Il GDPR richiede di documentare come rispetti i principi di legge.

Una politica codificata ti aiuterà a gestire la protezione dei dati in modo coerente e a dimostrare la responsabilizzazione ai sensi del GDPR. Ciò può essere attuato con la stesura di un regolamento autonomo o come parte di una politica generale di gestione del personale.

Le linee guida dovrebbero definire chiaramente il tuo approccio alla protezione dei dati insieme alle responsabilità per la loro attuazione e monitoraggio della conformità.

La direzione dovrebbe approvare un tale regolamento, pubblicarlo e comunicarlo a tutto il personale. È necessario rivederlo e mantenerlo aggiornato a intervalli pianificati o quando necessario per assicurarsi che rimanga adeguato agli scopi.

È importante assicurarsi che qualcuno nella propria azienda o un consulente esterno per la protezione dei dati si assuma la responsabilità della conformità normativa della protezione dei dati trattati.

Potrebbe essere necessario nominare un Responsabile della Protezione dei Dati (RPD - DPO). Qualsiasi azienda può nominare un RPD, ma è obbligatorio farlo se:

• si tratta di una Pubblica Amministrazione, ad eccezione degli uffici giudiziari
• viene effettuato un monitoraggio regolare e sistematico su larga scala delle persone, per esempio il monitoraggio del comportamento online
• vengono effettuati trattamenti su larga scala di categorie particolari di dati o dati relativi a condanne penali e reati

Potresti trovare utile designare un RPD su base volontaria anche quando il GDPR non lo richiede.

L'RPD dovrebbe lavorare in modo indipendente, riferire al massimo livello di gestione e disporre di risorse adeguate per consentire all'organizzazione che lo ha nominato di soddisfare i propri obblighi previsti dal GDPR.

Le attività minime del Responsabile della Protezione dei Dati sono:

• informare e consigliare l'organizzazione e i suoi dipendenti in merito agli obblighi di conformità al GDPR e alle altre norme sulla protezione dei dati
• monitorare la conformità con il GDPR e con le altre norme sulla protezione dei dati, compresa la gestione delle attività di protezione dei dati effettuate internamente, la sensibilizzazione e la formazione del personale e lo svolgimento di controlli interni
• consigliare e controllare le valutazioni d'impatto sulla protezione dei dati personali
• fungere da punto di contatto e collaborare con il Garante per la protezione dei dati personali e fornire supporto per qualsiasi questione relativa alla protezione dei dati
• essere il contatto per gli interessati i cui dati vengono elaborati (dipendenti, clienti, ecc.)

Dovresti documentare l'analisi interna che hai effettuato per determinare se nominare un RPD, a meno che non sia evidente che la tua azienda non è tenuta a designarne uno.

Dovresti assicurarti che i dirigenti e le persone che ricoprono ruoli di responsabilità nella tua azienda siano a conoscenza delle disposizioni del GDPR.

I dirigenti e responsabili a vario livello dovrebbero dare l'esempio, dimostrando la responsabilizzazione per la conformità con il GDPR e promuovendo, all'interno dell'azienda, una cultura positiva della protezione dei dati.

Dirigenti e responsabili dovrebbero assumere un ruolo guida nella valutazione di eventuali impatti sulla tua attività e incoraggiare un approccio di protezione dei dati a partire dalla progettazione (privacy by design).

Dirigenti e responsabili dovrebbero contribuire a sensibilizzare tutto il personale sull'importanza di esercitare buone pratiche di protezione dei dati.

Dovresti stabilire come gestisci i rischi informativi.

Questa attività potrebbe essere gestita dal titolare del trattamento al quale stai fornendo i servizi e dovresti assicurarti di collaborare con esso in modo tale che tutti i rischi informativi che identifichi vengano sottoposti alla sua attenzione regolarmente.

È necessario disporre di un profilo esperto come responsabile della gestione dei rischi informativi, del coordinamento delle procedure messe in atto per mitigarli, delle politiche di accesso ai sistemi e della valutazione dei rischi delle risorse informatiche.

Dovresti disporre di piani d'intervento adeguati per mitigare eventuali rischi che non sono stati contenuti o risolti.

