Consigli DSGVO: per mantenere l'ardesia bianca

Vale quindi la pena di iniziare a ristrutturare il budget dei dati oggi piuttosto che domani. Ma da dove dovrebbero iniziare le aziende che non hanno ancora un responsabile della protezione dei dati (DPO)? Ecco alcuni suggerimenti su come affrontare subito l'argomento.

1. Una mappa dei dati aiuta l'orientamento iniziale

Prima dell'era degli smartphone, qual era la prima cosa che facevamo quando ci recavamo in una nuova città? Chiaramente: prendere una mappa della città per orientarsi. Questo è esattamente ciò che dovreste fare per preparare la vostra ristrutturazione dei dati. Riunite tutti gli ingegneri, i product manager e gli analisti e identificate insieme dove vengono raccolti o elaborati i dati in azienda e per quale scopo. Questo documento serve inizialmente come inventario e come tabella di marcia per tutte le fasi successive.

2. Cacciatore o raccoglitore?

In generale, nell'ambito del GDPR, si distingue tra Elaboratore dati e Titolare del trattamento dei dati differenziato. Durante la Titolare del trattamento dei dati è legalmente responsabile per la raccolta e la generazione e determina come i dati possono essere ulteriormente utilizzati, il Elaboratore dati solo responsabile dell'elaborazione di queste stesse linee. Dal momento che a entrambe le entità si applicano requisiti diversi, le aziende devono capire esattamente a quale gruppo appartengono. Potete sempre rivolgervi a un consulente che vi aiuti in questo senso.

3. Classificare gli interessi e dimostrare una base giuridica per il trattamento

Il GDPR prevede una serie di motivi legittimi per il trattamento dei dati personali. I due più comuni sono il "legittimo interesse" e il "consenso". Il primo si applica quando l'azienda può dimostrare di avere un interesse legittimo all'utilizzo dei dati (ad esempio, quando il modello commerciale si basa su di essi). Nel secondo caso, il trattamento è legittimato dal consenso esplicito di ciascun utente. In questo caso, dovreste utilizzare la mappa dei dati per determinare quali regolamenti volete utilizzare e registrare in modo dettagliato i motivi per cui ciò è giustificato nel vostro caso specifico.

4. Chi scrive, rimane

Da questo momento in poi, dovrete assicurarvi che tutte le operazioni dell'azienda che riguardano il trattamento dei dati personali siano registrate. E dovreste farlo in modo così completo e ben congegnato da superare a pieni voti un'ispezione a sorpresa da parte di un revisore ufficiale. È essenziale che l'auditor possa constatare che avete tenuto conto del nuovo regolamento di base nella struttura dei vostri servizi e prodotti e li avete riallineati (privacy by design) e che tutti i dipendenti che lavorano direttamente con i dati sono sufficientemente formati.

5. Occhi aperti nella scelta del partner

Dalla sua introduzione, il 25 maggio 2018, potete essere ritenuti responsabili di tutte le pratiche di trattamento dei dati dei vostri partner, proprio come il partner stesso. In parole povere, ciò significa che dovrete verificare con molta attenzione se l'azienda è adatta alla collaborazione e agisce in conformità con le linee guida. A tal fine, potete utilizzare le seguenti domande come guida, ad esempio:

1. Chi è responsabile in azienda della conformità al GDPR?
2. Su quale base giuridica documentata si basa il trattamento dei dati? (Consenso/interesse legittimo?)
3. L'azienda ha assunto un responsabile della protezione dei dati?
4. L'azienda è un "responsabile del trattamento" o un "incaricato del trattamento" dei dati?
5. Come vengono gestite le richieste di accesso ai propri dati da parte degli utenti?
6. Come sono protetti i sistemi?
7. L'azienda stessa ha identificato le aree di trattamento dei dati e le ha ottimizzate secondo le linee guida?
8. Qual è la posizione dell'azienda in materia di e-privacy e cosa è previsto al riguardo se il modello di business è direttamente interessato?
9. Offrono il consenso tramite opt-in?
10. Qual è il piano di riserva?