, incluse sicurezza della catena di fornitura, controlli sui rapporti con i fornitori, controllo degli accessi, gestione degli asset, gestione degli incidenti, continuità e igiene informatica. Per gli enti finanziari soggetti a DORA, DORA opera generalmente come atto giuridico dell’Unione specifico di settore per requisiti comparabili in materia di rischio ICT, segnalazione, test e terze parti, ma NIS2 continua a inquadrare l’ecosistema più ampio della cibersicurezza.

Il messaggio operativo è semplice: se un fornitore ha trattato dati personali, ha supportato operazioni regolamentate o ha fatto parte della catena dei servizi ICT, le evidenze di uscita sono un controllo del rischio.

La prospettiva Clarysec: la cessazione del rapporto con il responsabile del trattamento è una catena di controlli

Un flusso di lavoro maturo per la cessazione del rapporto con il responsabile del trattamento risponde a tre domande:

1. Quali dati, sistemi e sub-responsabili rientrano nell’ambito?
2. Quale azione di restituzione, trasferimento, cancellazione o smaltimento è richiesta legalmente e contrattualmente?
3. Quali evidenze dimostrano che l’azione è stata completata prima della chiusura dell’uscita?

In Zenith Controls: The Cross-Compliance Guide, questo scenario è mappato al controllo ISO/IEC 27002:2022 5.20, “Gestione della sicurezza delle informazioni negli accordi con i fornitori”; al controllo 8.10, “Cancellazione delle informazioni”; e al controllo 7.14, “Smaltimento sicuro o riutilizzo delle apparecchiature”. Non si tratta di elementi separati di una checklist. La cessazione del rapporto con il responsabile del trattamento collega accordi con i fornitori, gestione del ciclo di vita dei dati, offboarding cloud, rimozione degli accessi, titolarità degli asset, conservazione delle evidenze e capacità di dimostrare la conformità in sede di audit.

Il Zenith Blueprint: An Auditor’s 30-Step Roadmap di Clarysec colloca questo tema nella fase Controls in Action. Nello Step 23, Controlli organizzativi, gli accordi con i fornitori devono coprire le disposizioni di fine contratto, i controlli sui subappaltatori, il diritto di audit e i protocolli per gli incidenti. Il Blueprint descrive le aree tipiche degli accordi con i fornitori come comprensive di:

“Disposizioni di fine contratto, quali restituzione o distruzione dei dati, ripristino degli asset e disattivazione degli account.”

Questa frase è il punto di incontro tra responsabilizzazione GDPR, evidenze PIMS ISO/IEC 27701:2025, aspettative di uscita DORA, sicurezza della catena di fornitura NIS2 e controllo operativo ISO/IEC 27001:2022.

Lo stesso Zenith Blueprint, nello Step 19, Controlli tecnologici I, spiega il rischio di cancellazione alla base della cessazione del rapporto con il responsabile del trattamento:

“Questo controllo assicura che i dati non siano conservati più a lungo del necessario e che, quando non sono più necessari, siano cancellati in modo sicuro e affidabile.”

Lo Step 18, Controlli fisici II, traduce l’aspettativa sulle evidenze in termini pratici:

“Se si utilizza un fornitore esterno, richiedere e conservare certificati di distruzione come evidenze di audit.”

Per i sistemi basati su cloud, lo smaltimento fisico è di norma fuori dal controllo diretto del cliente. Questo rende ancora più importanti la conferma contrattuale della cancellazione, i certificati di cancellazione idonei alla conformità e la documentazione SGSI archiviata.

Il modello operativo di Clarysec è diretto: clausola contrattuale, trigger di uscita, inventario dei dati, azione di cancellazione, conferma dei sub-responsabili, registro delle evidenze, verifica finale.

