Come garantire la conformità al GDPR durante la pandemia di Covid-19

Il Covid-19 ha posto sfide senza precedenti alle organizzazioni di tutto il mondo. In pochissimo tempo, le organizzazioni hanno dovuto organizzare rapidamente il lavoro da remoto, reagire velocemente ai nuovi rischi e adattare i processi, il tutto mantenendo la conformità al GDPR.

A causa della pandemia, le organizzazioni stanno ora raccogliendo e trattando nuovi tipi di informazioni sulle persone. Gran parte di queste informazioni rientra nelle categorie dei “dati personali” e delle “categorie particolari di dati personali”, entrambe soggette a rigorosi requisiti di conformità ai sensi del GDPR.

Il rapido passaggio al lavoro da remoto ha anche messo in luce l’importanza della protezione dei dati, visto che i criminali informatici cercano di sfruttare la pandemia per sferrare attacchi mirati. Nuovi rischi per la sicurezza informatica spuntano continuamente, quindi è fondamentale che le organizzazioni adottino le misure giuste per garantire la massima sicurezza dei dati, come previsto dal GDPR.

L’Information Commissioner’s Office (ICO) del Regno Unito ha dichiarato di comprendere le difficoltà che le organizzazioni stanno affrontando in questo momento e che adotterà un approccio “ragionevole e pragmatico” nell’applicazione degli obblighi in materia di protezione dei dati. Tuttavia, ha chiarito che ci si aspetta comunque che le organizzazioni mantengano un buon livello di conformità al GDPR mentre si adattano a questo nuovo contesto lavorativo.

Per garantire che la tua organizzazione continui a rispettare il GDPR durante l’emergenza Covid-19, abbiamo elencato una serie di misure che puoi adottare.

I migliori consigli per garantire la conformità al GDPR durante la pandemia di Covid-19

1. Effettuare una valutazione d’impatto sulla protezione dei dati (DPIA)

Per rispettare il GDPR, devi essere in grado di dimostrare che stai adottando ulteriori misure di registrazione quando tratti dati sensibili. Poiché le informazioni sanitarie sono classificate come “categoria speciale di dati personali”, comportano un rischio maggiore. Un modo per dimostrare la tua responsabilità e garantire che siano in atto misure adeguate per proteggere questi dati è attraverso una Valutazione d’impatto sulla protezione dei dati (DPIA). Le DPIA aiutano a identificare e ridurre al minimo i rischi legati al trattamento dei dati personali.

La DPIA dovrebbe indicare:

• L’attività in corso di elaborazione
• I rischi legati alla protezione dei dati
• Se l’attività sia necessaria e proporzionata
• Come verrà mitigato il rischio
• Conferma dell’efficacia delle misure di mitigazione

La DPIA sarà fondamentale per dimostrare la conformità e ridurre i rischi legati alla protezione dei dati per la tua organizzazione.

2. Raccogli e tratta solo i dati necessari

Ai sensi del GDPR, le organizzazioni devono avere un motivo specifico e legittimo per raccogliere e trattare i dati personali. I dati possono essere utilizzati solo per finalità specifiche e non devono essere trattati per nessun altro scopo, a meno che l’interessato non abbia fornito il proprio consenso esplicito. Qualsiasi dato raccolto deve limitarsi esclusivamente a quanto necessario per il raggiungimento di tali finalità specifiche.

Questo significa che la tua organizzazione dovrebbe valutare e identificare i tipi di dati personali che devono essere trattati per garantire la sicurezza del personale. Ad esempio, è necessario misurare la temperatura dei dipendenti quando entrano in ufficio? Bisogna avvisare i contatti di un dipendente risultato positivo al Covid-19? La tua organizzazione non può limitarsi a raccogliere dati personali nella remota possibilità che possano tornare utili in futuro: devono esserci obiettivi chiari sul motivo per cui questi dati vengono trattati. Se riesci a dimostrare che il tuo approccio è ragionevole, equo e proporzionato alle circostanze, è improbabile che sia illegale.

3. Sii trasparente

Quando tratti i dati personali, devi essere aperto e onesto su come li utilizzi. Ad esempio, se la tua organizzazione deve effettuare test sui dipendenti o se devi raccogliere dati per il tracciamento dei contatti, devi essere trasparente e mettere a disposizione di queste persone determinate informazioni. I dipendenti hanno il diritto di sapere perché ti servono questi dati, cosa intendi farne e con chi li condividerai.

