Regolamento Privacy

La Protezione dei dati

La tutela della riservatezza viene introdotta in Europa con la direttiva 95/46/CE e successivamente in Italia con la Legge n. 675/96. L’obiettivo è di fatto la protezione dell’identità e della dignità della persona quali diritti inviolabili e a questo scopo viene istituita la figura del Garante quale autorità amministrativa indipendente.

Per dare successivamente un maggiore impulso a questi principi, il 30 giugno 2003 viene emanato il primo Testo Unico sulla Privacy, il D.L.vo 196/03, che sostituisce la normativa precedente e sottolinea come la protezione dei dati sia un diritto fondamentale della persona, sia fisica che giuridica.

Per saperne di più:

Scarica la scheda

Il GDPR 679/2016 – Il Pacchetto Protezione Dati

Lo sviluppo intenso delle nuove tecnologie ha imposto in questi anni una seria riflessione e reso necessario realizzare un sistema diverso, che potesse assicurare la libera circolazione dei dati personali all’interno dell’Unione Europea e contemporaneamente la massima protezione delle persone.

Inoltre il recepimento a livello nazionale della direttiva 95/46/CE ha creato 28 diversi provvedimenti legislativi nazionali e reso difficile per molte aziende l’accesso a nuovi mercati.

Il Regolamento 679/2016, denominato GDPR ovvero General Data Protection Regulation, nasce per superare questi due aspetti e per garantire maggiori opportunità e tutele a cittadini e imprese.

Il nuovo “pacchetto protezione dati” entra in vigore il 25 maggio 2018.

A chi è rivolto?

Il GDPR 679/2016 viene applicato in ogni impresa privata, di qualsiasi forma e dimensione, e in ogni Ente Pubblico, purché si gestiscano dati personali riferibili a dipendenti, clienti, fornitori e utenti esterni.

In qualsiasi attività, di natura economica oppure non a scopo di lucro, in cui si raccolgono e trattano dati personali si individuano i seguenti soggetti:

Interessato: persona fisica a cui si riferiscono i dati che vengono registrati;
Titolare del trattamento: persona giuridica o fisica (ditta individuale, impresa, ente, associazione ecc.) che desidera acquisire i dati personali di un interessato e che determina le finalità e i mezzi del trattamento.
Responsabile del trattamento: persona giuridica o fisica obbligatoriamente designata che gestisce i dati personali per conto del titolare del trattamento e secondo le direttive fornite da quest’ultimo.
Incaricato del trattamento: la persona fisica che alle dirette dipendenze del titolare o del responsabile del trattamento, si occupa dell’operatività ovvero esegue il trattamento secondo precise istruzioni.

Aspetti principali

I dati genetici, relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione;
I dati biometrici, ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici;
I dati relativi alla salute, attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute.
Principio di responsabilizzazione (accountability) : è il concetto fondamentale dell’intero quadro normativo in quanto il tutto si incentra sui doveri del titolare del trattamento. In qualsiasi momento egli deve essere in grado di mettere in atto e dimostrare quali misure tecniche e organizzative ha scelto per proteggere i dati degli interessati.

Data Protection by Design: in caso di definizione di nuove attività il titolare del trattamento deve progettare il sistema che ha come scopo la protezione dei dati stabilendo i problemi che potrebbero verificarsi.
Diritto all’oblio: l’interessato nonostante abbia dato inizialmente il consenso per il trattamento dei propri dati, qualora sussistano una serie di motivi ben definiti dalla normativa, ha diritto a richiedere la cancellazione completa.
Portabilità dei dati: l’interessato entro certi tempi può chiedere al titolare del trattamento di ricevere su un formato leggibile i propri dati personali, in vista di un successivo utilizzo personale, oppure può chiedere che questi vengano trasferiti ad un altro titolare.
Obbligo di notifica in caso di violazione (Data Breach Notification): in caso di violazione alla sicurezza dei dati che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali, il titolare del trattamento ha l’obbligo di notificare l’accaduto all’autorità di controllo entro 72 ore dal momento in cui ne viene a conoscenza.

Il GDPR 679/2016, che per semplicità chiameremo Regolamento Privacy, definisce il dato personale una qualsiasi informazione che identifica o rende identificabile una persona, oppure che fornisce informazioni precise su alcune caratteristiche ( dati anagrafici, foto, filmati, indirizzo, abitudini, relazioni, stato di salute, situazione economica, religione, dati giudiziari, etc.).

Con il Pacchetto Protezione Dati Gamma Consulting si rivolge a tutto il sistema produttivo ma in particolare alle piccole e medie imprese – PMI – che hanno necessità di rendere più sicuri i propri mezzi di comunicazione, la propria rete digitale e sostenere la trasformazione per un accesso produttivo ai mercati on-line.

La consulenza si fonda sui seguenti aspetti:

1. Analisi conformità Privacy

2. Valutazione del rischio trattamento dati

3. Attuazione misure organizzative e tecniche

4. Formazione Incaricati del trattamento

L’obiettivo è la definizione di un sistema che individui tutti i rischi e che consenta l’attuazione delle misure corrette a tutela del Titolare del Trattamento.

ANALISI CONFORMITA’ PRIVACY
Analisi delle misure già intraprese

Le aziende sono tenute ad applicare sino al 25/05/2018 il D.L.vo 196/2003. L’analisi iniziale prende in considerazione l’attuale sistema per la protezione dei dati, soffermandosi in particolare su:

Natura del dato
Informativa
Consenso
Trattamenti con/senza strumenti elettronici
Misure di sicurezza

VALUTAZIONE DEL RISCHIO TRATTAMENTO DATI
Valutazione oggettiva riguardo natura, ambito di applicazione, contesto e finalità del trattamento, ai sensi del GDPR 679/2016.

L’analisi della probabilità e della gravità del rischio prende in esame:

Responsabilità soggetti
Finalità trattamento
Offerta dell’informativa
Raccolta del Consenso
Principi d’impostazione e limitazione del trattamento
Accuratezza dati raccolti
Tecnologie di security
Trasparenza
Trasferimento dati all’estero
Accesso dell’interessato

ATTUAZIONE MISURE ORGANIZZATIVE E TECNICHE
Definizione delle politiche di sicurezza

Definizione delle procedure necessarie a garantire la sicurezza dei dati oggetto del trattamento, in relazione al tipo di rischio individuato (basso, medio, alto)

Gestione della sicurezza
Risposta ad incidenti e continuità operativa
Gestione delle risorse umane
Controllo accessi, registrazione, monitoraggio
Sicurezza dati archiviati
Backup
Dispositivi mobili e portatili
Sicurezze applicazioni
Cancellazione dati
Sicurezza fisica

FORMAZIONE INCARICATI DEL TRATTAMENTO
L’incaricato è la persona fisica autorizzata a trattare i dati personali sotto l’autorità diretta del titolare o del responsabile del trattamento.

Il GDPR 679/2016 prevede l’obbligo di formazione per tutte le figure presenti nell’organizzazione e coinvolte nel trattamento dati. Introduce in questo modo una novità importante in quanto questa disciplina, inizialmente prevista dal D.L.vo 196/2003, venne successivamente abrogata.

Formazione Incaricato GDPR 679/2016 – 4 ore
Formazione Coordinatore Incaricati GDPR 679/2016 – 8 ore