Premessa: la situazione normativa Attuale
Il 25 maggio 2018 entra in vigore Regolamento Europeo sulla Protezione dei Dati, GDPR UE 2016/679.
Si assiste ad un cambio di prospettiva nel rispetto dei diritti fondamentali delle persone fisiche e nella
libera circolazione dei dati.
Il 19 settembre 2018 entra in vigore in Italia il Decreto 10 agosto 2018 n.101 con il quale il paese si adegua al GDPR. Questo si muove attraverso alcune principali direttive:
- Omogeneità di disciplina sulla tutela dei dati personali tra gli Stati membri.
- Assunzione di responsabilità (accountability) da parte delle imprese titolari che, d’ora in poi, avranno l’onere di provare di avere diligentemente tutelato i dati personali che utilizzano.
- Suggerimento di un modello di organizzazione e gestione aziendale sulla protezione dei dati.
- Effettivo controllo dell’individuo sull’uso dei propri dati personali da parte di terzi.
- Maggiore tutela nei trasferimenti internazionali di dati.
Le nostre aree di intervento
Pre-Assessment: Audit e Gap Analisys, in modo da analizzare quali sono gli effettivi dati trattati e descrivere il flusso dati, verificare “lo stato dell’arte”, effettuare le valutazioni di rischio ed eventualmente far emergere le criticità e le carenze nel trattamento dei dati personali.
Pre-Assessment
Audit e Gap Analisys: quali sono gli effettivi dati trattati e descrivere il flusso dati, verificare “lo stato dell’arte”, effettuare le valutazioni di rischio ed eventualmente far emergere le criticità e le carenze nel trattamento dei dati personali.
Assessment
Fase di progettazione effettuare le eventuali DPIA (Valutazione di impatto) e definizione del modello organizzativo privacy (MOP).
Formazione obbligatoria
Del personale ai sensi dell’art. 32 Reg. 2016/679/UE.
Supporto al DPO interno
Ovvero assunzione dell’incarico di DPO quale consulente esterno all’azienda con la garanzia di terzietà ed indipendenza.
Valutazione
E gap analisys annuale.
Pre-Assessment
Nel procedere in questa fase il team Privacy si preoccuperà di valutare attraverso un audit specifica attraverso le indicazioni proposte con le principali linee guida delle certificazioni ISO 19011, nella parte applicabile, in ragione della complessità della struttura aziendale;
- Definire i principali trattamenti effettuati e valutarne i presupposti di liceità;
- Valutare la presenza di procedure organizzative idonee a garantire il rispetto del Regolamento UE 679/2016 almeno per le principali attività di trattamento;
- Valutare la infrastruttura informatica ed i requisiti di sicurezza informatica adottati;
- Effettuazione della Valutazione del rischio al fine di verificare la necessità di effettuare una DPIA ovvero di porre in essere un aggiornamento della DPIA.
L’esito della Audit e della Gap Analysis garantisce una completa conoscenza del contesto aziendale che porta alla determinazione di tutte le azioni e le misure necessarie per consentire di adeguare l’azienda alle prescrizioni del Regolamento, quali la Mappatura dei Trattamenti e il relativo Registro delle Attività di Trattamento, così come prescritto dal Regolamento.
In seguito, sarà stabilito un dettagliato piano di azioni da attuare per raggiungere la piena conformità che conterrà le procedure gestionali, tecniche ed organizzative finalizzate alla sicurezza dei dati, i rischi associati alle attività di trattamento e le relative contromisure. I documenti di riferimento esemplificativi che verranno forniti:
- Lettere di incarico delle figure di riferimento;
- Gestione del sistema di videosorveglianza (se presente);
- Informative privacy e modulistica dei consensi;
- Format documentali specifici per la gestione delle risorse informatiche e tecnologiche (Cambio password, controlli periodici, accesso rete wifi, ecc.);
- Lettere e contratti di incarico di responsabile del trattamento dei dati personali;
- Policy privacy sito internet e adeguamento se necessario della cookies policy;
- Registro del trattamento dei dati del Titolare e del responsabile del trattamento dei dati personali.
Assessment - Formazione ed istruzione del personale
L’attività di adeguamento volta a creazione del Modello organizzativo Privacy tailor made verrà predisposto attraverso:
- Eventuale DPIA (valutazione di impatto relativa al trattamento dei dati personali);
- Definizione e corretta compilazione del registro del trattamento dei dati del Titolare e del responsabile del trattamento dei dati personali;
- Definizioni degli organigrammi e delle policies sull’uso degli strumenti informatici;
- Effettuazione della Valutazione del rischio al fine di verificare la necessità di effettuare una DPIA ovvero di porre in essere un aggiornamento della DPIA;
- Definizione dei modelli di gestione della privacy dei dipendenti e collaboratori della società;
- Verifica della necessità di nomina di un DPO interno o esterno;
- Redazione documento di sintesi del Modello Organizzativo Privacy (MOP).
Tra le più significative novità del Regolamento vi è la formazione e l’istruzione del personale che, a vario titolo, tratta dati personali. Il percorso di formazione ed istruzione rientra nelle misure di sicurezza richiamate più volte nel GDPR. Lo studio fornirà un corso di formazione base con test a risposta multipla finale di 4 ore a tutti i soci, dipendenti e collaboratori.
Data Protection Officer (DPO) o responsabile per la protezione dei dati personali (RPDP)
DATA PROTECTION OFFICER
Il Regolamento UE 2016/679 ha introdotto la figura del Data Protection Officer ovvero, il Responsabile della Protezione dei dati (D.P.O./R.P.D.). DPO è IN ESTREMA sintesi il garante ed il sorvegliante del trattamento dei dati personali.
Lo Studio Giambrone & Partners offre un servizio di supporto al D.P.O. nominato interno alle aziende attraverso l’assistenza e l’affiancamento a questa nuova figura interna all’azienda, ovvero è in grado di individuare all’interno del proprio team un DPO dedicato con competenze giuridiche, informatiche, di risk management e di analisi dei processi con formazione specifica di corsi certificati e/o universitari di specializzazione di secondo livello in materia di tutela del trattamento dei dati personali, diritto dell’informatica (competenze specifiche in e-commerce, piattaforme commerciali, contrattualistica e cyber security) ed informatica giuridica.
Valutazione e gap analisys annuale.
Attività di consulenza in merito alla valutazione del rischio e la valutazione di impatto effettuazione della DPIA.
Uno dei punti particolarmente delicati introdotti dal GDPR è l’approccio basato sul rischio. Tale metodo impone per ogni trattamento dei dati personali la valutazione del rischio: prima di iniziare un trattamento di dati personali è obbligatorio condurre un certo numero di valutazioni preventive del rischio.
Alcuni dei trattamenti effettuati potrebbero implicare un rischio elevato per gli interessati che a vario titolo conferiscono i dati. Per tali trattamenti sarà necessario procedere ad una Valutazione di Impatto Privacy DPIA.
Il Team Privacy supporta le aziende nella predisposizione della valutazione del rischio e della eventuale DPIA necessaria e in tutti gli adempimenti successivi.
