GDPR e protezione dei dati

GDPR, General Data Protection Regulation

GDPR (EU 679/2016)

Il 25 Maggio 2018 è entrato in vigore il più avanzato insieme di norme votato alla protezione dei dati personali di tutti i cittadini europei.
Un'opportunità per costruire servizi migliori e distinguersi in un'ottica di trasparenza ed affidabilità.

I criteri di privacy by design e di privacy by default diventano un presupposto iniziale imprescindibile di ogni processo aziendale e non un "qualcosa" successivo alla raccolta.

Accountability

Ogni soggetto che partecipa al trattamento dei dati deve essere individuato e reso responsabile di quello che fa (e il tutto documentato).

Privacy Impact Assessment

Possiamo aiutarti nell'individuare quali rischi possono esserci nel trattamento dei dati, e quali azioni possono essere messe in atto per colmare i gap tra il livello di rischio accettabile e quello rilevato.

Segnalazione in caso di Data Breach

Il Regolamento europeo pone in capo al Titolare dei dati una grande responsabilità in merito alla sicurezza del software utilizzato e delle infrastrutture. La scelta dei partner giusti è un'elemento chiave che non può essere sottovalutato.

GDPR: Da adempimento obbligatorio a processo di comunicazione aziendale

Informativa concisa e accessibile

Informazioni più chiare e trasparenti (visuali!) sul tipo di trattamento dei dati:

Titolare
Dati, finalità e base giuridica
Eventuale trasferimento fuori UE e periodo di conservazione
Diritti dell'interessato

Consenso informato ed inequivocabile

Cioè una manifestazione di volontà:

Preceduta da una spiegazione esauriente
Specifica
Libera
Ottenuta mediante un'azione positiva (niente silenzio assenso!)

Imperativi

Principio di responsabilità
Tratta meno dati che puoi (principio di minimizzazione)
Considera fin dall'inizio come proteggerai i dati (privacy by design)
Tieni il livello iniziale di privacy il più alto possibile (privacy by default)

Le misure di sicurezza

Devono tenere conto:

dello stato dell'arte
dei costi di attuazione
del tipo di trattamento (natura, oggetto, contesto e finalità)
del rischio (probabilità e gravità) per i diritti e le libertà delle persone fisiche

Privacy Impact Assessment

E' richiesto sulla base di alcune valutazioni:

Assegni punteggi o fai profilazione ?
Tratti dati sensibili ?
Raccogli dati su larga scala ?
Combini dati raccolti con finalità o titolari diversi ?
Fai un uso innovativo di soluzioni tecnologiche o organizzative ?

Data Breach

Il titolare e i responsabili hanno l'obbligo di comunicare i casi di violazione dei dati personali senza ingiustificato ritardo, e comunque entro 72 ore.
Inoltre, se necessario, la comunicazione deve essere estesa anche all'interessato.
(Problema di reputazione)