Gli interessati devono sapere che stai raccogliendo i loro dati, perché li stai elaborando e con chi li condividi.

Dovresti pubblicare un'informativa sulla privacy sul tuo sito Web e inserirla in qualsiasi modulo o comunicazione che invii a persone fisiche. L'informativa deve essere:

• concisa, trasparente, intelligibile e facilmente accessibile
• scritta in un linguaggio chiaro e semplice, in particolare se indirizzata a un minore
• gratuita

Il contenuto dell'informativa dipende dal fatto che i dati personali siano stati ottenuti direttamente dall'interessato o da una terza parte.

È necessario fornire ai minori le stesse informazioni sulla privacy fornite agli adulti. È buona norma spiegare anche i rischi connessi al trattamento e le misure di sicurezza che hai messo in atto.

Tutte le informazioni dirette al minore devono essere concise, chiare e scritte in un linguaggio semplice in modo che sia in grado di comprendere cosa accadrà ai propri dati personali e quali sono i suoi diritti. L'informativa dovrebbe essere adatta all'età e presentata in modo tale da catturare l'interesse di un pubblico giovane.

Se è probabile che minori di età inferiore a quella della tua clientela di riferimento provino ad accedere ai servizi online che fornisci, prova a spiegare loro l'esistenza del limite di età in un linguaggio comprensibile.

Gli interessati hanno il diritto di ottenere:

• conferma che stai trattando i loro dati
• accesso ai loro dati personali
• altre informazioni supplementari: ciò corrisponde in gran parte alle informazioni che è necessario fornire come informativa sulla privacy

Gli interessati possono richiedere un accesso ai loro dati verbalmente o per iscritto. Sei obbligato a fornire una copia delle informazioni gratuitamente ma puoi applicare una "tariffa ragionevole" quando una richiesta è:

• manifestamente infondata o eccessiva, in particolare se è ripetitiva, a meno che tu non rifiuti di rispondere
• per ulteriori copie delle stesse informazioni che sono state precedentemente fornite. Ciò non significa che puoi rendere onerose tutte le successive richieste di accesso

Devi basare la tariffa richiesta sul costo amministrativo di reperimento e consegna delle informazioni.

Devi fornire le informazioni senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida. Il limite di tempo decorre dal giorno successivo alla ricezione della richiesta, indipendentemente dal fatto che il giorno successivo sia un giorno lavorativo, fino alla data del calendario corrispondente nel mese successivo.

Devi verificare l'identità della persona che effettua la richiesta utilizzando mezzi ragionevoli. Se la richiesta viene effettuata elettronicamente, è necessario fornire le informazioni in un formato elettronico utilizzato comunemente.

Gli interessati hanno il diritto di rettificare i dati se questi non sono corretti e di completarli se sono incompleti.

Gli interessati possono presentare le richieste di rettifica o completamento dei dati verbalmente o per iscritto.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida. È buona norma tenere traccia delle richieste in modo da avere un quadro aggiornato della situazione.

Devi verificare l'identità di chi effettua la richiesta utilizzando mezzi ragionevoli. Se condividi i dati con altri, devi informarli delle rettifiche eseguite.

È necessario controllare periodicamente i dati trattati per individuare quando è necessario eseguire le operazioni di aggiornamento o di rettifica. Politiche di gestione degli archivi, con regole per la lor creazione e per la conservazione dei dati contenuti (ad esempio per gli elenchi di indirizzi e-mail), possono essere un valido aiuto.

Condurre revisioni periodiche della accuratezza dei dati contenuti nei sistemi digitali e negli archivi cartacei in tuo possesso contribuirà a garantire che le informazioni continuino ad essere adeguate alle finalità per le quali le stai trattando.

Dovresti assicurarti di effettuare regolari controlli di qualità dei dati per avere garanzie sull'accuratezza dei dati immessi dal tuo personale nei sistemi di trattamento. Se rilevi problemi di accuratezza dei dati immessi nei tuoi sistemi, è necessario comunicare al personale quanto accaduto attraverso campagne di sensibilizzazione e avviando azioni di formazione continua.

