Il Regolamento Generale sulla Protezione dei Dati (GDPR) ha modificato profondamente il modo in cui aziende e professionisti devono organizzare il trattamento dei dati personali.

L’adeguamento alla normativa non consiste semplicemente nell’aggiornamento dell’informativa privacy del sito web o nella predisposizione di alcuni documenti standard. Il GDPR richiede un approccio organizzativo basato sulla responsabilizzazione del titolare del trattamento, che deve conoscere i dati gestiti, comprenderne le modalità di utilizzo e adottare misure adeguate ai rischi effettivi. 

Una corretta gestione della privacy può quindi diventare parte integrante dell’organizzazione aziendale: permette di individuare responsabilità, eliminare raccolte di dati non necessarie, definire procedure più chiare e migliorare la sicurezza delle informazioni.

Quali sono gli aspetti più importanti e come adeguarsi al GDPR

Il punto di partenza non è il singolo documento, ma la mappatura dei trattamenti di dati personali effettuati dall’organizzazione.

Ogni volta che un dato personale viene raccolto, registrato, organizzato, conservato, consultato, modificato, trasmesso, cancellato o distrutto viene effettuato un trattamento.

Per ogni trattamento occorre quindi comprendere almeno:

• quali dati personali vengono utilizzati;

• quali sono le categorie di interessati coinvolte;

• per quale finalità vengono trattati i dati;

• quale sia la relativa base giuridica;

• dove vengono conservati i dati;

• chi può accedervi;

• per quanto tempo vengono conservati;

• a quali soggetti possono essere comunicati;

• quali misure tecniche e organizzative di sicurezza sono state adottate.

Il risultato deve essere una rappresentazione concreta di come le informazioni vengono realmente utilizzate all’interno dei processi aziendali.

Non esiste una sola informativa privacy

Una delle conseguenze di questo approccio è il superamento dell’idea della privacy come semplice informativa pubblicata sul sito web.

Un’azienda può trattare dati personali relativi a clienti, potenziali clienti, dipendenti, candidati per le selezioni, collaboratori, corsisti, fornitori, visitatori, utenti dei propri servizi… 
I trattamenti possono essere differenti e, di conseguenza, devono essere fornite agli interessati informazioni coerenti con le finalità e le modalità effettive del trattamento.

Possono quindi essere necessarie, ad esempio, un’informativa per clienti e prospect, un’informativa per i dipendenti, una per i candidati alle selezioni, una per gli utenti del sito web e specifiche informative per ulteriori trattamenti effettuati dall’organizzazione.

La documentazione deve descrivere quello che realmente accade in azienda. Copiare l’informativa di un’altra organizzazione significa partire dal presupposto, quasi sempre errato, che le due aziende utilizzino gli stessi dati, con gli stessi strumenti, per le stesse finalità.

Il registro delle attività di trattamento

Le informative sono soltanto una parte del sistema di gestione della privacy.

Il registro delle attività di trattamento consente di organizzare e documentare i principali trattamenti effettuati dal titolare e costituisce uno degli strumenti centrali attraverso i quali l’organizzazione può dimostrare di conoscere e governare l’utilizzo dei dati personali.

Anche molte piccole e medie organizzazioni possono rientrare nell’obbligo di tenuta del registro in funzione delle caratteristiche dei trattamenti effettuati. Indipendentemente dall’obbligo formale, la mappatura dei trattamenti rappresenta comunque uno strumento utile per costruire e mantenere un sistema privacy coerente.

Occorre inoltre verificare se l’azienda tratti dati esclusivamente come titolare del trattamento (data controller) oppure svolga anche attività per conto di propri clienti in qualità di responsabile del trattamento (data processor). In quest’ultimo caso devono essere gestiti correttamente anche i trattamenti effettuati per conto terzi e i relativi rapporti contrattuali.

Sicurezza dei dati e gestione delle violazioni

La responsabilità dell’organizzazione non termina con la predisposizione della documentazione.

I dati personali devono essere protetti attraverso misure tecniche e organizzative adeguate, definite tenendo conto della natura dei dati, delle modalità di trattamento e dei rischi per le persone interessate.

Un errore umano, l’accesso abusivo a un sistema, lo smarrimento di un dispositivo, un attacco informatico o la cancellazione accidentale di informazioni possono determinare una violazione dei dati personali – data breach.

