Le aziende di tutto il mondo tireranno presto un sospiro di sollievo collettivo quando la scadenza imminente del GDPR entrerà finalmente in vigore. In questo post ti proponiamo una checklist sul GDPR per il
Dopo tutta la pianificazione e i preparativi degli ultimi due anni, il GDPR entrerà ufficialmente in vigore il 25 maggio e rivoluzionerà completamente le attuali norme sulla protezione dei dati, garantendo ai cittadini dell’UE un maggiore controllo sui propri dati.
C’è stata un gran trambusto dell’ultimo minuto, con le aziende che si sono affrettate a mettersi in regola con la nuova normativa per evitare le pesanti multe previste in caso di inadempienza. Ci saranno alcune organizzazioni che si sono prese il tempo necessario per pianificare metodicamente la propria conformità al GDPR e altre che hanno lasciato tutto all’ultimo minuto.
A prescindere dalla fase in cui ti trovi nel tuo percorso verso l’adeguamento al GDPR, la nostra checklist finale ti fornirà alcune linee guida su cosa devi fare per assicurarti di essere pronto ai cambiamenti imminenti e sui passi da compiere per dimostrare la tua conformità in futuro.
1. Individua tutti i dati personali in tuo possesso
L’UE definisce i “dati personali” come qualsiasi informazione che possa essere utilizzata per identificare, direttamente o indirettamente, una persona fisica (l’interessato). Questo include tutto, dal nome all’indirizzo e-mail, dall’indirizzo IP alle immagini. Sono inclusi anche i dati personali sensibili, come i dati biometrici o genetici, che potrebbero essere trattati per identificare una persona.
Se la tua organizzazione tratta dati relativi a cittadini europei, dovrai effettuare un audit e verificare:
- Quali dati vengono raccolti?
- Da dove provengono i dati?
- Perché vengono raccolti questi dati?
- Come viene lavorato?
- Chi può accedervi?
- Per quanto tempo vengono conservati i dati?
- Dove vengono trasferiti i dati?
- Servono tutti questi dati?
2. Istruisci chi gestisce i tuoi dati personali
Un responsabile del trattamento dei dati personali è chiunque all’interno della tua organizzazione sia autorizzato a gestire e trattare i dati personali. Le responsabilità vengono spesso assegnate a livello di reparto. L’ideale sarebbe che ogni settore di attività avesse un “Data Privacy Champion”, ovvero una persona che conosca bene le pratiche relative alla gestione, al trattamento e alla protezione dei dati personali. Nominare un responsabile del trattamento dei dati personali contribuirà a facilitare la conformità alle normative all’interno della tua organizzazione.
3. Capire il consenso dell’interessato
Il GDPR prevede che ci sia il consenso esplicito dell’utente. Questo consenso deve essere registrato per le procedure di rendicontazione e di audit. Quando il trattamento si basa sul consenso dell’interessato, questi può revocarlo in qualsiasi momento. Ha inoltre il diritto di sapere per quanto tempo i suoi dati personali saranno conservati per trattamenti futuri. Se la tua organizzazione tratta dati di soggetti minorenni, devi assicurarti di disporre di sistemi adeguati per verificare l’età di ciascuno e ottenere il consenso dei tutori.
Gli interessati dovrebbero ricevere comunicazioni chiare e facili da capire. Dovrebbero inoltre avere il diritto di sapere quali misure di sicurezza sono in atto per proteggere i loro dati personali e se ci sono terze parti coinvolte nel trattamento dei loro dati.
4. Aggiornamento delle procedure per la gestione delle richieste degli interessati
Le organizzazioni devono disporre di procedure per dare seguito alle richieste degli interessati. Gli interessati devono poter esercitare i propri diritti gratuitamente e le organizzazioni devono darvi seguito entro un mese dal ricevimento della richiesta, con una proroga massima di due mesi a seconda della complessità e del numero delle richieste.
