Consulenza
Privacy GDPR
Registro dei trattamenti, informative, nomine, DPIA e DPO esterno: costruire una conformità che si possa dimostrare, non soltanto dichiarare
Reg. UE 2016/679
Non basta essere conformi: bisogna dimostrarlo
Il Regolamento europeo si regge sul principio di accountability: ogni scelta sui dati — base giuridica, tempo di conservazione, misura di sicurezza — deve essere tracciata e motivata, e l’azienda deve poterla documentare in qualunque momento.
Il punto debole più frequente non è l’informativa sul sito, ma la catena dei fornitori: gestionali in cloud, agenzie, consulenti del lavoro e manutentori IT che accedono ai dati senza un contratto ex art. 28.
- Mappatura dei trattamenti e registro ex art. 30
- Informative, consensi e nomine per ogni categoria di interessati
- DPIA per videosorveglianza, geolocalizzazione e profilazione
- Procedura data breach e notifica al Garante entro 72 ore
I tre pilastri
Cosa rende la conformità dimostrabile
Il GDPR chiede tre cose insieme: che ogni trattamento abbia una base giuridica valida, che sia minimizzato rispetto alla finalità dichiarata e che le misure di sicurezza siano adeguate al rischio per i diritti degli interessati.
La differenza pratica è tutta qui: un registro compilato una volta e mai più aggiornato è il primo rilievo che emerge in un’istruttoria del Garante.
Come funziona
Come si costruisce il sistema privacy
Si parte dai flussi di dati che l’azienda ha davvero, non da un modello precompilato.
1Assessment
Interviste alle funzioni e analisi dei sistemi per ricostruire finalità, basi giuridiche, categorie di dati, destinatari e tempi di conservazione.
2Gap analysis
Report delle non conformità con classificazione del rischio e piano di adeguamento con priorità, tempi e responsabili assegnati.
3Adeguamento
Registri, informative, nomine e procedure; revisione dei contratti con i fornitori; definizione delle misure tecniche insieme all’IT.
4Mantenimento
Formazione del personale, audit periodici, gestione delle richieste degli interessati e degli eventuali data breach.
Il regolamento in sintesi
Documenti, sanzioni, Data Protection Officer
Tre elementi che conviene conoscere prima di decidere come muoversi.
Non esiste un pacchetto uguale per tutti: l’elenco dipende dai trattamenti effettivamente svolti dall’organizzazione.
- Registro dei trattamenti del titolare (art. 30)
- Informative per clienti, dipendenti, candidati e fornitori
- Nomine degli autorizzati e istruzioni operative
- Contratti di responsabile esterno ex art. 28
- Procedura data breach e registro delle violazioni
Il massimo edittale arriva a 20 milioni di euro o al 4% del fatturato mondiale annuo, ma nella pratica pesano anche i provvedimenti correttivi.
- Pecuniarie fino a 20 M€ o 4% del fatturato globale
- Limitazione o divieto temporaneo del trattamento
- Ordine di conformare i trattamenti alle prescrizioni
- Cancellazione dei dati trattati illecitamente
- Risarcimento del danno agli interessati (art. 82)
La nomina è obbligatoria in tre casi e facoltativa negli altri: se il DPO viene nominato, valgono comunque per intero gli obblighi degli artt. 37-39.
- Ente pubblico o organismo di diritto pubblico
- Monitoraggio regolare e sistematico su larga scala
- Dati particolari o giudiziari su larga scala
- Contatto pubblicato e comunicato al Garante
- Indipendenza e assenza di conflitto di interessi
Contenuto informativo a carattere generale. L’individuazione degli adempimenti applicabili richiede l’analisi dei trattamenti effettivamente svolti.
Il GDPR si applica a qualsiasi organizzazione che tratti dati personali, dallo studio professionale alla multinazionale. Cambia la profondità degli adempimenti, non il fatto di esservi soggetti.
Accertamenti della Guardia di Finanza su delega dell’Autorità
Converge con le misure di sicurezza informatica già adottate
Da non sbagliare
Tre errori che rendono inutile l’adeguamento
!Il registro fotocopia
Un registro dei trattamenti generico, che non rispecchia i software e i fornitori realmente in uso, non regge il confronto con un’ispezione.
!I fornitori senza nomina
Gestionali, cloud e agenzie che trattano dati per conto dell’azienda senza contratto ex art. 28 espongono il titolare, non il fornitore.
!Il consenso usato per tutto
Il consenso non è la base giuridica universale: usarlo dove servirebbe il contratto o l’obbligo di legge rende il trattamento contestabile.
Vuoi sapere se i tuoi trattamenti sono in regola?
Contattaci per una prima ricognizione: mappiamo i trattamenti principali e ti diciamo che cosa manca davvero.
Contatti
Parla con Network GTC
Compila il modulo o contattaci direttamente: un nostro consulente ti risponderà al più presto.
Network GTC
- Via Terre Risaie, 18 – Salerno
- +39 344 180 3134
- portaleci@networkgtc.it