GDPR - Adeguare la tua azienda è semplice

Registro dei trattamenti

L' Art. 30 del Regolamento europeo in materia di protezione dei dati personali nello specifico il par. 4 dell'art. 30, dice che
"su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro dei trattamenti a disposizione dell'autorità di controllo."
L'autorità di controllo (Garante) è, d'altro canto, l'ente pubblico che ha titolo per richiedere la disponibilità del registro, al fine di esaminarlo.
L'obbligo di redazione e adozione del registro non è, tuttavia, generale. Il par. 5 dell'art. 30 specifica che esso non compete "alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato,
il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10." I Garanti europei consigliano di dotarsi del registro dei trattamenti anche nel caso di aziende di minori dimensioni

L'azienda tratta dati sensibili

Se si trattano dati sensibili è necessario aumentare le protezioni aziendali.
Se tali dati sono trattati su larga scala o sono di particolare importanza, si deve nominare un D.P.O. ed avere obbligatoriamente un registro dei trattamenti e redigere un Privacy Impact Assessment.

Privacy impact assessments

Il GDPR introduce il piano di valutazione di impatto sui trattamenti per quanto riguarda la sicurezza degli stessi.
Pur non essendo obbligatoria per tutte le aziende i Garanti Europei ne caldeggiano la presenza in quanto rafforzano la reputazione aziendale di fronte ai propri partner.
Si tratta di un incartamento documentale che prenda in considerazione tutti i sistemi di sicurezza messi in atto per proteggere i dati, ne individui le criticità, le future mitigazioni del rischio e ne accerti che per il principio della proporzionalità l'impatto sul trattamento sia da considerarsi accetabile.

Data Breach

IL GDPR ha previsto che in caso di furto o perdita di dati sostanziale l'accaduto vada registrato su un registro chiamato data breach e, in caso di furto o perdita determinante vi sia l'obbligo di comunicazione entro 72 ore al garante tramite apposito modulo

Videosorveglianza

Il GDPR dice che in caso di videosorveglianza, anche senza registrazione e anche in caso di telecamere finte usate come deterrente bisogna produrre una serie di documentazioni precise che vanno dalla domanda alla direzione distrettuale del lavoro, al principio di necessità, alla tipologia di impianti scelti, alla modalità di conservazione delle immagini, alla nomina del responsabile e degli incaricati, alla informativa estesa e alla cartellonistica

L'azienda riguardo alla videosorveglianza:

Georeferenziazione

Il GDPR dice che in caso di veicoli aziendali con rilevazione di posizione, bisogna produrre una serie di documentazioni precise che vanno dalla domanda alla direzione distrettuale del lavoro o all'accordo sindacale, al principio di necessità, alla tipologia di impianti scelti, alla modalità di conservazione dei dati , alla nomina del responsabile e degli incaricati, agli adesivi presenti su ogni veicolo

L'azienda riguardo alla georeferenziazione?