Privacy e protezione dei dati personali

Che cos’è

Ogni impresa tratta dati personali: dipendenti, clienti, fornitori, candidati, visitatori. Il regolamento europeo sulla protezione dei dati non chiede un adempimento singolo da esibire, ma un insieme coerente di scelte documentate: il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è conforme, e deve riesaminarle e aggiornarle quando serve.

ISG Formazione accompagna l’impresa su questo percorso sul piano documentale e organizzativo: i documenti che il regolamento richiede, il modo in cui l’impresa organizza i trattamenti, e la formazione di chi tratta i dati ogni giorno. È la parte in cui la conformità si costruisce e si dimostra.

Che cosa comprende

Gli obblighi che un percorso di adeguamento incontra, con il loro riferimento:

• informare le persone di cui si raccolgono i dati, nel momento in cui li si raccoglie: identità e contatti del titolare, contatti del responsabile della protezione dei dati ove designato, finalità e base giuridica, eventuali legittimi interessi perseguiti, destinatari, trasferimenti fuori dall’Unione europea, tempo di conservazione e diritti dell’interessato (art. 13);
• progettare i trattamenti in modo che proteggano i dati fin dall’inizio e per impostazione predefinita, trattando solo i dati necessari a ciascuna finalità, per quantità, portata, periodo di conservazione e accessibilità (art. 25);
• regolare per iscritto il rapporto con chi tratta dati per conto dell’impresa — consulenti del lavoro, software gestionali, fornitori di servizi informatici — con un contratto o altro atto giuridico che imponga al responsabile del trattamento gli obblighi previsti (art. 28);
• tenere il registro delle attività di trattamento, con finalità, categorie di interessati e di dati, destinatari, trasferimenti, termini di cancellazione ove possibile e descrizione generale delle misure di sicurezza (art. 30);
• adottare misure di sicurezza adeguate al rischio, che possono comprendere pseudonimizzazione e cifratura, capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi, capacità di ripristino tempestivo e procedure per testare e valutare regolarmente l’efficacia delle misure (art. 32);
• valutare l’impatto prima di avviare trattamenti che possono presentare un rischio elevato, in particolare nei casi indicati dal regolamento: valutazione sistematica e globale di aspetti personali basata su trattamenti automatizzati compresa la profilazione, trattamento su larga scala di categorie particolari di dati, sorveglianza sistematica su larga scala di zone accessibili al pubblico (art. 35);
• designare il responsabile della protezione dei dati quando il trattamento è svolto da un’autorità o organismo pubblico, quando le attività principali richiedono il monitoraggio regolare e sistematico degli interessati su larga scala, o quando consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati (art. 37).

Di questo percorso ISG Formazione segue la parte documentale e organizzativa: la ricognizione dei trattamenti esistenti, la redazione delle informative, il registro delle attività di trattamento, le nomine e le istruzioni a chi tratta i dati dentro l’impresa, i contratti con i responsabili esterni, le procedure che regolano chi accede a che cosa — e la formazione di chi quei dati li tratta ogni giorno, che è la misura organizzativa che più spesso manca.

Tre cose restano fuori, ed è giusto saperlo prima. Le misure tecniche e informatiche — come si configurano i sistemi, come si cifrano e si salvano i dati — sono materia di chi gestisce l’informatica dell’impresa: ISG Formazione dice che cosa deve essere garantito, non lo realizza. L’incarico di responsabile della protezione dei dati non è assunto da ISG Formazione. La valutazione d’impatto per i trattamenti ad alto rischio è prestazione a sé, che si valuta quando il caso si presenta.

Le violazioni dei dati e le richieste degli interessati hanno termini stretti e si trattano quando accadono: ISG Formazione predispone le procedure perché l’impresa sappia che cosa fare e in quanto tempo; la gestione del singolo caso si concorda allora.