Gli interessati hanno il diritto di essere dimenticati (diritto all'oblio) e possono richiedere la cancellazione dei propri dati personali quando:

• i dati non sono più necessari per la finalità per la quale sono stati originariamente raccolti e trattati
• l'interessato revoca il consenso al loro trattamento
• se stai basando il trattamento su un tuo legittimo interesse, l'interessato si oppone al trattamento dei propri dati e non esiste alcun interesse legittimo prevalente per continuare a trattarli
• se stai trattando dati personali per scopi di marketing diretto, l'interessato si oppone a tale trattamento
• sono stati trattati illegalmente (ovvero in violazione del GDPR)
• devono essere cancellati per ottemperare a un obbligo legale
• vengono elaborati per i servizi della società dell'informazione rivolti ai minori

Gli interessati possono richiedere la cancellazione dei dati verbalmente o per iscritto. Devi inoltre verificare l'identità di chi effettua la richiesta utilizzando mezzi ragionevoli.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida.

Puoi rifiutare di soddisfare una richiesta di cancellazione se stai trattando dati personali per i seguenti motivi:

• esercitare il diritto alla libertà di espressione e di informazione
• ottemperare a un obbligo legale
• svolgere un compito di interesse pubblico o esercitare pubblici poteri di cui sei investito
• per scopi di archiviazione nell'interesse pubblico, ricerca scientifica, storica o ai fini statistici
• esercitare il diritto a promuovere o a difendersi in controversie legali
• per scopi di sanità pubblica nell'interesse collettivo
• ai fini della medicina preventiva o del lavoro, se il trattamento è compiuto da o avviene sotto la supervisione di un operatore dei servizi sanitari

Un regolamento o un programma di conservazione scritto ti ricorderà quando smaltire le diverse categorie di dati e ti aiuterà a pianificare la loro distruzione in modo sicuro.

Dovresti controllare con regolarità il tuo programma di conservazione per assicurarti di soddisfare sempre i requisiti aziendali e legali, concordare eventuali modifiche con le figure professionali coinvolte e incorporarle nel nuovo programma.

Dovresti assegnare la responsabilità di conservazione e corretta distruzione dei dati a una persona adeguata al ruolo.

Gli interessati hanno il diritto di bloccare o limitare il trattamento dei loro dati personali.

Gli interessati possono richiedere una limitazione al trattamento verbalmente o per iscritto. Devi inoltre verificare l'identità di chi effettua la richiesta utilizzando mezzi ragionevoli.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida.

Quando il trattamento è limitato ti è consentita la sola conservazione dei dati personali, con esclusione di qualsiasi altro trattamento. Puoi conservare solo le informazioni sufficienti a garantire all'interessato che la restrizione venga rispettata in futuro. Come procedura di buona prassi dovresti considerare di limitare il trattamento dei dati personali se:

• l'interessato contesta l'accuratezza dei dati personali da te trattati, in tal caso dovresti limitare il trattamento fino a quando non ne avrai verificato l'accuratezza
• l'interessato si è opposto al trattamento, laddove questo fosse necessario per l'esecuzione di un'attività di interesse pubblico o per un tuo legittimo interesse, e stai valutando se tali interessi prevalgano su quelli dell'interessato
• il trattamento è illegale, l'interessato si oppone alla cancellazione dei dati e richiede invece delle restrizioni al loro trattamento
• i dati personali non ti sono più necessari, ma l'interessato richiede che i dati vengano conservati per consentire di valutare di intraprendere un'azione legale o per difendersi in una controversia

Dovresti controllare le tue procedure per assicurarti di essere in grado di determinare se e quando è necessario limitare il trattamento dei dati personali.

Se condividi i dati personali con altri dovrai informarli delle limitazioni al loro trattamento, a meno che ciò non sia impossibile o implichi uno sforzo sproporzionato.

Devi informare gli interessati quando decidi di revocare una limitazione al trattamento.

Il diritto alla portabilità dei dati consente agli interessati di ottenere e riutilizzare i propri dati personali a proprio piacimento attraverso diversi servizi.

Gli interessati possono ricevere i dati personali, spostarli, copiarli o trasferirli facilmente da un'azienda a un'altra in modo sicuro e senza problemi.