Perché “cancellato” non equivale a “dimostrato”

Una risultanza di audit ricorrente è formulata così:

“L’organizzazione ha dichiarato che il fornitore ha cancellato i dati, ma non ha potuto fornire evidenze della cancellazione, dell’ambito della cancellazione, della data di cancellazione, della parte responsabile, dei sistemi inclusi, della gestione dei backup o della conferma dei sub-responsabili.”

Accade nelle grandi imprese, ma è comune anche nelle PMI che dipendono fortemente da strumenti SaaS per paghe, gestione dei ticket di supporto, CRM, onboarding HR, archiviazione cloud, collaborazione, analisi e sviluppo software. Quando cambia un fornitore, i dati personali spesso restano in account inattivi, allegati di supporto, file temporanei di migrazione, esportazioni di sviluppo, banche dati di staging e cicli di backup.

Il set di politiche Clarysec trasforma “cancellato” in un requisito di evidenza.

La Politica di sicurezza delle terze parti e dei fornitori [P26] richiede alla clausola 6.5.1.2:

“Restituzione o distruzione certificata di tutte le informazioni di proprietà dell’organizzazione”

La clausola 6.5.1.3 richiede quindi:

“Verifica finale della conformità (ad es. riesame dei log, attestazioni di conformità)”

Questa distinzione è importante. Un certificato di cancellazione non è l’intero controllo. È un elemento all’interno di un pacchetto di verifica finale della conformità. Gli auditor vorranno verificare se il certificato è coerente con il contratto del fornitore, l’inventario dei dati, il ticket di uscita, i log degli accessi, l’elenco dei sub-responsabili, il piano di conservazione e la valutazione del rischio.

Per le PMI, la Politica di sicurezza delle terze parti e dei fornitori - PMI [P26S] fornisce una baseline pratica. La clausola 5.3.6, nell’ambito dei requisiti di governance, richiede:

“Termini di cessazione, inclusa la restituzione o distruzione sicura dei dati”

La clausola 6.4.2.3, nell’ambito dei requisiti di applicazione della politica, richiede ai fornitori di:

“Confermare per iscritto che i dati sono stati cancellati in modo sicuro”

La Politica di conservazione e smaltimento dei dati [P14] aggiunge il requisito di evidenza alla clausola 4.7.2:

“Deve fornire evidenze documentate di conformità (ad es. log di cancellazione, certificati di distruzione) su richiesta.”

Per le PMI, la Politica di conservazione dei dati e smaltimento sicuro - PMI richiede alla clausola 6.2.3:

“Gli eventi di smaltimento devono essere registrati con data, categoria di registrazione, metodo e persona responsabile.”

Questa è la differenza tra fiducia nel fornitore ed evidenze di audit.

ISO/IEC 27701:2025: evidenze di uscita basate sui ruoli

ISO/IEC 27701:2025 aggiunge al SGSI un livello di gestione della privacy. La cessazione del rapporto con il responsabile del trattamento deve riflettere il ruolo PIMS dell’organizzazione. Un titolare del trattamento che termina una relazione con un responsabile del trattamento ha responsabilità diverse rispetto a un responsabile del trattamento che termina una relazione con un sub-responsabile. Un responsabile del trattamento che agisce su istruzioni del cliente deve documentare di aver seguito tali istruzioni. Un responsabile del trattamento cloud deve dimostrare che restituzione, trasferimento, cancellazione o smaltimento sono avvenuti entro il termine concordato con il cliente.

Il set di politiche PIMS di Clarysec utilizza tag di ruolo per rendere operativo questo requisito. “Entrambi” si applica quando l’organizzazione è titolare del trattamento o responsabile del trattamento. “Responsabile del trattamento” si applica quando tratta dati personali sulla base di istruzioni documentate del titolare del trattamento. “Sub-responsabile” si applica quando è incaricata da un altro responsabile del trattamento.