Prima dell'inizio di un nuovo contratto, il titolare del trattamento dovrebbe completare una valutazione d'impatto sulla protezione dei dati (DPIA) laddove le circostanze la richiedano. Come responsabile del trattamento dovresti essere pronto a fornire il tuo contributo a questa valutazione e collaborare con il titolare del trattamento per mitigare qualsiasi rischio identificato. Avere attuato un quadro di gestione dei rischi informativi ti aiuterà a farlo efficacemente.

Ai sensi del GDPR, come responsabile del trattamento hai l'obbligo generale di attuare misure tecniche e organizzative adeguate per dimostrare di aver preso in considerazione e integrato la protezione dei dati nelle tue attività di trattamento. Ciò viene indicato come protezione dei dati dalla progettazione (privacy by design) e come impostazione predefinita (privacy by default).

Dovresti adottare politiche interne e attuare misure che aiutino a conformarsi ai principi di protezione dei dati, ad esempio misure di minimizzazione dei dati, pseudonimizzazione e trasparenza.

È necessario informare tutti gli addetti alla gestione dei dati personali sulle proprie responsabilità in materia di protezione dei dati. È buona norma erogare una formazione di sensibilizzazione nel tempo, in occasione o immediatamente dopo la nomina e aggiornamenti a intervalli regolari o quando richiesto.

Dovresti anche prendere in considerazione una formazione specialistica per il personale con compiti specifici, come la sicurezza delle informazioni, la gestione del database e il marketing.

Comunicare regolarmente informazioni rilevanti è altrettanto importante per rafforzare la formazione e mantenere la consapevolezza, ad esempio mediante intranet, circolari, riunioni e poster.

Ogni volta che tratti dati personali devi avere stipulato con il titolare del trattamento un contratto scritto o di un altro atto legalmente valido.

Il contratto è importante affinché entrambe le parti comprendano le proprie responsabilità e obblighi legali.

Il GDPR stabilisce ciò che è necessario includere nel contratto, incluso l'obbligo di agire solo su istruzioni scritte del titolare del trattamento.

Sebbene il titolare del trattamento sia in definitiva responsabile della conformità generale al GDPR e della dimostrazione di tale conformità, in qualità di responsabile del trattamento hai alcuni obblighi e responsabilità dirette.

Il mancato rispetto di uno qualsiasi di questi obblighi, o agire fuori dagli accordi presi o in contrasto con essi, potrebbe comportare il fatto di essere tenuto a risarcire i danni in procedimenti legali o essere soggetto a multe o altre sanzioni o misure correttive.

Potresti considerare l'adesione a un codice di condotta o schema di certificazione approvato per dimostrare, insieme al titolare del trattamento, che sei stato scelto come responsabile del trattamento perché qualificato per il ruolo. Tuttavia, questi non sono ancora disponibili per tutti i settori.

Le clausole contrattuali standard potrebbero essere fornite dalla Commissione europea o dal Garante per la protezione dei dati personali e far parte di un codice o di un sistema di certificazione. Tuttavia, questi non sono ancora disponibili per tutti i settori.

Puoi assumere un altro responsabile del trattamento come tuo sub-responsabile solo se hai la preventiva autorizzazione scritta del titolare del trattamento.

È necessario stipulare un contratto con il sub-responsabile, o altro atto legale, che imponga obblighi specifici a tale sub-responsabile.

In qualità di responsabile del trattamento, sei responsabile nei confronti del titolare del trattamento per l'adempimento degli obblighi del tuo sub-responsabile.

L'autorizzazione preventiva all'uso di un sub-responsabile può essere specifica o generale. Tuttavia, se generale, è necessario informare anticipatamente il titolare di eventuali modifiche che si intende apportare in merito all'aggiunta o alla sostituzione di altri sub-responsabili, in modo che il titolare abbia la possibilità di opporsi.

Ai sensi del GDPR, se la tua azienda si trova al di fuori dell'UE e offre prodotti e servizi ai cittadini dell'UE, allora è necessario che tu designi per iscritto un rappresentante all'interno dell'Unione Europea.

È possibile trasferire dati personali al di fuori dell'UE in conformità con le condizioni per il trasferimento stabilite nel capo V del GDPR.

Il GDPR introduce l'obbligo per tutti i responsabili del trattamento di informare i titolari del trattamento di una violazione dei dati personali "senza indebito ritardo" dopo esserne venuti a conoscenza. È quindi importante disporre di procedure per individuare e segnalare le violazioni sia interne che esterne.

