GDPR E PRIVACY
Il trattamento dei dati in regola, e tenuto tale
Registri, DPIA, informative, diritti degli interessati e trasferimenti: la conformità al GDPR costruita per reggere a un controllo, non per riempire un cassetto.
La conformità al GDPR non è un adempimento una tantum ma uno stato da mantenere. Ogni nuovo trattamento, fornitore o strumento sposta l'equilibrio, e la documentazione perde valore appena smette di corrispondere alla realtà. Le sanzioni per le violazioni arrivano fino al 2% o al 4% del fatturato mondiale annuo a seconda della norma violata, ma il costo maggiore è quasi sempre l'incapacità di dimostrare le proprie scelte quando servono. Intervengo per mettere in ordine la privacy dell'organizzazione e poi per mantenerla allineata: dai registri dei trattamenti alle valutazioni d'impatto, dalle informative alla gestione delle richieste degli interessati, fino ai trasferimenti fuori dall'Unione. Ogni scelta viene ancorata a una base giuridica e a un'evidenza, così che il principio di accountability sia soddisfatto nei fatti.
COSA INCLUDE
Cosa include
Registro dei trattamenti
Costruzione e manutenzione del registro ex art. 30, allineato ai trattamenti reali dell'organizzazione.
Valutazioni d'impatto (DPIA)
Analisi dei trattamenti a rischio elevato, con misure di mitigazione e, dove serve, consultazione preventiva del Garante.
Informative e basi giuridiche
Redazione delle informative ex artt. 13 e 14 e mappatura delle basi giuridiche per ciascun trattamento.
Diritti degli interessati
Procedure per accesso, rettifica, cancellazione e opposizione, con tempi e modalità di risposta a norma.
Rapporti con fornitori e responsabili
Nomine dei responsabili ex art. 28 e verifica delle garanzie contrattuali lungo la catena dei trattamenti.
Trasferimenti fuori dall'Unione
Valutazione delle basi per i trasferimenti extra-UE, clausole contrattuali standard e analisi del Paese di destinazione.
Gestione dei data breach
Procedura di risposta agli incidenti, valutazione della notifica al Garante e agli interessati nei termini di legge.
PER CHI
Per chi
Il servizio è rivolto alle imprese che trattano dati personali di clienti, utenti o dipendenti e vogliono una conformità solida e documentata, a chi si prepara a un controllo o a una due diligence, e a chi ha ricevuto una richiesta di un interessato o un reclamo e deve rispondere in modo corretto. È utile sia per un primo assessment sia per la manutenzione continuativa di un impianto già esistente.
DOMANDE FREQUENTI
Domande frequenti
Cos'è una DPIA, la valutazione d'impatto dell'articolo 35, e quando è obbligatoria?
La DPIA è la valutazione d'impatto sulla protezione dei dati richiesta dall'articolo 35 quando un trattamento può presentare un rischio elevato per i diritti degli interessati, ad esempio in caso di profilazione, monitoraggio sistematico o trattamento su larga scala di dati particolari. Serve a individuare i rischi e le misure per mitigarli prima di avviare il trattamento. Se il rischio resta elevato nonostante le misure, va consultato il Garante.
Come si mette a norma il trasferimento di dati fuori dall'Unione europea?
Un trasferimento verso un Paese terzo è lecito se il Paese gode di una decisione di adeguatezza della Commissione europea oppure, in mancanza, se sono adottate garanzie adeguate come le clausole contrattuali standard. A queste si affianca il Transfer Impact Assessment, la valutazione che verifica se nel Paese di destinazione quelle garanzie sono davvero effettive. È un passaggio che va documentato, non dato per scontato.
Serve un avvocato per il GDPR o basta un consulente privacy?
Molti adempimenti possono essere seguiti da un consulente, ma quando le scelte hanno conseguenze legali, come la definizione delle basi giuridiche, i contratti con i fornitori o la gestione di un reclamo o di un'istruttoria del Garante, la responsabilità è giuridica e conviene un avvocato. Il valore sta nel tenere insieme la conformità operativa e la difendibilità delle decisioni davanti a un'autorità.
IL PRIMO PASSO