Consulenza Privacy GDPR

Per prima cosa Vi illustrerò gli aspetti principali e generali del nuovo Regolamento, poi vedremo di fare una panoramica di quella che è la vostra Azienda o Attività e quindi vi fornirò una descrizione di ciò che è necessario fare per diventare conformi.
Questa consultazione iniziale conoscitiva è fornita gratuitamente e senza alcun impegno.

Tramite un sopralluogo tecnico e con l’aiuto di un questionario si analizzano tutte le attività effettuate che prevedono il trattamento di dati personali.

Ad esempio: Amministrazione del personale dipendente, Gestione Clienti (es.: titolari di account, clienti, alunni, detenuti, pazienti), Obblighi legali (es.: Antiriciclaggio, Antiterrorismo, Imposte, Permessi di lavoro), Fornitura di beni o servizi (Online o dal vivo), Attività di monitoraggio (es.: Videosorveglianza, Sistemi di riconoscimento automatico delle targhe, Indirizzi IP, Cookie, App), Attività di marketing diretto o per conto proprio o per conto terzi o creazione / vendita di elenchi di marketing, Attività di Profilazione.

Vengono presi in considerazione tutti i trattamenti di dati personali conservati in formato elettronico o contenuti in un sistema di archiviazione manuale strutturato.

In particolare, ma non esclusivamente, l’audit riguarderà i dati personali detenuti nei seguenti sistemi e formati: Banche dati informatiche; Sistemi di gestione dei documenti (compresi i documenti memorizzati in strutture di directory standard fornite da tali strutture come CFS), File di computer individuali, se del caso ad es. fogli di calcolo e altri strumenti di analisi, elenchi elaborati in Word; Directory e-mail strutturate; Sistemi di archiviazione manuali strutturati a cui è possibile fare riferimento singolarmente, ad es. File degli studenti, file dello staff, moduli dei dati del sondaggio, script di esame, grafici / elenchi delle vacanze, elenchi di pubblicazioni; Pagine web; Fotografie; Registrazioni video / audio; Campioni di tessuti.

Si analizza il gap, ovvero il “divario” presente tra l’attuale situazione aziendale e la situazione ideale di conformità al Regolamento, per poter predisporre un piano di azione, colmare le lacune e i ridurre i rischi.
In questa fase cercheremo di capire se sia necessario o consigliabile nominare un responsabile della protezione dei dati (DPO, nuova figura introdotta dal GDPR).

Sulla base delle informazioni raccolte, si procede alla creazione del registro delle attività di trattamento (previsto dall’Art. 30 del GDPR): un documento volto a tenere traccia dei trattamenti effettuati da parte del titolare e degli eventuali responsabili, e contenente, tra gli altri, le finalità del trattamento, una descrizione delle categorie di interessati e dei dati personali, i destinatari, gli eventuali trasferimenti verso Paesi terzi e una descrizione generale delle misure di sicurezza.

Si individuano i ruoli e le responsabilità dei soggetti che effettuano il trattamento, si elaborano le lettere di nomina dei responsabili del trattamento e degli incaricati del trattamento (e dell’eventuale amministratore di sistema), nonchè del DPO ove fosse necessario.

Si valutano e si vanno ad attuare (documentandole) tutte le misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al GDPR.
Questa fase è espressione, soprattutto, del principio di responsabilizzazione del Titolare (accountability).
Si redigono Istruzioni Operative.
Si analizza il processo di Data Breach (Violazione dei Dati): al fine di assicurarsi di aver adottato tutte le procedure idonee a scoprire eventuali violazioni, generare adeguata reportistica e indagarne le cause nonché gli effetti della violazione subita.
Quando se ne dovesse presentare la necessità, si procederà ad una valutazione d’impatto sulla protezione dei dati personali al fine di assicurare trasparenza nelle operazioni di trattamento dei dati personali e adeguata protezione agli stessi.

Si implementano procedure per l’esercizio dei diritti degli interessati come da articoli 15-22 del Regolamento.
Si compilano anche le dovute informative come da art. 13 e 14 del GDPR.