Reg. (UE) 2016/679 · D.Lgs. 196/2003
GDPR compliance
Mettiamo in ordine gli adempimenti privacy e li teniamo aggiornati. La documentazione deve descrivere come trattate davvero i dati, altrimenti non regge davanti al Garante.
Il servizio di GDPR compliance di QSecurity comprende audit privacy, registro dei trattamenti, informative, valutazioni d’impatto (DPIA), accordi sul trattamento dei dati (DPA) con fornitori e clienti, procedura per i data breach, videosorveglianza e formazione del personale, con aggiornamento periodico.
A chi serve
Chi ne ha bisogno
Imprese con dati di clienti e dipendenti
Ogni impresa con personale e clienti tratta dati personali e deve poter dimostrare di farlo in modo lecito e sicuro (principio di responsabilizzazione).
Organizzazioni con molti fornitori digitali
Gestionali in cloud, consulenti paghe, agenzie web: ognuno va nominato responsabile del trattamento con un DPA.
Enti pubblici
Obbligo di DPO, dati di un'intera comunità, alta esposizione in caso di violazione.
Cosa comprende
Cosa ricevi
Ogni attività produce un documento o un registro. È quello che mostrerai in caso di verifica.
- Audit privacyMappatura di trattamenti, sistemi, flussi di dati e fornitori, con l'elenco delle non conformità.
- Registro dei trattamentiRegistro del titolare e, se servite altri, del responsabile (art. 30).
- InformativePer clienti, dipendenti, candidati, fornitori, cittadini e utenti del sito (artt. 13 e 14).
- Nomine e istruzioniAutorizzati al trattamento, amministratori di sistema, responsabili esterni.
- Accordi DPACensimento dei fornitori, redazione e revisione dei DPA, verifica dei trasferimenti extra UE (art. 28).
- Valutazione d'impatto (DPIA)Per i trattamenti a rischio elevato: videosorveglianza estesa, dati sanitari, profilazione, nuove tecnologie (art. 35).
- Procedura data breachValutazione, registro delle violazioni, notifica al Garante entro 72 ore e comunicazione agli interessati (artt. 33 e 34).
- VideosorveglianzaInformative, cartelli, tempi di conservazione e adempimenti dell'art. 4 dello Statuto dei lavoratori.
- FormazioneSessioni per il personale autorizzato, con registro presenze come evidenza.
- MantenimentoRevisione periodica e aggiornamento quando cambiano software, fornitori o processi.
Come si svolge
Il percorso
Audit
Interviste e analisi dei sistemi. Ne esce la mappa dei trattamenti e delle non conformità.
Documentazione
Registro, informative, nomine, DPA, procedure.
Misure
Le misure di sicurezza dell'art. 32 vengono verificate o realizzate con le nostre soluzioni tecniche.
Aggiornamento
Revisione periodica e supporto in caso di richieste degli interessati o di violazioni.
Riferimenti normativi
Le norme di riferimento
- Reg. (UE) 2016/679 (GDPR)
- Regolamento generale sulla protezione dei dati.
- D.Lgs. 196/2003
- Codice privacy, come modificato dal D.Lgs. 101/2018.
- Art. 32 GDPR
- Misure tecniche e organizzative adeguate al rischio: è il punto di contatto con la sicurezza informatica.
- Art. 83 GDPR
- Sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.
Il costo dell’inazione
Cosa rischi se rimandi
Rimandare sembra non costare nulla. Questi sono i costi che si pagano dopo, quando non si possono più scegliere.
- SanzioniFino a 20 milioni di euro o al 4% del fatturato mondiale annuo.Art. 83 GDPR
- RisarcimentiChi subisce un danno da una violazione ha diritto al risarcimento.Art. 82 GDPR
- 72 oreIl tempo per notificare un data breach al Garante. Senza procedura, passano a capire cosa fare.Art. 33 GDPR
Collegati
Servizi collegati
Domande frequenti
Domande su GDPR compliance
Che differenza c'è tra titolare e responsabile del trattamento?
Il titolare decide perché e come trattare i dati. Il responsabile li tratta per conto del titolare, per esempio il fornitore del gestionale in cloud. Il rapporto va regolato con un DPA scritto.
Cos'è un DPA?
Il Data Processing Agreement è il contratto previsto dall’art. 28 del GDPR tra titolare e responsabile. Stabilisce cosa può fare il fornitore con i dati, quali misure di sicurezza adotta e cosa succede alla fine del rapporto.
Quando serve una DPIA?
Quando un trattamento può presentare un rischio elevato per le persone: monitoraggio sistematico, dati sanitari su larga scala, profilazione, uso di nuove tecnologie. Il Garante ha pubblicato un elenco delle tipologie che la richiedono sempre.
Un data breach va sempre notificato?
Va sempre registrato. Va notificato al Garante entro 72 ore se è probabile un rischio per i diritti delle persone, e comunicato agli interessati se il rischio è elevato.
Vuoi sapere da dove partire? L’autovalutazione richiede circa otto minuti e indica le aree scoperte.