Il diritto alla portabilità dei dati si applica solo:

• ai dati personali forniti dall'interessato a un titolare del trattamento
• se il trattamento si basa sul consenso dell'interessato o per l'esecuzione di un contratto
• se il trattamento è effettuato con mezzi automatizzati

Gli interessati possono avanzare le richieste di portabilità verbalmente o per iscritto. Devi inoltre verificare l'identità di chi effettua la richiesta utilizzando mezzi ragionevoli.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida.

Devi fornire i dati personali in un formato strutturato, comunemente usato e leggibile automaticamente. Esempi di formati adeguati includono file CSV e XML.

Devi fornire le informazioni gratuitamente. Se l'interessato lo richiede, potrebbe essere necessario trasmettere i dati direttamente a un'altra azienda laddove ciò sia tecnicamente fattibile.

Gli interessati hanno il diritto di opporsi al trattamento dei propri dati personali in determinate circostanze. L'applicazione di tale diritto dipende dalle finalità del trattamento e dal principio di liceità su cui è fondato. Devi informare gli interessati del loro diritto di opporsi "al momento della prima comunicazione" e presentarlo in maniera distinta dalle altre informazioni sui loro diritti chiaramente indicate nella tua informativa sulla privacy.

Gli interessati possono opporsi al trattamento verbalmente o per iscritto, devi inoltre verificare l'identità di chi effettua la richiesta utilizzando mezzi ragionevoli.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida.

Se si applica il diritto di opposizione, questo non è sempre assoluto. Se si tratta di un diritto assoluto dipende dalle tue finalità del trattamento.

Gli interessati hanno il diritto assoluto di opporsi a qualsiasi trattamento, compresa la profilazione, intrapreso ai fini di marketing diretto.

Devi interrompere il trattamento per il marketing diretto non appena ricevi un'opposizione. Non esistono in tal caso esenzioni o motivi per rifiutare.

Gli interessati possono opporsi, per "motivi relativi alla propria situazione particolare", al trattamento, compresa la profilazione, basato su:

• i tuoi legittimi interessi
• l'esecuzione di un'attività nell'interesse pubblico
• l'esercizio di un'autorità pubblica

Nelle circostanze del punto precedente il diritto di opposizione non è assoluto. Devi infatti interrompere il trattamento a meno che:

• puoi dimostrare che questo è fondato su interessi inoppugnabili, che prevalgono sugli interessi, i diritti e le libertà dell'individuo
• il trattamento è inteso a esercitare un'azione legale o per difendersi in una controversia

Se tratti dati personali a fini di ricerca scientifica, storica o scopi statistici, il diritto di opposizione è più limitato e non si applica se il trattamento è necessario per l'esecuzione di un'attività svolta per motivi di interesse pubblico.

Il GDPR fornisce tutele agli interessati contro il rischio che venga presa una decisione potenzialmente dannosa senza l'intervento umano, più specificamente queste sono indicate nell'articolo 22.

Gli interessati hanno il diritto di non essere soggetti a una decisione quando:

• si basa esclusivamente su un trattamento automatizzato, compresa la profilazione
• produce un effetto legale o un effetto altrettanto significativo sull'interessato

È possibile eseguire questo tipo di trattamento solo se la decisione è:

• necessaria per stipulare o dare esecuzione a un contratto tra un titolare del trattamento e l'interessato
• autorizzata dalla legge (ad esempio nella prevenzione delle frodi o di evasione fiscale)
• basata sul consenso esplicito dell'interessato

Se si applica una delle eccezioni riportate al punto precedente, è necessario adottare misure adeguate per salvaguardare i diritti, le libertà e gli interessi legittimi dell'individuo. Tali misure devono comprendere almeno il diritto degli interessati di:

• ottenere l'intervento umano
• esprimere il loro punto di vista
• ottenere una spiegazione della decisione e avere la possibilità di contestarla

Gli interessati possono esercitare tali diritti verbalmente o per iscritto, devi inoltre verificarne l'identità utilizzando mezzi ragionevoli.