Il GDPR prevede procedure precise per la gestione di questi eventi. Quando la violazione può comportare un rischio per i diritti e le libertà delle persone, il titolare deve valutare la necessità della notifica al Garante, che nei casi previsti deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Nei casi di rischio elevato può essere necessaria anche la comunicazione agli interessati. Tutte le violazioni devono comunque essere adeguatamente documentate.

Per questo motivo la conformità privacy deve procedere insieme alla sicurezza informatica e alla definizione di procedure che consentano all’organizzazione di individuare, gestire e documentare tempestivamente eventuali incidenti.

Ma anche la mia azienda tratta dati personali?

Praticamente ogni organizzazione tratta dati personali nell’ambito della propria attività.

È sufficiente avere dei dipendenti, raccogliere curriculum, gestire i dati dei clienti, conservare i riferimenti dei fornitori, utilizzare la posta elettronica aziendale o ricevere richieste attraverso un sito web.

Spesso, però, i trattamenti meno evidenti sono proprio quelli che richiedono maggiore attenzione.

Videosorveglianza

La presenza di telecamere presso la sede aziendale comporta un trattamento di dati personali.

Occorre definire le finalità del sistema, fornire le informazioni previste agli interessati, individuare chi può accedere alle immagini e stabilire tempi di conservazione coerenti con le effettive necessità. Nel caso di videosorveglianza dei luoghi di lavoro devono inoltre essere considerate le specifiche disposizioni applicabili alla tutela dei lavoratori.

Documenti cartacei

La trasformazione digitale non ha eliminato completamente la documentazione cartacea.

Contratti, fascicoli del personale, curriculum, documentazione amministrativa e altri documenti possono contenere dati personali e devono essere gestiti con criteri adeguati durante tutto il loro ciclo di vita: utilizzo, archiviazione, accesso e distruzione.

Smartphone, tablet e lavoro in mobilità

Smartphone, tablet e computer portatili possono contenere o consentire l’accesso a una quantità rilevante di dati aziendali.

Questo vale sia per i dispositivi forniti dall’azienda sia, quando consentito, per quelli personali utilizzati per attività lavorative.

Occorre quindi definire regole per l’accesso ai dati, la protezione dei dispositivi, l’utilizzo delle credenziali, gli aggiornamenti, lo smarrimento o il furto degli apparati e la cancellazione delle informazioni al termine del loro utilizzo.

Cancellare un dato significa trattarlo

I dati vengono spesso conservati in luoghi dei quali con il tempo si perde conoscenza: vecchi computer, hard disk, telefoni, supporti rimovibili, archivi cartacei, copie di sicurezza o servizi cloud non più utilizzati.

Anche la cancellazione e la distruzione dei dati personali costituiscono un trattamento.

La dismissione di un computer, la sostituzione di uno smartphone o la distruzione di un archivio cartaceo devono quindi prevedere modalità che impediscano il successivo recupero o utilizzo non autorizzato delle informazioni.

Un percorso di adeguamento costruito sull’organizzazione

La consulenza Privacy e GDPR parte dall’analisi dell’organizzazione e dei trattamenti effettivamente svolti.

L’attività può comprendere:

• analisi iniziale e verifica dello stato di conformità;

• censimento e mappatura dei trattamenti;

• predisposizione e aggiornamento del registro delle attività di trattamento;

• predisposizione delle informative privacy;

• definizione di ruoli, autorizzazioni e responsabilità;

• verifica dei rapporti con responsabili e fornitori esterni;

• definizione dei tempi di conservazione dei dati;

• procedure per l’esercizio dei diritti degli interessati;

• procedure di gestione dei data breach;

• valutazione della necessità di una DPIA – Valutazione d’impatto sulla protezione dei dati nei trattamenti che possono presentare rischi elevati;

• verifica delle misure tecniche e organizzative di sicurezza;

• formazione e sensibilizzazione del personale.

Quando necessario, l’attività di consulenza privacy viene integrata con il nostro supporto tecnico informatico, in modo da verificare non soltanto gli aspetti documentali, ma anche le modalità concrete con cui dati, dispositivi, sistemi e archivi vengono protetti.

L’azienda viene seguita da un consulente dedicato e certificato, che mantiene nel tempo la conoscenza dell’organizzazione e supporta l’aggiornamento della documentazione e delle procedure in funzione dei cambiamenti aziendali.