Quando si parla di protezione dei dati personali, l'attenzione si concentra spesso sulla sicurezza informatica. In realtà, la sicurezza fisica riveste oggi un'importanza equivalente: un accesso non autorizzato ai locali aziendali, agli archivi o ai dispositivi può compromettere la riservatezza, l'integrità e la disponibilità dei dati tanto quanto un incidente informatico.

Per questo motivo il Regolamento (UE) 2016/679 (GDPR) richiede ai Titolari del trattamento di adottare misure tecniche ed organizzative adeguate al rischio, comprendendo anche il controllo e la gestione degli accessi fisici ai luoghi in cui vengono trattati dati personali.

Ogni organizzazione dovrebbe disciplinare formalmente le modalità di accesso ai propri locali mediante specifiche procedure interne, definendo le aree soggette a limitazione, i criteri di autorizzazione e le responsabilità nella gestione degli accessi.

La consegna di chiavi, badge, tessere magnetiche, telecomandi o altri dispositivi di apertura dovrebbe essere sempre tracciata attraverso un apposito registro o modulo di assegnazione, riportando almeno il nominativo dell'assegnatario, il dispositivo consegnato, la data di consegna, l'eventuale restituzione e ogni successiva modifica.

Tale documentazione consente di mantenere sotto controllo le autorizzazioni e di dimostrare, in caso di verifica, l'adozione di adeguate misure organizzative.

‍

Particolare attenzione deve essere prestata alla gestione del personale cessato o trasferito ad altre mansioni. La cessazione del rapporto di lavoro deve comportare l'immediata revoca di tutti gli accessi fisici precedentemente autorizzati. La procedura di uscita dovrebbe prevedere la restituzione di chiavi, badge e altri dispositivi di accesso, la disabilitazione delle autorizzazioni eventualmente associate ai sistemi elettronici di controllo accessi, l'aggiornamento dell'elenco degli autorizzati e, qualora siano utilizzati codici condivisi, la loro tempestiva sostituzione.

Ritardare tali attività significa esporre l'organizzazione al rischio che soggetti non più autorizzati possano continuare ad accedere ai locali aziendali e ai dati in essi custoditi.

Anche l'accesso di visitatori, fornitori, consulenti, manutentori e altri soggetti esterni dovrebbe essere disciplinato mediante procedure chiare.

L'ingresso dovrebbe essere preventivamente verificato dalla portineria, dalla reception, dalla segreteria o dal personale incaricato, accertando l'identità del soggetto, il motivo della visita e la presenza di un referente aziendale autorizzato ad accoglierlo.

Nei casi in cui ciò sia opportuno in relazione ai rischi dell'organizzazione, è consigliabile mantenere un registro degli accessi dei visitatori, annotando almeno il nominativo, la data, l'orario di ingresso e uscita e la persona aziendale visitata, prevedendo inoltre l'accompagnamento nelle aree riservate.

‍

La protezione fisica deve interessare anche gli ambienti nei quali sono conservati documenti cartacei, supporti informatici, server, sistemi di backup o altre informazioni riservate. L'accesso a tali aree dovrebbe essere limitato ai soli soggetti autorizzati mediante idonei sistemi di controllo, quali serrature dedicate, badge elettronici, sistemi di apertura controllata o altre misure proporzionate ai rischi individuati. Analogamente, devono essere previste procedure per la chiusura dei locali al termine dell'attività lavorativa, la custodia delle chiavi, l'attivazione degli impianti di allarme e la verifica che porte e altri punti di accesso non rimangano aperti o incustoditi.

Tali procedure dovrebbero essere integrate da adeguate attività di sensibilizzazione del personale, affinché ogni lavoratore sia consapevole dell'importanza di non consentire l'accesso a persone non autorizzate, di custodire correttamente i dispositivi di accesso e di segnalare tempestivamente eventuali anomalie o situazioni di rischio.

La gestione della sicurezza fisica degli accessi rappresenta oggi un elemento imprescindibile del principio di accountability previsto dal GDPR.

Un sistema organizzato, documentato e costantemente aggiornato consente di ridurre il rischio di accessi abusivi, prevenire violazioni dei dati personali e dimostrare l'adozione di misure organizzative adeguate ai sensi degli artt. 5, 24, 25 e 32 del Regolamento (UE) 2016/679.

‍

‍

‍

‍