È meglio mettere per iscritto queste informazioni in un documento chiamato “informativa sulla privacy”. L’informativa sulla privacy è uno dei documenti fondamentali che dovrai redigere se tratti dati personali, per rispettare il GDPR. In sostanza, spiega come raccogli, tratti e utilizzi i dati delle persone. La tua informativa sulla privacy attuale potrebbe già indicare quali informazioni possono essere raccolte e trattate durante una crisi sanitaria, ma potrebbe essere necessario aggiornarla per riflettere eventuali nuove attività di trattamento dei dati intraprese durante l’attuale pandemia di Covid-19.

4. Proteggi le informazioni

Tutti i dati personali in tuo possesso devono essere conservati in modo sicuro e solo per il tempo necessario. Una politica di conservazione ti aiuterà a stabilire quando i dati personali devono essere rivisti, cancellati o eliminati. I documenti cartacei devono essere conservati sotto chiave per evitare violazioni dei dati, mentre per i dati personali archiviati in formato digitale devono essere adottate misure di sicurezza adeguate.

Nonostante il rapido passaggio al lavoro da remoto, l’ICO ha affermato che le organizzazioni dovrebbero adottare lo stesso tipo di misure di sicurezza che userebbero in circostanze normali. Per prevenire eventuali violazioni dei dati personali e ridurre il rischio di costosi attacchi informatici, è importante che tu mantenga la sicurezza dei sistemi e dei software e che rimanga vigile nei confronti delle minacce informatiche legate al Coronavirus. I dipendenti dovranno inoltre essere informati sulle minacce in continua evoluzione e formati su come utilizzare i nuovi strumenti e processi di sicurezza che consentiranno di lavorare da remoto in tutta sicurezza.

Inoltre, le organizzazioni sono ancora tenute per legge a segnalare eventuali violazioni dei dati personali all’autorità di controllo competente entro 72 ore dalla loro individuazione.

5. Rispetta i diritti dell’interessato

Nonostante si operi in circostanze eccezionali, è fondamentale che la tua organizzazione informi le persone sui loro diritti in materia di dati personali. Il GDPR garantisce alle persone i seguenti diritti:

• Il diritto all’informazione – Ogni persona ha il diritto di essere informata sulla raccolta e sull’utilizzo dei propri dati personali.
• Il diritto di accesso – Le persone hanno il diritto di accedere ai propri dati personali e a qualsiasi informazione supplementare. Possono richiedere una copia di tutte le informazioni in possesso dell’azienda che le riguardano, che deve essere fornita gratuitamente entro un mese dalla presentazione della richiesta.
• Il diritto alla rettifica – Puoi chiedere che eventuali dati personali inesatti vengano rettificati.
• Il diritto alla cancellazione – Puoi chiedere che i tuoi dati personali vengano cancellati. Il diritto alla cancellazione è noto anche come diritto all’oblio.
• Il diritto alla limitazione del trattamento – In determinate circostanze, gli interessati possono chiedere che l’ulteriore trattamento dei propri dati venga limitato. Quando il trattamento è limitato, puoi conservare i loro dati personali ma non utilizzarli.
• Il diritto alla portabilità dei dati – Le persone possono ottenere e riutilizzare i propri dati personali per i propri scopi su altri servizi.
• Il diritto di opposizione – A meno che non ci siano motivi legittimi per il trattamento dei dati personali di una persona, questa ha il diritto di opporsi al trattamento.
• Diritti relativi al processo decisionale automatizzato e alla profilazione – Il GDPR contiene disposizioni sul processo decisionale automatizzato che riguarda le persone fisiche. Ciò riduce il rischio che vengano prese decisioni sfavorevoli senza l’intervento umano.

Se la tua organizzazione ha messo in atto procedure di controllo dei sintomi o di test, ci sono ulteriori requisiti che dovrai rispettare. Tra questi figurano l’individuazione di una base giuridica per l’utilizzo delle informazioni raccolte e l’esecuzione di una valutazione d’impatto sulla protezione dei dati (DPIA) qualora i dati sanitari vengano trattati su larga scala.