Devi ottemperare alle richieste senza indugio e comunque entro un mese dalla loro ricezione. Puoi estendere tale periodo di altri due mesi per richieste complesse o numerose, nel qual caso devi informare l'interessato e fornirgli una giustificazione valida.

Il GDPR definisce la profilazione come qualsiasi forma di trattamento automatizzato volto a valutare determinati aspetti personali di un individuo, in particolare per analizzare o prevedere:

• prestazioni sul lavoro
• situazione economica
• salute
• preferenze personali
• affidabilità
• comportamento
• posizione
• spostamenti

Se la decisione prevede il trattamento di categorie particolari di dati personali, le eccezioni disponibili per giustificare il trattamento automatizato sono più limitate. L'elaborazione può avvenire solo se:

• hai il consenso esplicito dell'interessato
• il trattamento è necessario per motivi di rilevante interesse pubblico

È necessario prestare particolare attenzione nel caso in cui la decisione automatizzata riguarda un minore.

Il GDPR richiede di documentare come rispetti i principi di legge.

Una politica codificata ti aiuterà a gestire la protezione dei dati in modo coerente e a dimostrare la responsabilizzazione ai sensi del GDPR. Ciò può essere attuato con la stesura di un regolamento autonomo o come parte di una politica generale di gestione del personale.

Le linee guida dovrebbero definire chiaramente il tuo approccio alla protezione dei dati insieme alle responsabilità per l'attuazione della politica generale e il monitoraggio della conformità.

La direzione dovrebbe approvare le linee guida, pubblicarle e comunicarle a tutto il personale. È necessario rivederle e mantenerle aggiornate a intervalli pianificati o quando necessario per assicurarsi che rimangano appropriate agli scopi.

Documentare le politiche spesso non è sufficiente per garantire che il personale stia aderendo ai processi che descrivono.

È necessario assicurarsi di disporre di procedure per monitorare la conformità alla protezione dei dati e alle politiche di sicurezza.

Dovresti testare regolarmente le misure che sono dettagliate all'interno delle politiche per fornire garanzie sulla loro continua efficacia.

La responsabilità di monitorare l'osservanza delle politiche dovrebbe essere indipendente dalle persone che attuano le linee guida, per consentire al monitoraggio di essere imparziale. Il personale dovrebbe riferire regolarmente i risultati dei test di conformità alla dirigenza.

È necessario informare tutti gli addetti alla gestione dei dati personali sulle proprie responsabilità in materia di protezione dei dati. È buona norma erogare una formazione di sensibilizzazione al momento della nomina o immediatamente dopo e a intervalli regolari o quando richiesto.

Dovresti anche prendere in considerazione una formazione specialistica per il personale con compiti specifici, come la sicurezza delle informazioni, la gestione degli archivi e il marketing.

Comunicare regolarmente informazioni rilevanti è altrettanto importante per rafforzare la formazione e mantenere la consapevolezza, ad esempio mediante intranet, circolari, riunioni e poster.

Ogni volta che si adopera un responsabile del trattamento è necessario disporre di un contratto scritto o di un altro atto legalmente valido.

Il contratto è importante affinché entrambe le parti comprendano le proprie responsabilità e obblighi legali.

Il GDPR stabilisce ciò che è necessario includere nel contratto.

Sei legalmente responsabile della conformità generale al GDPR e della dimostrazione di tale conformità. Se non la raggiungi, potresti essere tenuto a risarcire i danni in procedimenti legali o essere soggetto a multe o altre sanzioni o misure correttive.

Devi nominare solo responsabili del trattamento in grado di fornire "garanzie sufficienti" per soddisfare i requisiti del GDPR e proteggere i diritti degli interessati.

I responsabili del trattamento devono agire solo in base alle istruzioni documentate. Tuttavia hanno alcuni obblighi e responsabilità dirette ai sensi del GDPR. In caso di mancato rispetto, potrebbero essere tenuti a risarcire i danni in procedimenti legali o essere soggetti a multe o altre sanzioni o misure correttive.

Potresti utilizzare l'adesione di un responsabile del trattamento a un codice di condotta o schema di certificazione approvato per dimostrare di aver scelto un responsabile del trattamento qualificato. Tuttavia, questi non sono ancora disponibili per tutti i settori.