La Politica di gestione della privacy per responsabili del trattamento, sub-responsabili e terze parti richiede alla clausola 4.5.6:

“[Entrambi] Il Responsabile del fornitore / Responsabile acquisti DEVE ottenere evidenze di restituzione, cancellazione, smaltimento o transizione in REG08 entro 30 giorni dalla cessazione del contratto, dalla scadenza, dall’istruzione del cliente o dall’evento di uscita approvato, salvo che si applichi un termine contrattuale più breve.”

La Politica di conservazione, cancellazione e smaltimento dei dati personali distingue gli obblighi del responsabile del trattamento da quelli del sub-responsabile. La clausola 4.3.3 stabilisce:

“[Responsabile del trattamento] Il Responsabile del fornitore / Responsabile acquisti DEVE eseguire o confermare la restituzione, il trasferimento, la cancellazione o lo smaltimento richiesti dal cliente in REG08 entro la scadenza contrattuale o la data documentata dell’istruzione del cliente.”

La clausola 4.3.4 stabilisce:

“[Sub-responsabile] Il Responsabile del fornitore / Responsabile acquisti DEVE ottenere le evidenze di restituzione, cancellazione o smaltimento del sub-responsabile in REG08 entro il periodo contrattuale previsto per le evidenze dopo l’istruzione del cliente, l’uscita dal servizio o la cessazione del sub-responsabile.”

La clausola 7.1.7 riporta il requisito alla chiusura:

“[Entrambi] Il Responsabile del fornitore / Responsabile acquisti DEVE ottenere evidenze del responsabile del trattamento, del sub-responsabile o del servizio esterno per le azioni richieste di restituzione, trasferimento o destinazione finale in REG08 prima di chiudere l’uscita dal servizio.”

Per i servizi cloud, la Cloud PII Processor Policy richiede alla clausola 4.6.3:

“[Responsabile del trattamento] Il Responsabile del sistema / Responsabile applicativo DEVE completare la restituzione, il trasferimento, la cancellazione o lo smaltimento approvati dei dati personali del cliente entro il termine concordato con il cliente e registrare le evidenze di completamento in REG08 o REG12.”

Il miglioramento operativo è immediato. Non attendere un audit. Definisci il requisito di evidenza al trigger di uscita, assegnalo a un responsabile, stabilisci una scadenza e impedisci la chiusura finché REG08 o REG12 non è completo.

Che cosa include un buon pacchetto di evidenze per la cessazione del rapporto con il responsabile del trattamento

Un certificato di cancellazione non deve essere un PDF generico con un logo e una sola frase. Deve supportare un pacchetto strutturato di evidenze in grado di sostenere una richiesta GDPR, un audit PIMS ISO/IEC 27701:2025, un audit di sorveglianza ISO/IEC 27001:2022, una richiesta dell’autorità di vigilanza DORA, un riesame di assurance del cliente o un audit interno.

Non è burocrazia. È una catena di custodia pratica per i dati personali all’uscita dal servizio.

La clausola contrattuale che previene la crisi

Il problema di Maria è iniziato anni prima dell’e-mail finale di DataLeap. È iniziato quando il contratto è stato firmato con una clausola di cancellazione vaga e senza un obbligo di evidenza. Il flusso di lavoro più solido per la cessazione del rapporto con il responsabile del trattamento nasce dagli acquisti, non dalla cessazione.

Per i servizi cloud, la Politica di utilizzo del cloud aziendale richiede alla clausola 5.4.4:

“Clausole di cessazione che consentano un offboarding sicuro e verificabile”

Per le PMI, la Politica di utilizzo del cloud - PMI richiede alla clausola 6.3.5:

“Conferma delle procedure di cancellazione sicura prima della chiusura dell’account”

Una clausola contrattuale efficace per il fornitore deve richiedere restituzione o cancellazione, definire le tempistiche, coprire backup e sub-responsabili, richiedere evidenze e preservare il diritto di audit.