5. Piano per l’individuazione e la gestione delle violazioni della privacy
Una volta che le organizzazioni si rendono conto che è in corso una violazione della privacy, la priorità immediata è impedire che la violazione continui. Il GDPR impone alle organizzazioni di segnalare qualsiasi violazione dei dati personali all’autorità di controllo competente entro 72 ore dalla sua individuazione.
Se la violazione comporta un rischio elevato di ledere i diritti e le libertà di una persona, questa deve essere informata immediatamente.
Le aziende dovrebbero disporre di un piano di risposta agli incidenti che descriva come verranno individuati gli incidenti, chi verrà coinvolto, come verrà contenuta ed eliminata la minaccia e come l’azienda documenterà e segnalerà la violazione.
6. Dimostrare di aver compreso la normativa sulla protezione dei dati
Le aziende devono dimostrare che il personale abbia sia letto che compreso le politiche relative al GDPR. Essere in grado di fornire questa prova mette le aziende in una posizione di forza per dimostrare che la “privacy” è diventata parte integrante della loro attività quotidiana. L’e-learning è uno dei modi migliori per assicurarsi che il personale comprenda appieno la politica relativa al GDPR.
Un programma di e-learning non solo garantirà l’efficacia dell’esperienza formativa, ma permetterà anche alle organizzazioni di dimostrare che le politiche sono state diffuse correttamente, in modo significativo e misurabile.
7. Riferisci sulle iniziative di conformità in corso
Il GDPR richiede che le organizzazioni valutino l’efficacia delle pratiche operative relative ai dati personali. Effettuare valutazioni regolari delle misure di conformità e disporre di una struttura di rendicontazione consentirà alle aziende di dimostrare la propria responsabilità nei confronti della dirigenza, delle parti interessate e delle autorità di controllo, qualora fosse necessario. L’efficacia di un programma di conformità continuo richiede il monitoraggio di indicatori misurabili e l’adeguamento dei processi quando si individuano incongruenze.
8. Effettua una verifica della sicurezza informatica
La criminalità informatica continua a evolversi e a crescere a un ritmo vertiginoso e rappresenta un pericolo reale per le organizzazioni di tutto il mondo. Le organizzazioni devono valutare quanto sia sicura la loro rete, quanto sia facile violarla, se i dati siano crittografati e se il personale sia preparato a riconoscere i rischi.
La maggior parte delle violazioni dei dati inizia con una semplice email di phishing, quindi è fondamentale che le aziende investano nella formazione dei propri dipendenti per aiutarli a riconoscere queste minacce e a reagire nel modo giusto.
La scadenza imminente del GDPR non rappresenta affatto il punto di arrivo della conformità. Il GDPR continuerà ad evolversi nel tempo e le organizzazioni dovranno aggiornare costantemente i propri processi e sistemi per rispettare il regolamento.
Se vuoi saperne di più su come la tua organizzazione può migliorare il proprio approccio alla conformità al GDPR, clicca qui per scoprire come MetaCompliance può aiutarti.
Formazione per il personale sul GDPR facile da capire
I nostri brevissimi video ti permetteranno di far comprendere al tuo staff gli aspetti chiave del GDPR. Si tratta del programma formativo sul GDPR di più alta qualità disponibile sul mercato. Scopri perché i nostri clienti stanno facendo progressi nei loro progetti relativi al GDPR.
DICHIARAZIONE DI NON RESPONSABILITÀ: I contenuti e le opinioni presenti in questo blog hanno solo scopo informativo. Non intendono costituire una consulenza legale o di altro tipo professionale e non devono essere considerati affidabili né sostituirsi a una consulenza specifica relativa a circostanze particolari, alla Legge sulla protezione dei dati o a qualsiasi altra normativa vigente o futura. MetaCompliance non si assume alcuna responsabilità per eventuali errori, omissioni o affermazioni fuorvianti, né per eventuali perdite che potrebbero derivare dall’aver fatto affidamento sui materiali contenuti in questo blog.