La Tua Azienda è Pronta per il GDPR?

Come mettersi in regola con il GDPR?

Il 25 Maggio 2018 è cambiato il modo di gestire i dati informatici su internet

La rapidità dell’evoluzione tecnologica ha reso necessaria l’attenzione sul trattamento dei dati personali. Più tutele dunque per i cittadini, semplificazioni per le imprese e innovazioni anche per gli enti pubblici. Sono queste le novità contenute nel nuovo regolamento europeo 2016/679 (General Data Protection Regulation), entrato ufficialmente in vigore il 24 maggio 2016 e che diventerà applicabile in tutti gli Stati membri a partire dal 25 maggio 2018.

Il regolamento introduce regole più chiare in materia di informativa e consenso, definisce i limiti al trattamento automatizzato dei dati personali, pone le basi per l’esercizio di nuovi diritti, stabilisce criteri rigorosi per il trasferimento dei dati al di fuori dell’UE e per i casi di violazione dei dati personali. Ciò significa che entro tale data, tutte le aziende dovranno obbligatoriamente essersi adeguate alla nuova normativa evitando di incorrere in pesanti sanzioni, pertanto dovranno:

• Analizzare il rischio che il trattamento dei dati comporta

• Garantire un adeguato livello di sicurezza e protezione dei dati

• Individuare e nominare un “responsabile della protezione dati” (DPO)

Cosa può fare TN Solutions per aiutarti?

TN Solutions, con provata esperienza pluriennale in materia di consulenza sulla Privacy, affianca titolari e responsabili del trattamento nell’adempimento delle prescrizioni normative derivanti dal Regolamento Privacy UE. Partendo da un’accurata analisi delle pratiche aziendali in materia di protezione dei dati, il nostro staff è in grado di elaborare una strategia mirata che comprenda tutti gli aspetti toccati dal GDPR: consenso all’utilizzo dei dati, diritto degli utenti ad avere le proprie informazioni cancellate, sicurezza informatica per evitare Data Breach e formazione specifica del personale che lavora quotidianamente con i dati.

Nello specifico, TN Solutions affiancherà le aziende passo dopo passo ed effettuerà consulenze su tutti gli aspetti connessi alle leggi sulla protezione dei dati, tra cui:

• Informative a dipendenti, clienti o consumatori;

• Rispetto della protezione dei dati ed analisi misure di sicurezza adeguate;

• Governance delle informazioni;

• Politica di conservazione dati;

• Formazione sul corretto trattamento dati personali.

Il GDPR oggi: un obbligo continuo, non un traguardo raggiunto una volta

Dal 2018 il GDPR non è più una scadenza da rispettare in vista del 25 maggio, ma un obbligo che accompagna l'azienda in modo continuativo: ogni nuovo trattamento di dati (un nuovo software gestionale, una nuova piattaforma di marketing, un fornitore cloud) va valutato secondo gli stessi principi, e le misure di sicurezza vanno mantenute aggiornate nel tempo, non impostate una volta per tutte. Per le aziende che rientrano nell'ambito della direttiva NIS2 — energia, trasporti, sanità, infrastrutture digitali e altri settori indicati dalla normativa — la protezione dei dati personali si affianca a obblighi più ampi sulla sicurezza delle reti e dei sistemi informativi. TN Solutions supporta le aziende clienti nel percorso di adeguamento a questi obblighi, senza sostituirsi alla valutazione legale che resta di competenza di un legale o di un DPO qualificato.

Una checklist pratica: cosa significa davvero essere conformi

Al di là dei principi generali, il GDPR si traduce in alcuni documenti concreti e misure tecniche che una valutazione di conformità va normalmente a verificare:

• Il registro delle attività di trattamento (art. 30) — un documento che elenca quali dati personali vengono trattati, per quale finalità, per quanto tempo vengono conservati e a chi vengono comunicati. La maggior parte delle aziende che trattano dati personali nell'operatività ordinaria (anagrafiche dipendenti, dati clienti, un CRM, una lista di marketing) è tenuta a mantenerlo, non solo le aziende sopra una certa dimensione.
• Misure di sicurezza tecniche e organizzative adeguate (art. 32) — è qui che IT e compliance si sovrappongono direttamente: cifratura dei dati a riposo e in transito dove appropriato, controlli di accesso che permettano a ogni dipendente di vedere solo i dati pertinenti al proprio ruolo, e una capacità di ripristinare rapidamente disponibilità e accesso ai dati in caso di incidente.
• Una procedura di notifica delle violazioni. Ai sensi dell'art. 33, una violazione di dati personali che comporta un rischio per gli interessati va notificata all'autorità di controllo competente (il Garante Privacy in Italia) entro 72 ore da quando il titolare ne viene a conoscenza — un vincolo che nella pratica è gestibile solo se esiste già un processo interno definito per individuare ed escalare rapidamente un incidente, invece di improvvisarlo mentre l'incidente è già in corso.
• Una politica di conservazione dei dati — molte aziende conservano dati personali molto più a lungo di quanto giustifichi la finalità per cui sono stati raccolti, il che è di per sé una lacuna di conformità e, non a caso, amplia anche quello che un attaccante ottiene in caso di violazione.

Nessuno di questi elementi sostituisce la valutazione legale di un avvocato o di un DPO qualificato: le misure tecniche descritte funzionano solo all'interno di un programma di conformità verificato sulle specifiche attività di trattamento dell'azienda.