Clausola di esempio: restituzione, cancellazione ed evidenze dei dati

Alla cessazione o scadenza dell’accordo, oppure su istruzione scritta del titolare del trattamento, il responsabile del trattamento deve, a scelta del titolare, restituire in modo sicuro tutti i dati personali in un formato concordato leggibile automaticamente oppure cancellare in modo sicuro tutti i dati personali da sistemi, supporti, backup e ambienti sotto il controllo del responsabile del trattamento, salvo che il diritto dell’Unione o dello Stato membro ne imponga la conservazione.

Entro trenta giorni di calendario dal completamento dell’azione richiesta, o entro un termine più breve se contrattualmente concordato, il responsabile del trattamento deve fornire un Certificato di cancellazione firmato o un’attestazione di conformità equivalente. Il certificato deve identificare il servizio, le categorie di dati, i sistemi coperti, l’intervallo temporale della cancellazione, il metodo di cancellazione, la gestione di backup e archivi, lo stato dei sub-responsabili, le eccezioni conservate e il firmatario autorizzato.

Il titolare del trattamento può richiedere evidenze ragionevoli a supporto, inclusi log, registrazioni di smaltimento, attestazioni dei sub-responsabili e documentazione di processo, per verificare il certificato e chiudere la registrazione di uscita del fornitore.

Questa formulazione trasforma la responsabilizzazione in un deliverable operativo.

Esempio pratico: uscita da un SaaS per le paghe

Si consideri una PMI che migra da PayrollCloud A a PayrollCloud B. PayrollCloud A ha trattato nomi, indirizzi, codici fiscali, coordinate bancarie, storico retributivo, registrazioni di malattia e ticket di supporto dei dipendenti. Ha utilizzato un provider di hosting cloud e una piattaforma di supporto come sub-responsabili.

Un’uscita allineata a Clarysec funzionerebbe come segue.

1. Aprire un ticket di uscita del fornitore

Gli acquisti creano un ticket di uscita collegato alla registrazione del fornitore. Il ticket include la data di cessazione del contratto, la data finale del servizio, il responsabile di business, il responsabile del sistema, il DPO o referente privacy e l’eventuale presenza di categorie particolari di dati personali. Poiché le paghe possono includere dati sensibili relativi al rapporto di lavoro e alla salute, il livello di rischio è elevato.

2. Mappare l’uscita rispetto all’accordo

Il Responsabile del fornitore verifica nel contratto le clausole di restituzione, cancellazione, audit, transizione e sub-responsabili. Se il contratto è debole, il responsabile invia comunque un’istruzione formale che richiede restituzione, cancellazione e conferma dei sub-responsabili. L’aspettativa sulle evidenze è ancorata alle politiche Clarysec, incluse P26, P26S, P14, la Politica di utilizzo del cloud e la Politica di utilizzo del cloud - PMI.

3. Definire l’ambito dei dati personali

Il Responsabile del sistema completa una dichiarazione dell’ambito dei dati che copre registrazioni paghe di produzione, documenti self-service dei dipendenti, allegati, esportazioni, ticket di supporto, log di audit contenenti identificativi utente, file di integrazione API, estratti temporanei di migrazione, backup, snapshot e dati detenuti dai sub-responsabili.

Questo supporta la responsabilizzazione GDPR, le evidenze PIMS ISO/IEC 27701:2025, il controllo operativo ISO/IEC 27001:2022 e, per gli enti finanziari, le aspettative DORA relative al registro delle informazioni sui servizi ICT prestati da terze parti.

4. Richiedere evidenze di restituzione, cancellazione e sub-responsabili

Il Responsabile del fornitore invia a PayrollCloud A una richiesta strutturata per confermare il completamento dell’esportazione finale, la cancellazione dei dati del tenant di produzione, la gestione di backup e archivi immutabili, la cancellazione degli allegati dei ticket di supporto, la revoca degli account specifici del cliente e delle credenziali API, le evidenze di cancellazione o smaltimento dei sub-responsabili e un certificato di cancellazione firmato.