Le clausole contrattuali standard potrebbero essere fornite dalla Commissione europea o dal Garante per la protezione dei dati personali e far parte di un codice o di un sistema di certificazione. Tuttavia, questi non sono ancora disponibili per tutti i settori.

Dovresti stabilire come tu, e tutti i tuoi responsabili del trattamento dei dati, gestisci il rischio nei sistemi informativi.

È necessario disporre di un profilo esperto come responsabile della gestione dei rischi informativi, del coordinamento delle procedure messe in atto per mitigarli, delle politiche di accesso ai sistemi e della valutazione dei rischi delle risorse informatiche.

Laddove siano stati identificati rischi informativi, è necessario disporre di piani d'intervento adeguati per mitigare eventuali rischi che non sono stati contenuti o risolti.

Ai sensi del GDPR, hai l'obbligo generale di attuare misure tecniche e organizzative adeguate per dimostrare di aver preso in considerazione e integrato la protezione dei dati nelle tue attività di trattamento. Ciò viene indicato come protezione dei dati dalla progettazione (privacy by design) e come impostazione predefinita (privacy by default).

È necessario adottare politiche interne e attuare misure che aiutino a conformarsi ai principi di protezione dei dati, ad esempio misure di minimizzazione dei dati, pseudonimizzazione e trasparenza.

La valutazione di impatto (DPIA) ti aiuta a identificare il modo più efficace per ottemperare ai tuoi obblighi in materia di protezione dei dati e soddisfare le aspettative degli interessati sulla protezione dei loro dati personali.

Una DPIA efficace ti consentirà di identificare e risolvere i problemi in una fase precoce, riducendo i danni alla tua reputazione e i costi connessi che potrebbero altrimenti verificarsi.

È necessario effettuare una DPIA prima di iniziare qualsiasi tipo di trattamento che "verosimilmente comporti un rischio elevato". Ciò significa che, sebbene non hai ancora stimato l'effettivo livello di rischio, è necessario investigare quei fattori che manifestano un alto potenziale di diffusione o un grave impatto sugli interessati.

In particolare, il GDPR afferma che devi eseguire una DPIA se prevedi di:

• utilizzare una profilazione sistematica ed estesa con effetti significativi
• trattare dati di categorie particolari o relativi a condanne penali o reati su larga scala
• monitorare sistematicamente luoghi accessibili al pubblico su larga scala

Il Garante per la protezione dei dati personali richiede inoltre una DPIA nel caso di trattamenti:

• valutativi o di scoring su larga scala, nonché trattamenti che comportano la profilazione degli interessati nonché lo svolgimento di attività predittive
• automatizzati finalizzati ad assumere decisioni che producono effetti giuridici o che incidono in modo analogo significativamente sull'interessato
• che prevedono un utilizzo sistematico di dati per l'osservazione, il monitoraggio o il controllo degli interessati
• su larga scala di dati aventi carattere estremamente personale, connessi alla vita familiare o privata, che incidono sull’esercizio di un diritto fondamentale o la cui violazione comporta un grave impatto sulla vita quotidiana dell'interessato
• effettuati nell'ambito del rapporto di lavoro mediante sistemi tecnologici dai quali derivi la possibilità di effettuare un controllo a distanza dell'attività dei dipendenti
• non occasionali di dati relativi a soggetti vulnerabili
• effettuati attraverso l'uso di tecnologie innovative, anche con particolari misure di carattere organizzativo
• che comportano tra diversi titolari lo scambio di dati su larga scala con modalità telematiche
• di dati personali effettuati mediante interconnessione, combinazione o raffronto di informazioni, compresi i trattamenti che prevedono l'incrocio dei dati di consumo di beni digitali con dati di pagamento
• di categorie particolari di dati ai sensi dell'art. 9 oppure di dati relativi a condanne penali e a reati di cui all'art. 10 interconnessi con altri dati personali raccolti per finalità diverse
• sistematici di dati genetici, tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell'attività di trattamento

Dovresti anche considerare di eseguire una DPIA per qualsiasi altro trattamento su larga scala che coinvolga la profilazione o il monitoraggio, decida dell'accesso a servizi o opportunità o coinvolga dati sensibili o soggetti vulnerabili. Le linee guida "in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilità che il trattamento possa presentare un rischio elevato ai fini del regolamento (UE) 2016/679" del Gruppo di Lavoro Articolo 29 per la Protezione dei Dati (documento WP248) forniscono una serie di criteri da confrontare con il trattamento previsto per vedere se è il caso di effettuare una DPIA.

