GDPR e aziende: cosa fare per essere compliant
La tua azienda è compliant al GDPR? Ecco cosa fare per essere conformi ed evitare pesanti sanzioni.
Il Regolamento UE 679/2016, noto come GDPR (General Data Protection Regulation), è entrato in vigore in tutta l’Unione Europea il 25 maggio 2018. Questo nuovo Regolamento ha apportato sostanziali modifiche alla disciplina del trattamento e della libera circolazione dei dati personali.
Dopo la sua introduzione, enti, aziende e organizzazioni che trattano i dati personali delle persone residenti nell’Unione Europea sono stati chiamati a tutelare la privacy in modo più stringente e regolato.
Chiunque non sia compliant al GPDR rischia sanzioni pecuniarie fino a 20 milioni di euro o al 4% del fatturato globale annuale, se superiore.
Proprio per questo non bisogna sottovalutare o trascurare l’adeguamento al GDPR, soprattutto dopo il ricorso massivo allo smart working da parte delle aziende.
È quindi importante capire come il regolamento si applichi alla tutela della privacy nel lavoro da remoto, considerando anche i rischi per la sicurezza informatica.
Le novità introdotte dal GDPR
Gli aspetti più importanti di questo regolamento definiscono in modo più puntuale e specifico l’area dei diritti e dei doveri sia delle organizzazioni interessate che degli utenti.
Responsabilizzazione delle aziende
Il titolare del trattamento deve assicurare il rispetto dei principi del GDPR, mediante comportamenti dimostrabili. Non deve quindi solamente strutturare la propria organizzazione in modo da garantire un livello di sicurezza adeguato sul piano normativo, ma anche giustificare le scelte compiute.
Nuovi diritti
Agli interessati del trattamento vengono riconosciuti diversi diritti, quali:
- portabilità dei dati. L’utente può ottenere dal titolare del trattamento i dati personali che lo riguardano e trasmetterli ad un altro titolare del trattamento, come ad esempio un’altra azienda
- diritto alla cancellazione (o all’oblio)
- possibilità di proporre reclami all’autorità di controllo.
Maggiore importanza alla privacy
Il GDPR prevede l’implementazione di misure atte a proteggere i dati personali fin dalla fase di progettazione (by design) di un servizio, di un prodotto o di un processo. In questo modo, le regole e i principi di protezione dei dati vengono inseriti già nel momento della sua creazione.
La protezione per impostazione predefinita (privacy by default), invece, implica l’attuazione di interventi finalizzati a garantire soltanto il trattamento di quei dati personali necessari per la specifica finalità perseguita.
Responsabile della Protezione dei Dati (DPO)
Un’innovazione fondamentale del nuovo GDPR riguarda la designazione di un DPO (Data Protection Officer). Le sue funzioni vanno dalla promozione della cultura della tutela dei dati personali alla sorveglianza dell’applicazione del GDPR, fino alla gestione dei rapporti con l’Autorità Garante.
Il DPO rappresenta una sorta di controllore, il cui compito è verificare la corretta applicazione del GDPR.
Questa figura è obbligatoria nella PA e negli enti pubblici, ad eccezione delle autorità giudiziarie, nelle aziende con più di 250 dipendenti o che trattano dati sensibili e su larga scala.
Registro di trattamento
Le organizzazioni con più di 250 dipendenti o che effettuano trattamenti a rischio, sono inoltre obbligate a tenere un registro delle operazioni di trattamento.
Notifica tempestiva di violazione
È introdotto l’obbligo di comunicazione all’autorità di controllo delle violazioni dei dati personali entro 72 h dal momento in cui il titolare ne ha avuto conoscenza.
In caso di data breach (ovvero di un incidente che abbia esposto informazioni personali o confidenziali) il titolare del trattamento deve poter dimostrare al giudice di aver assunto preventivamente tutte le precauzioni del caso.
Codici di condotta
Il GDPR fornisce alcuni utili strumenti per aiutare le aziende ad essere compliant e attestare l’adeguatezza delle misure di sicurezza adottate.
Le sanzioni previste
Per chi non dovesse rispettare il GDPR, sono previste pesanti sanzioni. L’importo, da valutare in funzione di numerosi elementi, può infatti toccare anche la cifra di:
- 10 milioni di euro, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, per violazioni minori
- 20 milioni di euro, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, per violazioni legate al rispetto dei diritti fondamentali.
Oltre a questo, i singoli Stati possono definire ulteriori sanzioni. Le autorità di controllo mantengono invece poteri di ammonimento, revoca di certificazioni, ingiunzioni e limitazione o divieto di trattamento, con inevitabili ripercussioni sul servizio erogato.
Come essere compliant al GDPR
A fronte di questa normativa, le aziende sono obbligate a introdurre una serie di misure, soprattutto per non incorrere nelle sanzioni previste dal nuovo regolamento.
Protezione dei dati
Le aziende devono saper dimostrare in modo documentato di aver fatto tutto ciò che è nelle loro possibilità per proteggere i dati personali acquisiti. Sono inoltre chiamate a preservare i dati personali dalla perdita o dalla modifica fortuita o illecita, dalla distruzione e dalle divulgazioni o dagli accessi non autorizzati.
Per questo è importante monitorare regolarmente il sistema delle protezioni, in modo da individuare eventuali violazioni (interne o esterne) ed effettuare tempestive comunicazioni alle autorità e ai soggetti interessati.
Utilizzo dei dati
Tutte le organizzazioni devono utilizzare i dati personali in modo lecito, corretto e trasparente, dimostrando altresì di aver ricevuto un consenso esplicito per tutti i trattamenti effettuati.
È anche necessario disporre di misure di data governance che includano la continua valutazione del rischio e la predisposizione di documentazione dettagliata.
Conoscenza dei dati
L’azienda deve avere infine una chiara conoscenza di: quali siano i trattamenti effettuati e le categorie di dati gestiti, come vengono trattati e protetti i dati personali, dove siano localizzati e chi è autorizzato a trattarli.