Una violazione dei dati personali (data breach) indica una violazione della sicurezza che porta alla distruzione, perdita, alterazione, divulgazione o accesso non autorizzato ai dati personali trasmessi, archiviati o altrimenti trattati.

Dovresti assicurarti che il tuo personale comprenda ciò che costituisce una violazione dei dati personali e che questa è ben oltre la perdita di dati personali.

Gli interessati hanno il diritto di ottenere:

• conferma che i loro dati sono trattati
• accesso ai loro dati personali
• altre informazioni supplementari: ciò corrisponde in gran parte alle informazioni che il titolare deve fornire come informativa sulla privacy

È necessario disporre di solide procedure e assegnare responsabilità all'interno dell'azienda per raccogliere e gestire tali richieste in modo tempestivo, indipendentemente dal fatto che vengano indirizzate a te o al titolare del trattamento.

Se sono stati identificati e documentati tutti i dati trattati, sarà più facile individuare e recuperare informazioni specifiche come richiesto dal titolare del trattamento. Le informazioni devono essere fornite al richiedente dal titolare del trattamento senza indugio e al più tardi entro un mese dal ricevimento della richiesta, prorogabile di altri due mesi per richieste complesse o numerose. In tal caso l'interessato deve essere informato e ricevere una spiegazione.

Se la richiesta viene effettuata elettronicamente, potrebbe essere richiesto dal titolare del trattamento di inviargli i dati in un formato elettronico usato comunemente.

Dovresti stabilire i tempi per la tua risposta a una richiesta di informazioni da parte degli interessati come clausola all'interno del contratto scritto con il titolare del trattamento.

Gli interessati hanno il diritto di rettificare i dati se questi non sono corretti o completi.

Devi attuare procedure che consentano di rispondere a una richiesta di un titolare del trattamento di correggere i dati inesatti entro un mese.

È buona norma contrassegnare come inesatti o incompleti i dati oggetto di controversia e indicarne i motivi.

Se i dati personali sono stati divulgati ad altri, è necessario contattare ciascun destinatario e informarlo della limitazione al trattamento di tali dati, a meno che ciò non si riveli impossibile o comporti uno sforzo sproporzionato. Se richiesto, è inoltre necessario fornire informazioni agli interessati circa i destinatari.

È necessario rivedere periodicamente i dati trattati o archiviati per conto di un titolare del trattamento per stabilire quando è necessario eseguire determinate operazioni, ad esempio correggere dati errati. Può essere di aiuto adottare politiche di gestione degli archivi (compresi gli elenchi di indirizzi e-mail) con regole certe per la loro creazione e conservazione.

Condurre revisioni periodiche della qualità dei dati presenti nei sistemi digitali e cartacei ti aiuterà a garantire che le informazioni continuino ad essere adeguate alle finalità del trattamento in accordo con quanto stabilito nel contratto stipulato con il titolare del trattamento.

Dovresti anche assicurarti di completare regolari controlli di qualità dei dati per fornire garanzie sull'accuratezza dei dati che il tuo personale sta inserendo nei sistemi di trattamento.

Se si identificano problemi di accuratezza dei dati è necessario comunicare agli addetti quanto rilevato attraverso campagne di sensibilizzazione e formazione continua.

Gli interessati hanno il diritto di essere dimenticati (cosiddetto diritto all'oblio) e possono richiedere al titolare del trattamento, e conseguentemente a te come responsabile, la cancellazione dei propri dati personali quando:

• non sono più necessari per la finalità per la quale sono stati originariamente raccolti e trattati
• l'interessato revoca il consenso al loro trattamento
• l'interessato si oppone al trattamento dei propri dati e non esiste alcun interesse legittimo prevalente per continuare a trattarli
• sono stati trattati illegalmente (ovvero in violazione del GDPR)
• devono essere cancellati per ottemperare a un obbligo legale
• vengono elaborati per i servizi della società dell'informazione rivolti ai minori

È necessario prestare particolare attenzione alle situazioni in cui un minore ha espresso il consenso al trattamento e successivamente richiede la cancellazione dei dati (indipendentemente dalla sua età al momento della richiesta), in particolare sui siti di social network e sui forum di internet. Questo perché un minore potrebbe non essere stato pienamente consapevole dei rischi connessi con il trattamento al momento del consenso.

