Trasformare un obbligo normativo in un’opportunità strategica
attraverso una migliore gestione del rischio

Il nuovo contesto normativo

Il 25.05.2016 è entrato in vigore il Regolamento UE 2016/679 relativo alla protezione e alla libera circolazione dei dati personali (GDPR) che abroga la direttiva 95/46/CE da cui deriva il D. Lgs. 196/03 (Codice privacy) attualmente in vigore.
Il GDPR sarà direttamente applicabile in tutti gli Stati membri a partire dal 25.05.2018, senza necessità di interventi legislativi nazionali di recepimento.

L’ambito di applicazione

Il GDPR si applica a tutti i trattamenti di dati personali, automatizzati e non; il termine ultimo entro il quale è necessario aver completato il processo di implementazione è il 25 maggio 2018.

Per quanto riguarda l’ambito di applicazione territoriale, il GDPR si applica al trattamento dei dati personali effettuato da parte di un Titolare o di un Responsabile stabilito all’interno UE, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’UE, ma anche al trattamento dei dati personali di Interessati che si trovano nell’UE, effettuato da un Titolare o da un Responsabile che non è stabilito nell’UE, ove ricorrano particolari circostanze.

Il GDPR, infine, si applica anche ai trattamenti dei dati personali effettuato da un Titolare che non è stabilito nell’UE, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.

I rischi per Titolari e Responsabili

Alla luce della nuova normativa le imprese sono esposti a rischi quali ad esempio:

  • l’incremento della consapevolezza legale da parte degli Interessati, con conseguente maggior rischio di contestazioni: risulta quindi necessario – a prescindere dalla fondatezza della contestazione – essere in grado di “gestirla” adeguatamente e tempestivamente;
  • il possibile aumento di reclami avanti all’Autorità di Controllo (potenzialmente in tutta Europa) volte ad infliggere sanzioni;
  • il possibile aumento azioni legali volte ad ottenere risarcimenti del danno (patrimoniali e non).

Tali rischi comportano:

  • la necessità di rivedere le procedure esistenti o di adottarne di nuove;
  • l’inevitabile investimento in termini finanziari e di risorse per l’adeguamento alla normativa;
  • la necessità di definire ed implementare nuove “best practices” per essere in grado di fornire riscontro adeguato e tempestivo alle richieste provenienti dal mercato, dagli interessati, o dagli enti regolatori;

Il nostro servizio Privacy Impact Assessment

Il privacy impact assessment (Documento di valutazione d’impatto nel trattamento dei dati) consiste in un documento nel quale considerare quali dati verranno trattati, quali sono i rischi concreti dati dall’utilizzo di tali dati e quali cautele possono essere messe in atto per prevenire e risolvere tali criticità.
Il documento comprende una lista di potenziali rischi o criticità ed un programma per la loro gestione e risoluzione.
 
Il servizio Privacy Impact Assessment offerto da Lauricella Sicurezza Informatica consiste in uno screening iniziale ed una gestione sviluppata nei seguenti punti:
  • Un analisi delle informazioni personali mappate sui processi aziendali e sugli asset tecnologici; una misurazione e registrazione dello stato di conformità con gli articoli del GDPR;
  • l’analisi del rischio intrinseco e del rischio residuo;
  • realizzazione della procedura per la registrazione degli incidenti (data breach) con impatti sui dati personali;
  • valutazione delle azioni derivanti da eventuali non conformità o incidenti con rappresentazione delle decisioni relative all’accettazione o al trattamento dei rischi che possono essere portate come evidenze in caso di audit da parte delle autorità preposte;
  • valutazione delle informative e consensi;
  • predisposizione della modulistica.

Il servizio Privacy Impact Assessment non comprende le seguenti attività accessorie:

  • redazione di pareri legali scritti ed analisi specifica di informative e consensi;
  • assistenza, difesa e rappresentanza in giudizio o avanti il Garante o altre Autorità;
  • attività di messa a norma rispetto al Codice Privacy e/o al GDPR (da valutare eventualmente successivamente allo screening iniziale);
  • Software, hardware ed attività tecnica per la gestione della compliance al GDPR e comunque ogni altra attività non espressamente inclusa nelle attività previste;
  • Nomina del Responsabile per la Protezione dei Dati RDP-DPO (data protection officer), da valutare successivamente allo screening iniziale.

Utilizzando il sito, accetti l'utilizzo dei cookie da parte nostra. maggiori informazioni

Questo sito utilizza i cookie per fornire la migliore esperienza di navigazione possibile. Continuando a utilizzare questo sito senza modificare le impostazioni dei cookie o cliccando su "Accetta" permetti il loro utilizzo.

Chiudi