Cosa chiede il Regolamento
Il Regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati contenuti in un archivio o destinati a figurarvi. La nozione di dato personale è ampia: vi rientra ogni informazione riferibile a una persona fisica identificata o identificabile, anche indirettamente. Il trattamento comprende qualunque operazione compiuta sui dati: anche la sola conservazione di un archivio che nessuno consulta è trattamento, e come tale va censita e governata.
L'art. 5 enuncia i principi che governano ogni trattamento: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione; esattezza; limitazione della conservazione; integrità e riservatezza. Il principio di responsabilizzazione aggiunge che il titolare non deve soltanto rispettarli, ma essere in grado di comprovarlo. I principi non sono enunciazioni di principio: sono il metro con cui ogni scelta del titolare si giudica. Dove un principio non si traduce in una prassi verificabile, la conformità resta una dichiarazione.
Il D.Lgs. 196/2003 resta in vigore per le parti compatibili e ospita le disposizioni che il Regolamento rimette agli Stati membri, dai dati relativi alla salute alle persone designate al trattamento.
Il Sistema di gestione dei trattamenti
Il Sistema persegue tre obiettivi: conoscere i trattamenti che il titolare effettua, misurarne i rischi e governarli con misure proporzionate; rendere dimostrabile la conformità; dotare chi opera di istruzioni scritte, così che la protezione dei dati non dipenda dalla diligenza del singolo. Non è una raccolta di documenti da esibire, ma l'insieme delle regole che governano i trattamenti: vincola il titolare, i designati e, per la parte di competenza, i responsabili esterni, ed è riesaminato con periodicità almeno annuale.
Come lo costruiamo
- Mappatura dei trattamenti, condotta sui processi reali dell'ente e non su un elenco predefinito.
- Analisi degli scostamenti fra le misure in essere e quelle richieste.
- Valutazione d'impatto sui trattamenti che presentano un rischio elevato.
- Attuazione, con la redazione delle informative, delle designazioni e delle procedure.
Le misure di sicurezza censite sono quelle effettivamente in essere: ciò che è previsto ma non ancora attuato viene indicato come tale, con il termine entro cui completarlo. Accreditare come presidio una misura non attuata sottostima il rischio e vizia l'intera valutazione.
Videosorveglianza
La videosorveglianza è il trattamento che più spesso incrocia la disciplina del lavoro. Quando dagli impianti deriva anche la possibilità di controllo a distanza dell'attività dei lavoratori, possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previo accordo con le rappresentanze sindacali o, in mancanza, autorizzazione dell'Ispettorato del lavoro (art. 4 L. 300/1970). Per ogni impianto predisponiamo procedura, informative, cartelli e documentazione per l'accordo o per l'istanza.
Intelligenza artificiale
Nel sistema entra anche la procedura sull'uso degli strumenti di intelligenza artificiale, con il registro dei sistemi di IA: quali strumenti sono autorizzati, quali dati non possono esservi inseriti, come si verificano i risultati. La descriviamo nella pagina AI Act.
Il DPO
Il sistema può essere affiancato dall'incarico di Responsabile della protezione dei dati, obbligatorio in alcuni casi e sempre possibile su base volontaria: ne parliamo nella pagina dedicata al DPO.
Cosa consegneremo
- Manuale
- Registro dei trattamenti
- Valutazioni d'impatto
- Informative
- Nomine ex artt. 28 e 29
- Procedure
- Procedura, informative e cartelli per la videosorveglianza
- Procedura sull'uso dell'intelligenza artificiale e registro dei sistemi di IA
Formazione
Le misure tecniche non producono effetto se chi tratta i dati non sa come comportarsi. La formazione è una delle misure organizzative richieste dall'art. 32 e si articola su due livelli: per chi presidia le aree e assume decisioni sui trattamenti, sul quadro normativo, sul Sistema, sulla valutazione del rischio e sulla gestione delle violazioni; per gli addetti e i collaboratori, sulle istruzioni operative dell'area di appartenenza.
Come lavoriamo
Ogni materia ha la sua disciplina, ciò che si ripete è il modo di arrivarci: parliamo con chi lavora, guardiamo come funziona l'impresa, scriviamo la compliance su misura per voi. Dove due sistemi si toccano, creiamo sinergia e forza comune.
Domande frequenti
Il consenso è sempre necessario?
No. Il consenso è una delle sei basi giuridiche previste dall'art. 6, non la principale. Deve essere libero, specifico, informato e inequivocabile, e non è libero quando fra interessato e titolare esiste uno squilibrio, come di regola nel rapporto di lavoro.
Entro quando si risponde alla richiesta di un interessato?
Il termine ordinario è di un mese dal ricevimento, prorogabile di due mesi in ragione della complessità e del numero delle richieste, purché della proroga e dei motivi l'interessato sia informato entro il primo mese. Il riscontro è dovuto anche quando la richiesta non è accolta.
Il fornitore che tratta dati per nostro conto è responsabile del trattamento?
Dipende dal ruolo effettivo. Il responsabile ex art. 28 tratta i dati soltanto su istruzione documentata del titolare; chi persegue finalità proprie è titolare autonomo. La qualificazione non è un esercizio nominalistico: da essa dipendono obblighi e responsabilità.