26 Mar Consigli per un approccio strutturato al GDPR – il nuovo Regolamento Generale sulla Protezione dei Dati Personali

Pubblicato alle 00:00h in News di Staff

Il 25 maggio 2018 entrerà in applicazione il nuovo Regolamento Generale sulla Protezione dei Dati Personali GDPR – UE 679/2016, già approvato durante il 2016. E non sono previsti rinvii.

Tutte le aziende con sede nell’Unione Europea, o al di fuori, che raccolgono o elaborano dati personali e particolari (sensibili) di cittadini dell’UE, dovranno implementare nei propri processi vari adeguamenti sia tecnologici che organizzativi per essere conformi a tale Regolamento e secondo il principio dell’Accountability significa che dovranno dimostrare le loro adeguatezza.

Anche noi di Systema ci stiamo attrezzando per adeguarci alla nuova normativa. Ci è sembrato utile condividere con tutti i nostri lettori alcune informazioni importanti sull’argomento.

Per questo abbiamo chiesto al Dott. Francesco Speciale – DPO (Data Protection Officer) certificato da Cepas Bureau Veritas in base allo schema CEPAS SCH73 – esperto dell’argomento e consulente per le aziende su questa materia, di riassumerci brevemente i punti principali legati al GDPR e alla sua applicazione per le aziende.

D: Quali sono le maggiori novità introdotte dal nuovo Regolamento Generale sulla Protezione dei Dati Personali GDPR – UE 2016/679?

R: ” Rispetto alla legge sul Codice Privacy italiana 196/2003, – che a livello europeo era già abbastanza evoluta, tanto da essere presa a modello anche da altri Paesi – vengono introdotte molte novità, come ad es. il Data Protection Officer, il Registro dei Trattamenti, la DPIA [Data Protection Impact Assessment], l’obbligo di notifica di una violazione dei dati personali al garante Privacy di un Data Breach entro 72 ore, etc. per cui è necessario prepararsi in modo adeguato, seguendo un percorso ad avvalendosi di esperti.“

D: Per coloro che non si adeguano alle nuove misure, esistono delle sanzioni, e in che misura?

R: ” Le sanzioni sono previste e sono molto elevate se confrontate con il Codice Privacy. Le organizzazioni possono essere sanzionate fino a 20 milioni di euro o fino al 4% del fatturato annuo globale per la violazione del GDPR. Queste sono le sanzioni più gravi, ma anche per violazioni minori sono alte“.

D: Cosa devono fare nel concreto le aziende per adeguarsi?

R: ” Per districarsi nella complessità della normativa e stabilire un corretto approccio operativo è necessario, come detto prima, affidarsi a consulenti esperti. Io propongo sempre un percorso metodologico basato su 3 aspetti fondamentali: tecnologico, normativo e organizzativo. Il primo riguarda l’analisi e la messa a norma degli apparati/asset tecnologici in cui effettivamente l’azienda fa transitare e conserva i dati personali o sensibili. L’aspetto normativo riguarda l’adozione delle procedure necessarie all’adeguamento secondo il nuovo Regolamento. Quello organizzativo prevede l’audit del flusso dei dati personali sulla base dell’organizzazione interna all’azienda sino all’identificazione dei vari ruoli ed alla redazione di un organigramma Privacy con ruoli e responsabilità.“

D: Per ultimo un consiglio su come andrebbe affrontato l’obbligo normativo.

” La nuova Privacy Europea non dovrà essere vissuta come un obbligo di legge da adempiere, ma viceversa come un momento d’innovazione organizzativa e tecnologica che potrà consentire di creare un nuovo rapporto di fiducia e di rispetto con i propri clienti, i propri partner e le Autorità”.