Il Regolamento generale sulla protezione dei dati (UE 2016/679) è entrato in vigore il 25 maggio 2018, aggiungendo nuovi elementi e miglioramenti significativi al regime di protezione dei dati esistente.
Ruoli e responsabilità
Nel periodo precedente al GDPR avrai valutato se fosse necessario nominare formalmente un DPO, una necessità se:
- Sei un'autorità o un ente pubblico; oppure
- Le tue attività principali richiedono un monitoraggio sistematico, regolare e su larga scala degli individui; oppure
- Le vostre attività principali consistono nell'elaborazione su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.
Molte organizzazioni scelgono di affidare la responsabilità delle attività relative alla privacy a un singolo individuo o a un dipartimento, senza la necessità di una nomina formale del DPO. Garantire che i ruoli e le responsabilità in materia di protezione dei dati siano ben noti e documentati all'interno della propria organizzazione è un requisito fondamentale per la conformità.
ROPA – Registro delle attività di trattamento
La documentazione delle attività di trattamento svolte dall'organizzazione è un requisito dell'Articolo 30 del GDPR (sia nel Regno Unito che nell'UE) se la tua organizzazione ha più di 250 dipendenti. È un requisito anche per le aziende più piccole se i dati trattati:
- non sono occasionali
- possono avere un impatto sui diritti e sulle libertà degli individui; e
- riguardano dati di categorie speciali o dati relativi a condanne penali e reati.
Il tuo ROPA dovrebbe contenere una mappa dei dati dei tuoi sistemi che contengono dati personali, insieme a informazioni sulla base giuridica del trattamento, sulle finalità e sui metodi di trattamento dei dati, sulle politiche e procedure di condivisione e conservazione dei dati.
È importante garantire che questa documentazione venga revisionata regolarmente, poiché è probabile che nel tempo vengano apportati aggiornamenti.
Ulteriori indicazioni da parte dell'ICO sulle migliori pratiche ROPA.
Politiche e procedure
Le tue politiche e procedure dovrebbero delineare chiaramente i ruoli e le responsabilità nella tua organizzazione, coprendo una serie di aree relative alla privacy:
- Protezione dei dati e gestione dei record
- Sicurezza delle informazioni, comprese violazioni e gestione degli incidenti
- La fornitura di informazioni a seguito di richieste di diritti individuali, come richieste di accesso ai dati personali e avvisi informativi
- Protezione dei dati fin dalla progettazione e per impostazione predefinita per garantire che i problemi siano considerati e documentati (valutazioni dell'impatto sulla privacy) quando vengono implementati nuovi sistemi, servizi, prodotti e processi o quando quelli esistenti vengono modificati
- L'informativa sulla privacy sul tuo sito web dovrebbe essere rivista regolarmente e la data dell'ultimo aggiornamento dovrebbe essere chiaramente visualizzata
Gestione dei fornitori
È essenziale che siano stipulati contratti con le organizzazioni che trattano i dati per vostro conto. I contratti devono specificare i dettagli del trattamento, tra cui:
- L'oggetto del trattamento
- Durata del trattamento
- Natura e finalità del trattamento
- Tipologia di dati personali e categorie di interessati
- Se vengono utilizzati sub-responsabili.
È necessario un quadro di controlli di due diligence per garantire che queste organizzazioni operino secondo i requisiti tecnici e organizzativi appropriati per soddisfare il GDPR.
Si consiglia di rivedere regolarmente i contratti e gli accordi di condivisione dei dati in essere con altre organizzazioni.
Formazione
È fondamentale assicurarsi che il personale sia consapevole delle proprie responsabilità in materia di trattamento dei dati personali. La formazione introduttiva e di aggiornamento dovrebbe includere informazioni sulla protezione dei dati, sulle potenziali minacce alla sicurezza e sulle policy e strutture di governance delle informazioni dell'organizzazione. Il monitoraggio e la documentazione del completamento della formazione sono elementi essenziali per dimostrare la conformità.
Altre leggi e regolamenti
Nel Regno Unito esistono diverse altre leggi e normative che incidono sulla sicurezza dei dati. Tra queste:
- Regolamento sulla privacy e le comunicazioni elettroniche (PECR) del 2003, che disciplina lo "spam" e le e-mail di marketing di massa. Periodicamente vengono emanati anche regolamenti ai sensi del PECR. Ad esempio, regolamenti sull'uso dei cookie sui siti web e, nel 2016, che impongono a chiunque effettui una chiamata di marketing di visualizzare il proprio numero.
- Copyright Design and Patents Act – modificato nel 2002 per coprire il furto di software
- Potrebbero essere applicabili altri standard e normative IT: ad esempio, le aziende che elaborano transazioni con carta di credito devono garantire la conformità agli standard PCI DSS (Payment Card Industry Data Security Standards) .
Fonti e link
Pagina iniziale dell'ICO per le organizzazioni
Portale GDPR dell’UE – www.gdpreu.org
