Consulenza Avanzata Sistemi di Gestione

GDPR (General Data Protection Regulation) UE 2016/679  Regolamento Europeo sulla Privacy

​

Come oramai molti sanno il 24 maggio 2016 è entrato in vigore a livello di Comunità Europea il nuovo Regolamento Europeo sulla Privacy.  Le norme saranno applicabili dal 25 maggio 2018 ed il tempo a disposizione per capire la strategia migliore da applicare e metterla in atto non è molto.

Il regolamento porterà una serie di innovazioni non solo per il singolo cittadino ma anche per aziende, enti pubblici, liberi professioni ed associazioni.

In primis il legislatore ha voluto introdurre regole più chiare in merito all’informativa ed al consenso stabilendo precisi limiti al trattamento automatizzato dei dati, alla relativa violazione ed all’interscambio degli stessi al di fuori della Comunità Europea.

 

Si è voluto rendere la norma più trasparente, con un’unica visione in tutta l’Unione Europea, rendendo molto chiara e semplice la gestione del proprio dato per ogni cittadino mediante consensi e revoche evidenti.

In un mondo sempre più digitale si è dato particolare risalto alla portabilità dei dati personali. In particolare diventerà molto più semplice trasferire i propri dati da un gestore ad un altro per i contratti come la telefonia, e quelli urbani (acqua, luce e gas) in quanto sarà fatto obbligo al gestore attuale il trasferimento autorizzato delle informazioni verso terzi.

Anche dati più strutturati, come la messaggistica elettronica o i file nel cloud, dovranno essere trattati secondo questa nuova visione.

 

Uno degli aspetti di rilievo del nuovo Regolamento è la prospettiva di continuità in relazione a quanto previsto dall’attuale Codice della Privacy e dalle normative esistenti, quali il D.Lgs. 231/2001 o lo Statuto dei Lavoratori, norme che saranno coercitive per tutto il periodo di transizione.

Considerando che, in caso di violazione del trattamento dati di cui è Titolare l’azienda, la stessa potrà essere sottoposta ad una sanzione sino al 4% del fatturato annuo globale mondiale, è essenziale che ogni azienda in qualità di Titolare del trattamento, effettui un’analisi attenta di quelli che saranno gli effetti che il Regolamento produrrà sulle singole Direzioni e, quindi, sulla gestione interna dei dati detenuti in formato elettronico.

 

I REQUISITI DA PRENDERE IN CONSIDERAZIONE:

​

• Privacy quale sistema di gestione dei dati: essenziale poter ricostruire il flusso relativo ai dati sulla base dell’organizzazione aziendale catalogando i trattamenti sia per direzioni e ricostruendo le eventuali interazioni tra direzione e direzione rispetto al transito del dato personale.

• Mappatura ruoli e organigramma privacy: mappatura dei ruoli dei soggetti che intervengono nel trattamento e realizzazione di un organigramma sotto il profilo privacy.

• Policy e buone pratiche: Il principio dell’accountability, fortemente rafforzato nel Regolamento Europeo, stabilisce che spetta al Titolare dimostrare l’aderenza dell’azienda alle disposizioni. Documentazione e buone pratiche sono fondamentali, ma vanno attentamente studiate e realizzate ‘su misura’ per ogni organizzazione.

• Privacy by design e by default: Titolari e Responsabili dovranno porre in atto misure tecniche organizzative adeguate per garantire ed essere in grado di dimostrare sin dall’origine che il trattamento dei dati è conforme al nuovo quadro normativo. Questo implica rinnovati equilibri contrattuali con i fornitori che dovranno assicurare misure tecniche organizzative idonee a soddisfare il rispetto del Regolamento.

• Strumenti operativi: Privacy RiskAssesment – essenziale per individuare e tracciare un perimetro dei rischi a cui è sottoposto un processo e Privacy Impact Assessment, un documento, in alcuni casi specifici previsto obbligatoriamente dal Regolamento, contenente accanto alla descrizione sistematica dei trattamenti previsti e delle finalità, valutazioni specifiche rispetto a necessità, proporzionalità e rischi del trattamento nonché le misure di sicurezza e le garanzie per farvi fronte.

• Data retention e PIA: dovranno essere stabiliti i termini di conservazione per ogni tipologia di trattamento, contemperando l’obbligo di conservazione previsto dalla legge per taluni documenti e taluni dati rispetto all’obbligo di cancellazione che il Regolamento renderà ancor più coercitivo. In alcuni casi sarà obbligatorio per le aziende redigere anche un Privacy Impact Assessment: il cosiddetto PIA, un documento che dovrà contenere gli aspetti relativi all’impatto, dal punto di vista della sicurezza della gestione dei dati, che il trattamento posto in essere potrà avere sui medesimi.

• DPO Il ruolo del Data ProtectionOfficer: che cosa prevede la normativa  Gli articoli 37, 38 e 39 (sezione 4) del GDPR trattano della figura del DPO (Data ProtectionOfficer) in particolare della designazione, della posizione e dei compiti.