5. Registrare il completamento in REG08 o REG12

Il Responsabile del fornitore registra ogni elemento di evidenza in REG08. Se l’organizzazione opera come responsabile del trattamento e l’applicazione cloud conteneva dati personali del cliente, il completamento può essere registrato anche in REG12 ai sensi della Cloud PII Processor Policy.

6. Effettuare la verifica finale prima della chiusura

La funzione di conformità confronta il certificato di cancellazione con la dichiarazione dell’ambito dei dati. L’IT verifica i log degli accessi e le evidenze di chiusura degli account. Il DPO verifica se esiste un’eccezione di conservazione, come un obbligo legale o una sospensione per contenzioso. La sicurezza verifica che token API, account di servizio e configurazioni SSO siano stati rimossi.

Solo a quel punto il ticket di uscita viene chiuso.

Se il fornitore rifiuta di fornire evidenze, la questione diventa un tema di trattamento del rischio. Può attivare escalation, rimedi contrattuali, analisi della necessità di notifica ai clienti, valutazione regolatoria, monitoraggio rafforzato durante la transizione o modifiche al livello di rischio del fornitore.

DORA, NIS2 e resilienza ICT: evidenze di uscita oltre la privacy

DORA considera l’uscita del fornitore parte della resilienza, non solo dell’amministrazione privacy. Un ente finanziario rimane responsabile della conformità anche quando i servizi ICT sono esternalizzati. Deve mantenere un registro delle informazioni sui contratti di servizi ICT, distinguere i servizi che supportano funzioni essenziali o importanti, svolgere due diligence, valutare il rischio di concentrazione e mantenere strategie di uscita.

Un certificato di cancellazione rilasciato dal responsabile del trattamento può incidere su diversi profili DORA:

• Continuità dei servizi ai clienti
• Segnalazione normativa
• Integrità dei dati
• Risposta agli incidenti
• Diritto di audit
• Resilienza operativa
• Pianificazione del ripristino e della transizione
• Gestione delle funzioni essenziali o importanti

Per un istituto di pagamento, una società di investimento, un ente creditizio, un prestatore di servizi per cripto-attività o una piattaforma fintech, il certificato di cancellazione deve collocarsi in un più ampio pacchetto di uscita. Non basta dimostrare che i dati personali sono stati cancellati se l’organizzazione non può anche dimostrare che la transizione del servizio ha evitato interruzioni, che gli obblighi normativi sono rimasti soddisfatti e che gli impatti sui clienti sono stati gestiti.

NIS2 estende la discussione sulla sicurezza dei fornitori oltre i servizi finanziari. La cessazione del rapporto con il responsabile del trattamento è un test di sicurezza della catena di fornitura. Se un soggetto essenziale o importante non può dimostrare che un fornitore ha restituito o cancellato i dati al termine del servizio, presenta una debolezza nella gestione dei rapporti con i fornitori, nel controllo degli asset, nella governance degli accessi, nella protezione dei dati e potenzialmente nella preparazione alla gestione degli incidenti.

Se un’uscita fallita comporta accesso non autorizzato, perdita, divulgazione o interruzione del servizio, l’organizzazione può dover valutare gli obblighi di segnalazione degli incidenti ai sensi della normativa applicabile e delle norme nazionali di recepimento.

Mappatura trasversale della conformità: un flusso di lavoro, molti obblighi

Il valore di un flusso di lavoro ben progettato per la cessazione del rapporto con il responsabile del trattamento è che soddisfa più quadri di riferimento contemporaneamente.

NIST CSF 2.0 è particolarmente utile come livello di comunicazione. La sua funzione GOVERN richiede alle organizzazioni di comprendere obblighi legali, normativi, contrattuali e privacy, definire la strategia di rischio, assegnare ruoli e stabilire la supervisione. I suoi risultati di Cybersecurity Supply Chain Risk Management coprono i requisiti dei fornitori nei contratti, il monitoraggio del rischio dei fornitori e le attività successive alla fine di una partnership o di un accordo di servizio. GV.SC-10 è esattamente il punto in cui collocare la cessazione del rapporto con il responsabile del trattamento.

