GDPR · Regolamento (UE) 2016/679 · D.Lgs. 196/2003
DPO esterno e privacy: meno moduli, più protezione.
Assumo l’incarico di Responsabile della protezione dei dati per aziende private e seguo l’adeguamento al GDPR con lo stesso approccio che uso per la cybersecurity: concreto, documentato, difendibile.
// 01 Incarico di DPO
Un DPO che non si limita a firmare.
Il DPO informa e consiglia, sorveglia l’osservanza del GDPR, fornisce pareri sulle valutazioni d’impatto, coopera con il Garante e fa da punto di contatto per gli interessati (art. 39). Deve essere coinvolto tempestivamente e operare in modo indipendente (art. 38). Un incarico esterno garantisce proprio questo.
Quando è obbligatorio per un’azienda privata (art. 37)
- Le attività principali richiedono il monitoraggio regolare e sistematico di persone su larga scala (es. geolocalizzazione, profilazione, videosorveglianza estesa).
- Le attività principali consistono nel trattamento su larga scala di dati particolari (es. sanitari) o di dati relativi a condanne e reati.
Negli altri casi è facoltativo. E spesso è il modo più economico di dormire tranquilli.
Cosa faccio come DPO
- 01Pareri e consulenza su nuovi trattamenti, fornitori, progetti
- 02Audit periodici e piano di sorveglianza
- 03Supporto e pareri sulle DPIA
- 04Gestione delle richieste degli interessati
- 05Gestione dei data breach con il titolare
- 06Rapporti con il Garante
- 07Relazione annuale agli organi di vertice
- 08Formazione del personale
// 02 Adeguamento GDPR
Tutto quello che il Garante si aspetta di trovare.
Le sanzioni GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale (art. 83). Ma il vero costo, di solito, è la reputazione.
Registro dei trattamenti
Il registro (art. 30) come mappa vera dei dati, non come elenco scritto una volta e dimenticato.
Valutazioni d’impatto (DPIA)
Quando il trattamento presenta rischi elevati (art. 35): metodo, misure, decisioni motivate.
Data breach
Procedura, registro delle violazioni, valutazione del rischio, notifica al Garante entro 72 ore quando serve.
Informative e consensi
Informative chiare per clienti, dipendenti, fornitori, candidati. Consensi solo dove servono davvero.
Nomine e contratti
Responsabili del trattamento (art. 28), autorizzati, amministratori di sistema, contitolarità.
Sito web e cookie
Cookie policy, banner, moduli, strumenti di terze parti, trasferimenti extra UE.
Videosorveglianza
Impianti conformi a GDPR e Statuto dei lavoratori: cartelli, tempi di conservazione, accordi e autorizzazioni.
Formazione
Sessioni pratiche per personale e responsabili, con esempi presi dal vostro lavoro quotidiano.
Audit e verifiche
Controlli periodici su processi, fornitori e misure di sicurezza, con un piano di miglioramento.
// 03 NIS2 + GDPR
Due normative, una sola regia.
Gestione del rischio, fornitori, incidenti, formazione: NIS2 e GDPR si sovrappongono molto più di quanto sembri. Lavorarci con un unico consulente significa un’unica analisi dei rischi, un’unica procedura incidenti, un’unica valutazione dei fornitori. Meno documenti, più coerenza.
Un incidente, due notifiche
NIS2Garante
GDPR
Valutazioni diverse, destinatari diversi. Nel mezzo di una crisi, è il tipo di complessità che fa saltare le scadenze.
// ultima chiamata (per fortuna, non in senso letterale)
Ti serve un DPO o solo qualcuno che metta ordine?
In entrambi i casi la prima chiamata serve a capirlo. Se il DPO non è obbligatorio per te, te lo dico.