Covid-19 ha creato sfide senza precedenti per le organizzazioni di tutto il mondo. In un breve lasso di tempo, le organizzazioni hanno dovuto impostare rapidamente operazioni remote, reagire rapidamente ai nuovi rischi, adattare i processi, il tutto mantenendo la conformità al GDPR.
Come risultato della pandemia, le organizzazioni stanno ora raccogliendo ed elaborando nuovi tipi di informazioni sugli individui. Molte di queste informazioni rientrano nelle categorie di "dati personali" e "categorie speciali di dati personali", entrambe soggette a rigorosi requisiti di conformità ai sensi del GDPR.
La rapida transizione al lavoro a distanza ha anche evidenziato l'importanza della protezione dei dati in quanto i criminali informatici cercano di sfruttare la pandemia e usarla come mezzo per lanciare attacchi mirati. Nuovi rischi di sicurezza informatica stanno emergendo in continuazione, quindi è fondamentale che le organizzazioni implementino le misure corrette necessarie per mantenere la più rigorosa sicurezza dei dati che il GDPR richiede.
L'Information Commissioner's Office (ICO) del Regno Unito ha detto che comprende le difficoltà che le organizzazioni stanno attualmente affrontando e che prenderà un approccio "ragionevole e pragmatico" per far rispettare gli obblighi di protezione dei dati. Tuttavia, hanno chiarito che le organizzazioni sono ancora molto attese per mantenere un buon livello di conformità con il GDPR mentre si adattano a questo nuovo ambiente di lavoro.
Per garantire che la vostra organizzazione rimanga conforme al GDPR durante il Covid-19, abbiamo delineato una serie di passi che potete fare.
Top Tips per raggiungere la conformità al GDPR durante il Covid-19
1. Condurre una valutazione d'impatto sulla protezione dei dati (DPIA)
Per conformarsi al GDPR, devi essere in grado di dimostrare che stai conducendo requisiti di registrazione aggiuntivi quando elabori dati sensibili. Poiché le informazioni sanitarie sono classificate come una "categoria speciale di dati personali", comportano un rischio maggiore. Un modo per dimostrare la responsabilità e garantire le misure appropriate per proteggere questi dati è attraverso un Data Protection Impact Assessment. Le DPIA aiutano a identificare e ridurre al minimo i rischi legati al trattamento dei dati personali.
La DPIA dovrebbe stabilire:
- L'attività che viene elaborata
- I rischi di protezione dei dati
- Se l'attività è necessaria e proporzionata
- Come il rischio sarà mitigato
- Conferma che la mitigazione è stata efficace
La DPIA sarà fondamentale per dimostrare la conformità e ridurre i rischi legati alla protezione dei dati per la vostra organizzazione.
2. Raccogliere ed elaborare solo ciò che è necessario
Secondo il GDPR, le organizzazioni devono avere un motivo specifico e legittimo per raccogliere e trattare i dati personali. I dati possono essere utilizzati solo per scopi specifici e non devono essere trattati per qualsiasi altro uso, a meno che l'interessato non abbia fornito il suo esplicito consenso. Tutti i dati raccolti devono essere limitati solo a ciò che è necessario per raggiungere quegli scopi specifici.
Questo significa che la vostra organizzazione deve valutare e identificare i tipi di dati personali che devono essere trattati per mantenere il personale al sicuro. Per esempio, è necessario effettuare controlli della temperatura quando i dipendenti entrano in ufficio? I contatti di un dipendente che risulta positivo al Covid-19 devono essere avvisati? La vostra organizzazione non può raccogliere dati personali solo nella remota possibilità che possano essere utili in futuro, ci devono essere obiettivi chiari sul perché questi dati vengono elaborati. Se potete dimostrare che il vostro approccio è ragionevole, giusto e proporzionato alle circostanze, allora è improbabile che sia illegale.
3. Essere trasparenti
Quando elaborate dati personali, dovete essere aperti e onesti su ciò che state facendo con essi. Per esempio, se la vostra organizzazione ha bisogno di implementare dei test per i dipendenti o dovete raccogliere dati per scopi di rintracciamento dei contatti, dovete essere trasparenti e rendere disponibili certe informazioni a queste persone. I dipendenti hanno il diritto di sapere perché avete bisogno di questi dati, cosa intendete farne e con chi li condividerete.
