Un GDPR audit non è una verifica “da privacy policy sul sito”. È una prova strutturata su come trattate i dati personali: basi giuridiche, accessi, retention, fornitori, incidenti e diritti degli interessati. Chi cerca “software audit gdpr” di solito ha già capito il punto: senza tracciabilità, la conformità resta dichiarativa.
Questa guida spiega come impostare un percorso di conformità dimostrabile. Non è un parere legale del Garante né una consulenza privacy: è un approccio evidence-first per team compliance, DPO office e IT.
GDPR audit = dimostrare, non dichiarare
In una review tipica emergono domande come:
- Dove è il registro dei trattamenti aggiornato?
- Chi ha accesso a quali dati, e come lo dimostrate?
- Come gestite retention e cancellazione?
- Quali prove avete sui fornitori (DPA, misure, incidenti)?
- Come tracciate le richieste degli interessati?
Se la risposta è “ce l’abbiamo in SharePoint”, spesso manca il collegamento controllo → artefatto → periodo. Per il metodo generale vedi evidenze di audit.
Controlli tipici in un audit privacy
Senza essere esaustivi, questi ambiti ricorrono spesso:
- Inventario e registro trattamenti — completezza e aggiornamento.
- Access control — least privilege, review periodiche, trail.
- Retention e cancellazione — regole e prove di esecuzione.
- Terzi e trasferimenti — contratti, misure, accountability.
- Incident response privacy — rilevazione, notifica, post-incidente.
- Diritti degli interessati — workflow e tempi dimostrabili.
Su temi correlati: cosa si intende per dati particolari e principio di liceità. Per un inquadramento più ampio: la GDPR compliant.
Dove falliscono le prove
I punti deboli più frequenti non sono “mancanza di awareness”, ma:
- log di accesso assenti o non conservati (audit trail);
- export one-shot senza owner;
- DPIA o valutazioni non collegate ai sistemi reali;
- fornitori approvati una volta e mai rivalutati;
- screenshot di console cloud senza periodo di riferimento.
Cosa cercare in un software di audit GDPR
Un buon software audit GDPR non sostituisce il DPO. Ti aiuta a:
| Capacità | Perché conta |
|---|---|
| Mappa controlli/obblighi | Evita silos tra legal, IT e business |
| Ownership esplicita | Chi risponde in audit |
| Allegati versionati | Prove riesaminabili |
| Trail delle azioni | Chi ha caricato/approvato cosa |
| Export strutturato | Pacchetto per review interne o esterne |
Evita tool che promettono “conformità automatica”. Cerca tool che rendono ripetibile la dimostrazione.
Evidence pack privacy-oriented
Un pacchetto utile tipicamente include:
- elenco controlli in scope;
- evidenze per controllo (con data e owner);
- eccezioni aperte e piano di remediation;
- riferimenti a policy e procedure (come contesto, non come unica prova).
Come AuditReady aiuta
AuditReady supporta la gestione di controlli ed evidenze per percorsi privacy e compliance, con export orientati alla review. Non è consulenza legale e non certifica la conformità GDPR: è un audit-ready evidence pack demo / not legal advice.