Che cosa chiederanno gli auditor

Auditor diversi affrontano la cessazione del rapporto con il responsabile del trattamento con prospettive diverse, ma il pacchetto di evidenze deve essere sufficientemente solido per tutte.

Un auditor ISO/IEC 27001:2022 potrebbe non iniziare chiedendo un “certificato di cancellazione dei dati personali”. Potrebbe partire dall’ambito, dai requisiti delle parti interessate, dal controllo dei fornitori, dalla Dichiarazione di Applicabilità, dal trattamento del rischio e dalle informazioni documentate conservate. Se il certificato di cancellazione non può essere collegato a tali elementi, può apparire come un elemento documentale isolato anziché come prova di un controllo funzionante.

Un auditor PIMS chiederà se l’organizzazione ha compreso il proprio ruolo privacy. Era titolare del trattamento, responsabile del trattamento, sub-responsabile o responsabile del trattamento di dati personali in cloud? L’uscita era basata su un’istruzione documentata del cliente? Gli obblighi dei sub-responsabili sono stati trasferiti a cascata? Le evidenze sono state conservate nel registro corretto? Le eccezioni erano giustificate?

Un revisore DORA chiederà se il servizio è presente nel registro delle informazioni ICT, se supporta una funzione essenziale o importante, se il contratto includeva restituzione dei dati e diritto di audit e se la transizione ha evitato interruzioni e danni ai clienti.

Lo stesso pacchetto di evidenze dovrebbe rispondere a tutti.

Schemi ricorrenti di fallimento

Clarysec riscontra ripetutamente le stesse debolezze durante i riesami della cessazione del rapporto con il responsabile del trattamento:

• I contratti richiedono la cancellazione, ma non definiscono le evidenze.
• I fornitori rilasciano dichiarazioni generiche di cancellazione senza ambito dei sistemi.
• Backup, snapshot e archivi immutabili vengono ignorati.
• La cancellazione del sub-responsabile è presunta, non dimostrata.
• La disattivazione degli accessi viene trattata come cancellazione dei dati.
• Gli acquisti chiudono il fornitore prima che la conformità riesamini le evidenze.
• Le eccezioni di conservazione non sono documentate.
• Gli sviluppatori conservano esportazioni di test dopo la conclusione dello sviluppo esternalizzato.
• Gli account cloud vengono chiusi prima di ottenere la conferma della cancellazione.
• Le evidenze di audit sono conservate in e-mail, non in un registro controllato.

Lo scenario dello sviluppo esternalizzato è particolarmente comune. La Politica sullo sviluppo esternalizzato - PMI richiede alla clausola 7.4.1.2:

“Tutti i dati detenuti dagli sviluppatori devono essere cancellati e le evidenze possono essere richieste”

Per i team di sviluppo, ciò include set di dati locali, banche dati di staging, log di debug, crash dump, screenshot, esportazioni di supporto, prompt di test AI e file temporanei di migrazione. Se il flusso di lavoro di uscita del fornitore ignora i dati detenuti dagli sviluppatori, è incompleto.

Checklist per la cessazione del rapporto con il responsabile del trattamento

Un processo solido di cessazione del rapporto con il responsabile del trattamento non deve essere complesso, ma deve essere disciplinato.

