Un vademecum utile per tutti i soggetti impegnati nell’applicazione del Regolamento Ue 2016/679.

Il 2 ottobre è stato pubblicato sul sito web del Garante per la protezione dei dati personali la versione italiana del Manuale per DPO (Responsabili della protezione dati) dei soggetti pubblici nell’applicazione del Regolamento Ue 2016/679.

Il vademecum delinea e illustra, con esempi pratici. il ruolo e gli specifici compiti del DPO operante in un soggetto pubblico. Affronta e approfondisce inoltre temi generali, come l’evoluzione normativa in tema di protezione dei dati e privacy in ambito Ue e non solo, l’applicazione del principio di accountability, i diritti degli interessati; il trasferimento dei dati all’estero, i meccanismi di compliance previsti dal Regolamento.

Il Manuale è facilmente fruibile scaricandolo direttamente dal sito del Garante per la protezione dei dati.

Cosa stai aspettando?!

Buona lettura!

L'articolo La versione italiana del manuale per DPO proviene da Compliance Consulenza Selezione del Personale a Milano.

COSA È UNA VIOLAZIONE DEI DATI PERSONALI (DATA BREACH)?* 

Una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. 

Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali. 

Alcuni possibili esempi: 

– l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;

– il furto o la perdita di dispositivi informatici contenenti dati personali;

– la deliberata alterazione di dati personali;

– l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ecc.; 

– la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;

– la divulgazione non autorizzata dei dati personali.

COSA FARE IN CASO DI VIOLAZIONE DEI DATI PERSONALI?

Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi. 

Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo. 

Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto. 

Il titolare del trattamento, a prescindere dalla notifica al Garante, documenta tutte le violazioni dei dati personali, ad esempio predisponendo un apposito registro. Tale documentazione consente all’Autorità di effettuare eventuali verifiche sul rispetto della normativa.

CHE TIPO DI VIOLAZIONI  DI DATI PERSONALI VANNO NOTIFICATE?

Vanno notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali  o immateriali. 

Ciò può includere, ad esempio, la perdita del controllo sui propri dati personali, la limitazione di alcuni diritti, la discriminazione, il furto d’identità o il rischio di frode, la perdita di riservatezza dei dati personali protetti dal segreto professionale, una perdita finanziaria, un danno alla reputazione  e qualsiasi altro significativo svantaggio economico o sociale.

CHE INFORMAZIONI DEVE CONTENERE LA NOTIFICA AL GARANTE?**
 

La notifica deve contenere le informazioni previste all’art. 33, par. 3 del Regolamento (UE) 2016/679 e indicate nell’allegato al Provvedimento del Garante del 30 luglio 2019 sulla notifica delle violazioni dei dati personali (doc. web n. 9126951).

Qualora si utilizzi per la notifica il modello allegato al provvedimento, è necessario scaricarlo sul proprio dispositivo e successivamente procedere alla sua compilazione.

COME INVIARE LA NOTIFICA AL GARANTE?

La notifica deve essere inviata al Garante tramite posta elettronica all’indirizzo protocollo@pec.gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento d’identità del firmatario.

L’oggetto del messaggio deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare del trattamento.

LE AZIONI DEL GARANTE

Il Garante può prescrivere misure correttive (v. art. 58, paragrafo 2, del Regolamento UE 2016/679) nel caso sia rilevata una violazione delle disposizioni del Regolamento stesso, anche per quanto riguarda l’adeguatezza delle misure di sicurezza tecniche e organizzative applicate ai dati oggetto di violazione. Sono previste sanzioni pecuniarie che possono arrivare fino a 10 milioni di Euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale. 

* La scheda ha mero valore divulgativo ed è in continuo aggiornamento in base all’evoluzione delle indicazioni applicative del Regolamento (UE) 2016/679.

** Il Garante renderà prossimamente disponibile una procedura online.

L'articolo Violazioni di Dati Personali in Base al Reg. UE 2016/679 proviene da Compliance Consulenza Selezione del Personale a Milano.

GDPR Privacy: “Fine Periodo Transitorio”

• 19 Maggio 2019
• Posted by: E T
• Categoria: Privacy (GDPR)

Nessun commento

GDPR Privacy: “Fine Periodo Transitorio”

L’art. 22 comma 13 del D. Lgs. n.  101/2018 (il Decreto di recepimento del GDPR – Reg. UE 679/2016) ha sostanzialmente previsto una sorta di rinvio nell’applicazione delle sanzioni per i primi 8 mesi dalla data di entrata in vigore del decreto nella prima fase di applicazione; in verità semplicemente scade il termine che obbliga il Garante privacy, ai fini dell’applicazione delle sanzioni amministrative, a “tenere conto” del periodo di prima applicazione.

 

Il 19 maggio 2019, è scaduto quindi il periodo di prima applicazione del Regolamento UE 679/2016 (GDPR) in cui il Garante aveva previsto un periodo di sostanziale sospensione delle sanzioni previste dalla normativa.

Ora quindi le sanzioni sono a tutti gli effetti applicabili.