È meglio avere queste informazioni scritte in un documento noto come una nota sulla privacy. Un'informativa sulla privacy è uno dei documenti chiave che dovrai produrre se tratti i dati personali, al fine di rispettare il GDPR. Essenzialmente, spiega come raccogliete, elaborate e usate i dati delle persone. La tua informativa sulla privacy esistente potrebbe già delineare quali informazioni possono essere raccolte e trattate durante una crisi sanitaria, ma potrebbe essere necessario aggiornarla per riflettere qualsiasi nuova attività di trattamento dei dati che viene intrapresa durante l'attuale pandemia di Covid-19.
4. Mantenere le informazioni al sicuro
Tutti i dati personali in vostro possesso devono essere conservati in modo sicuro e solo per il tempo necessario. Una politica di conservazione aiuterà a determinare quando le informazioni personali devono essere riviste, cancellate o eliminate. I registri fisici dovrebbero essere chiusi a chiave per evitare violazioni dei dati, e dovrebbero essere messe in atto misure di sicurezza appropriate per proteggere i dati personali che sono memorizzati digitalmente.
Nonostante la rapida transizione al lavoro remoto, l'ICO ha dichiarato che le organizzazioni dovrebbero adottare lo stesso tipo di misure di sicurezza che userebbero in circostanze normali. Per prevenire qualsiasi violazione dei dati personali e ridurre la possibilità di un costoso attacco informatico, è importante mantenere la sicurezza dei sistemi, del software e rimanere vigili sulle minacce informatiche legate al Coronavirus. I dipendenti avranno anche bisogno di essere istruiti sulle minacce in evoluzione e formati su come utilizzare i nuovi strumenti di sicurezza e i processi che consentiranno un lavoro remoto sicuro.
Inoltre, le organizzazioni sono ancora legalmente obbligate a rivelare qualsiasi violazione dei dati personali all'autorità di vigilanza competente entro 72 ore dal rilevamento.
5. Rispettare i diritti dell'interessato
Nonostante operi in circostanze eccezionali, è fondamentale che la vostra organizzazione informi gli individui sui loro diritti in relazione ai loro dati personali. Il GDPR prevede i seguenti diritti per gli individui:
- Il diritto di essere informati - Gli individui hanno il diritto di essere informati sulla raccolta e l'uso dei loro dati personali.
- Il diritto di accesso - Gli individui hanno il diritto di accedere ai loro dati personali e a qualsiasi informazione supplementare. Possono richiedere una copia di tutte le informazioni conservate su di loro e dovrebbe essere fornita gratuitamente ed entro un mese dalla presentazione della richiesta.
- Il diritto di rettifica - Gli individui possono richiedere che qualsiasi dato personale inesatto sia rettificato.
- Il diritto alla cancellazione - Gli individui possono richiedere la cancellazione dei loro dati personali. Il diritto alla cancellazione è noto anche come diritto all'oblio.
- Il diritto di limitare il trattamento - In alcune circostanze, gli individui possono richiedere che l'ulteriore trattamento dei loro dati sia limitato. Quando l'elaborazione è limitata, si ha il permesso di conservare i loro dati personali ma non di usarli.
- Il diritto alla portabilità dei dati - Gli individui possono ottenere e riutilizzare i loro dati personali per i loro scopi in altri servizi.
- Il diritto di opporsi - A meno che non ci siano motivi legittimi per elaborare i dati personali di un individuo, questi conserva il diritto di opporsi all'elaborazione.
- Diritti in relazione al processo decisionale automatizzato e al profiling - Il GDPR ha disposizioni sul processo decisionale individuale automatizzato. Questo riduce il rischio che qualsiasi decisione negativa venga presa senza l'intervento umano.
Se la vostra organizzazione ha implementato il controllo dei sintomi o i test, ci sono ulteriori requisiti che dovrete seguire. Questi includono l'identificazione di una base legale per l'utilizzo delle informazioni raccolte e la conduzione di una DPIA se i dati sanitari vengono elaborati su larga scala.
