Consulenza Privacy per le Aziende
Consulenza Puntuale e Qualificata in merito alla Gestione della Privacy trattamento dati GDPR.
Ti forniamo un’analisi dettagliata della tua realtà aziendale al fine di adeguarla a quanto previsto dal Regolamento europeo 2016/679 (GDPR – General Data Protection Regulation).
L’obiettivo del regolamento è proteggere le persone fisiche residenti in UE i cui dati vengono trattati.
Le sanzioni previste in caso di violazioni ammontano a 20 milioni di euro o al 4% del fatturato dell’anno precedente, se superiore.
Valutazione del Rischio relativo alla Sicurezza dei Dati
La nostra offerta prevede una mappatura relativa al trattamento dei dati da parte dell’azienda, ossia:
-
Verifichiamo a quali adempimenti si è soggetti. Si fa Solo Quello che Serve;
-
Redigiamo una politica della privacy adatta alla tua realtà;
-
Redigiamo, se necessario, una valutazione di impatto privacy, con le indicazioni di come migliorare i sistemi di gestione dati, garantendo l’accountability richiesta.
Il nostro servizio di Consulenza Privacy per le Aziende
-
Audit periodici per la verifica dell’applicazione della normativa in materia di privacy;
-
Stesura e Consegna dei verbali di ispezione;
-
Revisione periodica delle Informative e delle formule di richiesta del consenso.
Gli step da seguire per adeguarti a quanto disposto dal GDPR
-
Analisi preliminare dell’azienda rispetto ai trattamenti e ai flussi dei dati personali e/o sensibili che questa svolge, anche in riferimento alla propria struttura di rete;
-
Elaborazione delle misure di sicurezza e delle azioni correttive da adottare;
-
Revisione o stesura delle informative sulla privacy, redatte in modo conciso, trasparente, intelligibile e facilmente accessibili;
-
Elaborazione o aggiornamento del documento descrittivo;
-
Verifica dell’osservanza delle norme organizzative adottate per gli adempimenti;
-
Verifica dell’osservanza e del regolare impiego delle misure di sicurezza.
La definizione di dato personale costituente oggetto del Regolamento (art. 4 GDPR)
È dato personale qualsiasi informazione concernente una persona fisica identificata o identificabile, include quindi i dati genetici, dati relativi alla salute, relazioni sociali, economici e finanziari, giudiziari
Privacy by design e privacy by default (art. 25 GDPR)
I processi aziendali che comportano il trattamento dei dati personali devono essere progettati fin dall’inizio con l’obiettivo di riduzione dei rischi per gli interessati, ad esempio attraverso la pseudonomizzazione, che separa la registrazione dei dati identificativi degli interessati dagli altri dati, magari sensibili, oggetto di trattamento, collegando le due registrazioni da un codice.
Dal DPS al Registro delle Attività di Trattamento
Documento Programmatico sulla Sicurezza (di cui all’Allegato B punto 19 D. Lgs. 296/2003), dopo l’abrogazione dell’obbligo di tenuta col Decreto Legge 5/2012 (decreto Monti), garantiva alle imprese il controllo sui dati e la loro sicurezza prevenendo ogni possibile data breach e quindi, di conseguenza, ogni possibile sanzione dall’Autorità Garante.
Il Registro dei Trattamenti è previsto dal testo sia all’art. 30 sia al considerando 82, e introduce l’obbligo di tenuta di un registro relativo ai trattamenti effettuati per conto del Data Controller (ossia il Titolare) e del Responsabile (il Data Processor), alla stregua del DPS, deve indicare chi è il titolare, chi sono i responsabili, quali sono le categorie interessate, come viene effettuato il trattamento, nonché le sue finalità. Il Titolare del trattamento è direttamente responsabile per la sicurezza dei dati personali. In caso di contitolarità del trattamento, i contitolari devono stabilire un accordo legale sulle relative responsabilità riguardo ai diritti dell’interessato.
La prestazione del consenso
La prestazione del consenso deve essere espressa dall’interessato mediante un atto libero, specifico, informato e inequivocabile.
Il contenuto dell’informativa
Rispetto al vecchio Codice Privacy l’informativa deve essere molto più dettagliata, deve indicarne le finalità, quali sono i soggetti – eventualmente terzi – che hanno accesso ai dati e deve essere fornita a tutti gli interessati al trattamento.
Il DPO
Gli articoli 37, 38 e 39 (sezione 4) disciplinano il c.d. Data Protection Officer: figura del tutto nuova e obbligatoria qualora sussistano le condizioni di cui all’art. 37 del GDPR: se il trattamento dei dati personali è effettuato da un’autorità pubblica o un organismo pubblico; quando le attività principali dell’organizzazione consistono in trattamenti che, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali dell’organizzazione consistono nel trattamento dei dati sensibili ovvero giudiziari su larga scala.
Il Responsabile designato è chiamato a mediare tra gli interessati, il titolare del trattamento e il Garante per la Privacy.
Il ruolo del Garante
Come nella precedente normativa, il controllo spetta al Garante della Privacy, che nell’effettuare gli opportuni controlli si avvale anche della cooperazione del nucleo ispettivo della guardia di finanza.
Data breach
Nel caso di una violazione dei dati personali oggetto di trattamento (perdita, accesso non autorizzato):
- Notificarla al garante entro 72 ore
- Notificarla a tutti gli interessati i cui dati siano stati violati (nei casi più gravi).