Anche se non vi è alcuna indicazione specifica di un probabile rischio elevato, è buona prassi eseguire una DPIA per qualsiasi nuovo importante progetto che implichi l'uso di dati personali.

La DPIA dovrebbe contenere le seguenti informazioni:

• una descrizione della natura, ambito, contesto e finalità del trattamento e, ove applicabile, degli interessi legittimi perseguiti dalla tua attività
• una valutazione della necessità e della proporzionalità del trattamento in relazione alla finalità
• una valutazione obiettiva dei rischi per gli interessati, che tenga in considerazione sia la probabilità che la gravità del possibile danno
• quali misure hai individuato per affrontare i rischi e se questi vengono eliminati, ridotti o accettati tenendo conto delle misure di sicurezza applicate

Se è stata effettuata una DPIA che rileva un rischio elevato e non è possibile adottare misure per ridurre tale rischio, è necessario consultare il Garante per la protezione dei dati personali. Non è possibile procedere con il trattamento fino a quando non lo si è fatto.

È necessario concentrare l'attenzione sul "rischio residuo" dopo che sono state prese le misure di attenuazione. Se la DPIA ha identificato un rischio elevato, ma sono state adottate misure per ridurre tale rischio in modo che non sia più un rischio elevato, non è necessario consultare il Garante per la protezione dei dati personali.

Una DPIA può occuparsi di più operazioni di trattamento simili in termini di rischi, a condizione che si tenga adeguatamente conto della natura, dell'ambito, del contesto e delle finalità specifiche del trattamento.

Dovresti iniziare a valutare le situazioni da affrontare quando sarà necessario condure una DPIA:

• chi la condurrà?
• chi altro deve essere coinvolto?
• la procedura sarà centralizzata o eseguita localmente?

Se il trattamento è eseguito in tutto o in parte da un responsabile del trattamento, tale responsabile deve assisterti nell'esecuzione della DPIA. Potrebbe anche essere opportuno chiedere il parere degli interessati in determinate circostanze.

È importante assicurarsi che qualcuno nella propria azienda o un consulente esterno per la protezione dei dati si assuma la responsabilità della conformità normativa della protezione dei dati trattati.

Potrebbe essere necessario nominare un responsabile della protezione dei dati (RPD - DPO). Qualsiasi azienda può nominare un RPD, ma è obbligatorio farlo se:

• si tratta di una Pubblica Amministrazione, ad eccezione degli uffici giudiziari
• viene effettuato un monitoraggio regolare e sistematico su larga scala delle persone, per esempio il monitoraggio del comportamento online
• vengono effettuati trattamenti su larga scala di categorie particolari di dati o dati relativi a condanne penali e reati

Potresti trovare utile designare un RPD su base volontaria anche quando il GDPR non lo richiede.

L'RPD dovrebbe lavorare in modo indipendente, riferire al massimo livello di gestione e disporre di risorse adeguate per consentire all'organizzazione che lo ha nominato di soddisfare i propri obblighi previsti dal GDPR.

Le attività minime del responsabile della protezione dei dati sono:

• informare e consigliare l'azienda e i suoi dipendenti in merito agli obblighi di conformità al GDPR e alla altre norme in materia di protezione dei dati
• monitorare la conformità con il GDPR e con le altre norme in materia di protezione dei dati, compresa la gestione delle attività di protezione dei dati, la sensibilizzazione e la formazione del personale e lo svolgimento di controlli interni
• suggerire e supervisionare le valutazioni d'impatto sulla protezione dei dati
• fungere da punto di contatto e collaborare con il Garante per la protezione dei dati personali e fornire supporto per qualsiasi questione relativa alla protezione dei dati
• essere il contatto per gli interessati i cui dati vengono elaborati (dipendenti, clienti, ecc.)

