SERVIZIO 1

Servizio di assistenza tecnico-giuridico per l’attuazione del  Nuovo Regolamento Europeo 2016/679 GDPR

Il nuovo Regolamento Europeo (679/2016) sulla protezione dei dati introduce un’unica legislazione in tutti gli Stati Membri dell’UE.

In Italia, a partire dal 25 Maggio 2018, va in scena il nuovo Regolamento generale sulla protezione dei dati 2016/679 GDPR, pubblicato sulla Gazzetta Ufficiale europea L. 119 il 4 maggio 2016 e che sarà obbligatorio appunto a partire dal 25 maggio 2018.

Con il nuovo Regolamento UE sulla Privacy, vengono introdotte importanti novità quali il diritto all’oblio, il diritto alla portabilità dei dati, il principio di accountability, le notificazioni delle violazioni alle autorità nazionali e anche agli stessi utenti (c.d. data breaches), modalità di accesso ai propri dati personali più facili per gli interessati, il meccanismo del “one-stop-shop”, con il quale le imprese avranno a che fare con un’unica autorità di vigilanza, e il concetto di “privacy by design”.

PREMESSE

Linee guida sui Responsabili della Protezione dei Dati (RPD) o Data Protection Officer (DPO).

Il Regolamento Generale sulla Protezione dei Dati (GDPR) esplicherà i propri effetti a partire dal 25 maggio 2018 ed offrirà un quadro di riferimento per la protezione dei dati in Europa, aggiornato e fondato sul principio di responsabilizzazione (accountability). I Responsabili della Protezione dei Dati (RPD), meglio conosciuti come DPO (Data Protection Officer), saranno al centro di questo nuovo quadro giuridico in molti ambiti e dovranno facilitare ’osservanza delle disposizioni del GDPR.

In base al Regolamento, i titolari e i responsabili del trattamento sono tenuti a nominare in via obbligatoria un R.P.D.. Questo vale per tutte le autorità pubbliche e tutti i soggetti pubblici, indipendentemente dalla natura e tipologia di dati trattati, e per soggetti che, come attività principale, effettuino un monitoraggio regolare e su larga scala delle persone fisiche o trattino su larga scala categorie particolari di dati personali e sensibili. Anche dove il regolamento non imponga in modo specifico la designazione di un DPO, può risultare utile procedere su base volontaria alla sua nomina.

Ancor prima dell’adozione del Regolamento, il Gruppo di Lavoro “articolo 29″ (WP29) ha sostenuto che questa figura rappresenti un elemento fondante ai fini della responsabilizzazione, e che la nomina del RPD possa facilitare l’osservanza della normativa ed aumentare il margine competitivo delle imprese. I Responsabili della Protezione dei Dati fungono inoltre da interfaccia fra i soggetti coinvolti: autorità di controllo, interessati, divisioni operative all’interno di un’azienda o di un ente.

In caso di inosservanza del GDPR, i Responsabili della Protezione dei Dati non rispondono personalmente. Il Regolamento stesso chiarisce spetta al titolare o al responsabile del trattamento garantire ed essere in grado di dimostrare che le operazioni sono conformi alle disposizioni di legge. L’onere di assicurare il rispetto della normativa in materia di protezione e tutela dei dati ricade sul titolare o sul responsabile.

Servizio di assistenza tecnico-giuridico per l’attuazione del Nuovo Regolamento Europeo

Dopo l’affidamento dell’incarico, il consulente nominato dalla Fondazione P.A.domani e.t.s., in accordo con il Cliente, realizzerà sopralluoghi conoscitivi presso l’ente e riunioni per la creazione del gruppo di lavoro (responsabili della segreteria, del personale, del CED, della polizia municipale, ecc.).

Il servizio prevede l’analisi delle misure e delle metodologie tecniche e gestionali che l’ente adotta nel trattamento dei dati inerenti a:

• attività istituzionali
• attività svolte presso sedi operative gestite direttamente dall’ente (case di riposo, musei, asili, scuole
• impianti di videosorveglianza
• verifica adeguatezza del sito web

 

FASE A) ACQUISIZIONE DELLE INFORMAZIONI

Il servizio prevede lo svolgimento delle seguenti attività con la cronologia indicata:

a) Mappatura degli archivi elettronici, web e cartacei, individuazione e definizione degli schemi di trattamento dei dati rispetto alle singole unità di archiviazione;

b) Verifica della liceità dei trattamenti, delle modalità tecniche e delle misure di protezione adottate;

c) Individuazione dei soggetti interessati al trattamento (utenti, cittadini – persone fisiche e referenti delle persone giuridiche, dipendenti/collaboratori, fornitori, etc.);

d) Individuazione delle figure gerarchiche di responsabilità quali:

• titolare del trattamento/responsabile del trattamento;
• affidatari esterni e/o contitolari;
• responsabili esterni del trattamento/clausole per l’affidamento di servizi esternalizzati;
• amministratori di sistema;
• incaricati al trattamento;
• fornitori di servizi esterni – verifica ed eventuale integrazioni nella contrattualistica;
• trattamenti dati intra/extra UE.

FASE B) ELABORAZIONE DEI DOCUMENTI

Il servizio prosegue con la predisposizione della seguente documentazione:

1. stesura delle informative per il trattamento dei dati;
2. verifica dei requisiti dei fornitori di servizi per i quali vi è un trattamento (e/o implementazione di misure di protezione dei dati) e stesura delle clausole contrattuali minime per garantire adeguata protezione dei dati;
3. stesura del registro dei trattamenti – NUOVO adempimento richiesto dal Regolamento Europeo 2016/679;
4. revisione dell’analisi dei rischi che incombono sui dati- NUOVO adempimento richiesto dal Regolamento Europeo 2016/679;
5. verifica dell’applicazione delle “misure minime” di sicurezza (ex allegato B D.Lgs. n.196/03) e individuazione di ulteriori misure “adeguate” – NUOVO adempimento richiesto dal Regolamento Europeo;
6. definizione delle modalità di gestione degli adempimenti relativi al Provvedimento a carattere generale del Garante per la protezione dei dati personali inerenti alla figura dell’Amministratore di sistema;
7. verifica del sito internet ed implementazione adempimenti conseguenti (indicazioni delle modalità e testi per le informative, cookie law, privacy policy, form di raccolta dati ecc);
8. verifica delle modalità di gestione inerenti a videosorveglianza, trasparenza, regolamenti, geolocalizzazione, dati biometrici;
9. eventuali integrazioni di aspetti giuslavoristici inerenti all’utilizzo degli strumenti di lavoro aziendali in affidamento al personale dipendente;
10. verifica ed eventuale integrazione del Regolamento per il trattamento dei dati personali sensibili e giudiziari;
11. adempimenti per il trattamento dati nell’ambito dell’erogazione dei servizi socio-sanitari.