Le sanzioni possono essere di tre tipi: semplicemente correttive (dispositive) amministrative o penali.

consulenza privacy milano data protection officer milano dpo milano GDPR gdpr milano novaconsult

Share

Richiedi una consulenza

Hai bisogno di informazioni?

Contattaci

L'articolo GDPR Privacy: “Fine Periodo Transitorio” proviene da Compliance Consulenza Selezione del Personale a Milano.

Con l’uscita del decreto legislativo 101/2018 che armonizza i contenuti del D.Lgs. 196/03 al più recente Regolamento europeo 679/2016 in materia di tutela dei dati personali, può essere utile una riflessione circa il rapporto tra la figura dell’Organismo di Vigilanza e quella del Responsabile della Protezione dei Dati.

Come è noto, gli illeciti legati a violazioni dei dati personali non rientrano esplicitamente nel novero dei reati per i quali si possa configurare la responsabilità dell’ente, motivo che potrebbe portare a considerare i due ambiti come compartimenti stagni. Ma se ci poniamo dal punto di osservazione dell’ente, le cose stanno in maniera diversa.

Il GDPR, infatti, richiede una valutazione dei rischi legati alla violazione dei dati personali trattati, per non menzionare l’eventuale valutazione di impatto aggiuntiva, esattamente come il D.Lgs. 231 01 richiede una valutazione dei rischi rispetto al coinvolgimento dell’ente nella commissione dei cosiddetti “reati presupposto”: e quando si arriva a parlare di reati informatici (solo per citarne uno), alcune delle contromisure coprono evidentemente entrambi gli ambiti. Possono quindi cambiare il tipo di lenti indossate, ma gli occhiali dell’analisi di rischio ormai sono un accessorio che ogni ente deve mettere nel proprio libro cespiti, come del resto avviene anche nel mondo della normazione volontaria, in cui – solo per citare alcuni esempi – le norme in materia di sicurezza informatica (ISO 27001), salute e sicurezza dei lavoratori (ISO 45001) e qualità dei servizi erogati (ISO 9001) richiedono la conduzione di una analisi che renda il management consapevole dei rischi cui è esposto in modo da metterlo nelle condizioni migliori per prendere decisioni sulle contromisure da adottare.

O, in altri termini, che renda insostenibile la posizione per cui “non ero a conoscenza di questo rischio”.

Se andiamo poi ad analizzare la figura del Responsabile della Protezione dei Dati (RPD, art. 37 del GDPR), tra i compiti che gli sono affidati rientrano “almeno” (art. 39) la consulenza sugli obblighi derivanti dal GDPR, la sorveglianza circa l’osservanza del Regolamento, la fornitura – se richiesta – di un parere in merito alla valutazione di impatto, in forte analogia operativa con quelli che sono i compiti ormai consolidati dell’Organismo di Vigilanza.

Rimane a questo punto una interessante domanda: i ruoli di OdV e RPD sono sovrapponibili? La risposta potrebbe essere sì – a meno di espliciti divieti normativi – ma è sottoposta ad almeno due condizioni. La prima è la competenza tecnica specifica per ambito: un conto è conoscere la responsabilità amministrativa e le sue implicazioni, un altro è la normativa in materia di tutela dei dati personali, dove oltre al Governo abbiamo la figura del Garante che dispone dell’autorità per normare direttamente la materia. Il membro dell’OdV che fosse anche RPD dovrebbe garantire un adeguato aggiornamento su entrambi gli ambiti. La seconda è la capacità di relazione: se l’OdV ha un ruolo di sicura interfaccia con le controparti interessate dal modello di organizzazione e gestione, il RPD (ancora una volta secondo l’art. 39) ha istituzionalmente quello di fungere da punto di contatto con l’autorità di controllo, con la quale è tenuto a cooperare. Se si pensa al tema delle segnalazioni circa le violazioni del modello o le lacune del sistema di controllo per la protezione dei dati (es. reclami) è più che auspicabile che le due funzioni, se fisicamente separate, cooperino strettamente per definire le specifiche regole di ingaggio.

In ultima analisi, le strutture degli ultimi dettati normativi mettono la Direzione dell’ente nella posizione facilitata di dover dialogare allo stesso modo con soggetti diversi, favorendo l’opportunità di investire in strumenti di gestione che consentano – se opportunamente tarati – la realizzazione di interessanti economie di scala, nonché di facilità di comprensione e attuazione da parte degli utenti. Non dimentichiamoci, infatti, che regole e controlli sia in ambito di responsabilità amministrativa che di tutela dei dati personali impattano direttamente sul lavoro quotidiano tanto del Megadirettore Naturale di fantozziana memoria quanto (rispettando la cinematografica similitudine) dell’ultimo degli inferiori: e tanto più controlli e regole sono chiare, motivate e comprensibili, tanto più è alta la probabilità che vengano correttamente applicate.

E se consideriamo il rischio derivante dall’applicazione delle sanzioni nei due ambiti, non è un fattore da sottovalutare.

L'articolo Il rapporto tra Organismo di Vigilanza e il nuovo GDPR proviene da Compliance Consulenza Selezione del Personale a Milano.