Dovresti assicurarti che i decisori e le persone chiave della tua azienda siano a conoscenza delle disposizioni del GDPR.

I dirigenti e i responsabili dovrebbero dare l'esempio, dimostrando la responsabilizzazione per la conformità con il GDPR e promuovendo una cultura positiva della protezione dei dati all'interno dell'azienda.

Dovrebbero assumere un ruolo guida nella valutazione di eventuali impatti sulla tua attività e incoraggiare un approccio di protezione dei dati a partire dalla progettazione (privacy by design).

Dovrebbero contribuire a sensibilizzare tutto il personale sull'importanza di esercitare buone pratiche di protezione dei dati.

È necessario elaborare i dati personali in modo da garantire un'adeguata sicurezza. Prima di poter decidere quale livello di sicurezza è accettabile, devi valutare i rischi per i dati personali in tuo possesso e scegliere misure di sicurezza adeguate alle tue esigenze.

Mantenere i sistemi IT sicuri e protetti può essere un compito complesso e richiede tempo, risorse e competenza specialistica.

Se esegui un trattamento di dati personali all'interno dei tuoi sistemi IT, è necessario identificare i rischi connessi e adottare misure tecniche e organizzative adeguate per proteggere i dati.

Le misure messe in atto dovrebbero adattarsi alle esigenze della tua azienda. Non devono necessariamente essere costose o onerose, potrebbero anche essere gratuite o già disponibili nei sistemi IT attualmente in uso.

Un buon punto di partenza è stabilire e attuare una solida politica di sicurezza delle informazioni che descriva in dettaglio il tuo approccio alla sicurezza dei dati, le misure tecniche e organizzative che verranno realizzate e i ruoli e le responsabilità del personale in relazione alla protezione delle informazioni.

Il GDPR introduce l'obbligo per tutte le organizzazioni di segnalare determinati tipi di violazioni dei dati personali al Garante per la protezione dei dati personali e, in alcuni casi, agli interessati.

Una violazione dei dati personali (data breach) indica una violazione della sicurezza che porta alla distruzione, perdita, alterazione, divulgazione o accesso non autorizzato ai dati personali, sia accidentale che illegale.

È necessario notificare al Garante per la protezione dei dati personali una violazione, a meno che sia improbabile che possa comportare un rischio per i diritti e le libertà degli interessati. Laddove è probabile che una violazione comporti un rischio elevato per i diritti e le libertà degli interessati è necessario informarli direttamente e tempestivamente.

In tutti i casi è necessario conservare una documentazione delle violazioni dei dati personali, indipendentemente dal fatto che siano o meno soggette a notifica al Garante per la protezione dei dati personali.

Devi segnalare una violazione che ha obbligo di notifica al Garante per la protezione dei dati personali senza ritardo non oltre 72 ore dopo esserne venuto a conoscenza. In alcune circostanze tale periodo può essere anche più breve. Il GDPR riconosce che non sarà sempre possibile indagare completamente su una violazione entro tale periodo di tempo e ti consente di fornire informazioni aggiuntive in fasi, a condizione che ciò avvenga senza ulteriori ritardi. Dovresti assicurarti che il tuo personale comprenda ciò che costituisce una violazione dei dati personali, che ha un significato più ampio della semplice perdita di dati.

È necessario assicurarsi di disporre di una procedura interna di segnalazione delle violazioni. Ciò faciliterà il processo decisionale in merito alla necessità di informare il Garante per la protezione dei dati personali o gli interessati.

Alla luce dei tempi stretti per la segnalazione di una violazione è importante disporre di solide procedure di rilevazione, indagine e segnalazione interna della violazione.

Il GDPR impone restrizioni al trasferimento di dati personali al di fuori dell'Unione Europea, verso paesi terzi o organizzazioni internazionali.

Queste restrizioni sono in atto per garantire che il livello di protezione degli interessati offerto dal GDPR non sia compromesso.

È possibile trasferire i dati personali al di fuori dell'UE solo se si rispettano le condizioni per il trasferimento di cui al Capo V del GDPR.