Queste richieste verranno inizialmente ricevute dal titolare del trattamento. Tuttavia, se anche tu tratti e archivi tali dati, è necessario disporre delle procedure appropriate per garantirne la cancellazione definitiva entro un mese dalla ricezione.

È necessario disporre di clausole contrattuali standard relative alla cancellazione, alla conservazione e allo smaltimento dei dati. Dovresti assicurarti che tali condizioni siano soddisfatte. Una politica di conservazione in forma scritta ti ricorderà quando smaltire le varie categorie di dati e ti aiuterà a pianificare il loro smaltimento sicuro.

Gli interessati hanno il diritto di bloccare o limitare il trattamento dei loro dati personali.

Quando il trattamento è limitato ti è consentita la sola conservazione dei dati personali con esclusione di qualsiasi altra operazione. Puoi conservare solo le informazioni sufficienti a garantire all'interessato che la restrizione venga rispettata in futuro.

Il titolare del trattamento ti può richiedere, nella tua qualità di responsabile del trattamento, di limitare il trattamento dei dati personali se:

• l'interessato contesta l'accuratezza dei dati personali
• l'interessato si è opposto al trattamento, laddove questo fosse necessario per l'esecuzione di un'attività di interesse pubblico o per un legittimo interesse del titolare del trattamento, e il titolare del trattamento sta valutando se tali interessi prevalgano su quelli dell'interessato
• il trattamento è illegale, ma l'interessato si oppone alla cancellazione dei dati e richiede invece una limitazione al loro trattamento
• i dati personali non sono più necessari al titolare del trattamento, ma l'interessato richiede che i dati vengano conservati per consentire di valutare di intraprendere un'azione legale o per difendersi in una controversia

Devi ottemperare alle richieste entro un mese dalla loro ricezione.

Il diritto alla portabilità dei dati consente agli interessati di ottenere e riutilizzare i propri dati personali a proprio piacimento attraverso diversi servizi.

Gli interessati possono ricevere i dati personali, spostarli, copiarli o trasferirli facilmente da un'azienda a un'altra in modo sicuro e senza problemi o impedimenti.

Il diritto alla portabilità dei dati si applica solo:

• ai dati personali forniti dall'interessato a un titolare del trattamento
• se il trattamento si basa sul consenso dell'interessato o per l'esecuzione di un contratto
• se il trattamento è effettuato con mezzi automatizzati

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Poichè il titolare del trattamento potrebbe ricevere tale richiesta, dovresti essere in grado di fornirgli tutti i dati trattati per suo conto in modo da consentirgli di soddisfare la richiesta di portabilità pervenuta dall'interessato.

Devi fornire i dati personali in un formato strutturato, comunemente usato e leggibile automaticamente. Esempi di formati adeguati includono file CSV e XML.

Devi fornire le informazioni gratuitamente. Se l'interessato (e quindi il titolare del trattamento) lo richiede, potrebbe essere necessario trasmettere i dati direttamente a un'altra azienda laddove ciò sia tecnicamente fattibile.

È necessario elaborare i dati personali in modo da garantire un'adeguata sicurezza.

Prima di poter decidere quale livello di sicurezza è accettabile devi valutare i rischi per i dati personali in tuo possesso e scegliere misure di sicurezza adeguate alle tue esigenze.

Mantenere i sistemi IT sicuri e protetti può essere un compito complesso e richiede tempo, risorse e competenza specialistica.

Se esegui un trattamento di dati personali all'interno dei tuoi sistemi IT, è necessario identificare i rischi connessi e adottare misure tecniche e organizzative adeguate per proteggere i dati.

Le misure messe in atto dovrebbero adattarsi alle esigenze della tua azienda e non devono necessariamente essere costose o onerose. Potrebbero anche essere gratuite o già disponibili nei sistemi IT attualmente in uso.

Un buon punto di partenza è stabilire e attuare una solida politica di sicurezza delle informazioni che descriva in dettaglio il tuo approccio alla sicurezza delle informazioni, le misure tecniche e organizzative che verranno realizzate e i ruoli e le responsabilità del personale relative alla protezione dei dati.