• Identificare il trigger di uscita: cessazione, scadenza, istruzione del cliente, sostituzione del fornitore, risposta a una violazione, transizione approvata o cessazione del sub-responsabile.
• Confermare il ruolo PIMS: titolare del trattamento, responsabile del trattamento, sub-responsabile, contitolare del trattamento o responsabile del trattamento di dati personali in cloud.
• Collegare la registrazione del fornitore: contratto, responsabile del servizio, funzione aziendale, criticità e categorie di dati.
• Identificare l’ambito dei dati personali: produzione, backup, log, esportazioni, ticket di supporto, analisi, dati di test e sub-responsabili.
• Emettere istruzioni scritte: restituzione, trasferimento, cancellazione, smaltimento o eccezione di conservazione.
• Ottenere evidenze: certificato di cancellazione, certificato di distruzione, log, attestazione del sub-responsabile ed evidenza di chiusura degli accessi.
• Registrare le evidenze in REG08 o REG12: ubicazione delle evidenze, data, metodo, persona responsabile e responsabile del riesame.
• Verificare prima della chiusura: confrontare le evidenze con ambito dei dati, contratto e istruzioni del cliente.
• Escalare le eccezioni: evidenze mancanti, scadenza differita dei backup, conservazione contestata, fornitore non collaborativo o accesso residuo.
• Alimentare il miglioramento: aggiornare modelli contrattuali, livello di rischio del fornitore, piano di conservazione, piano di audit e reporting alla direzione.

È così che Zenith Blueprint, Zenith Controls e il set di politiche Clarysec lavorano insieme. Il Blueprint mostra dove il controllo si colloca nel percorso di implementazione. Le politiche definiscono il comportamento richiesto. Zenith Controls mappa le relazioni di controllo tra ISO/IEC 27002:2022, GDPR, DORA, NIS2, NIST e aspettative di audit.

Il messaggio per il consiglio di amministrazione

La cessazione del rapporto con il responsabile del trattamento non è un passaggio amministrativo alla fine di un contratto. È una verifica concreta della governance della privacy, della gestione dei fornitori, della sicurezza cloud, della resilienza ICT e della disciplina nella gestione delle evidenze di audit.

Un certificato di cancellazione ha valore solo quando è collegato a:

• Una relazione nota con il fornitore
• Un ambito dei dati definito
• Un’istruzione contrattuale o del cliente
• Un metodo sicuro di cancellazione o smaltimento
• Evidenze degli obblighi a cascata verso i sub-responsabili
• Chiusura degli accessi
• Gestione di backup e archivi
• Un registro delle evidenze controllato
• Verifica finale della conformità

Senza questa catena, l’organizzazione si affida alla fiducia proprio nel momento in cui dovrebbe affidarsi alle evidenze.

Prossimi passi con Clarysec

Se la tua organizzazione utilizza fornitori SaaS, cloud, paghe, HR, finanza, supporto, sviluppo o servizi ICT gestiti, riesamina il flusso di lavoro per la cessazione del rapporto con il responsabile del trattamento prima di inviare la prossima comunicazione di cessazione.

Clarysec può aiutarti a implementare un modello pratico e idoneo all’audit per la cessazione del rapporto con il responsabile del trattamento utilizzando:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap per collocare uscita del fornitore, cancellazione e smaltimento nei corretti passaggi di implementazione.
• Zenith Controls: The Cross-Compliance Guide per mappare accordi con i fornitori, cancellazione delle informazioni e smaltimento sicuro tra ISO/IEC 27002:2022, GDPR, DORA, NIS2, NIST e aspettative di audit.
• Politica di gestione della privacy per responsabili del trattamento, sub-responsabili e terze parti e Politica di conservazione, cancellazione e smaltimento dei dati personali per rendere operative le evidenze REG08.
• Politica di sicurezza delle terze parti e dei fornitori, Politica di conservazione e smaltimento dei dati e Cloud PII Processor Policy per rendere applicabili le evidenze di uscita.

La prossima azione è semplice: scegli un fornitore cessato di recente e costruisci un pacchetto retrospettivo di evidenze di uscita. Se non puoi dimostrare restituzione, cancellazione, conferma del sub-responsabile e verifica finale, quello è il tuo primo elemento di azione correttiva.

Clarysec può aiutarti a trasformare questa lacuna in un controllo ripetibile di cessazione del rapporto con il responsabile del trattamento prima che lo chieda un auditor, un’autorità di regolamentazione o un cliente.