La GDPR secondo Logatek

Alcuni punti rilevanti sul Regolamento Europeo Generale sulla Protezione dei Dati Personali:

Si introducono nuovi obblighi e responsabilità per le aziende che gestiscono dati personali dei cittadini europei
Il regolamento viene applicato a tutte le aziende e organizzazioni che gestiscono dati personali di titolari membri dell’Unione Europea.
La commissione Europea calcola che grazie all’adozione della norma vi saranno 2,3 miliardi di euro di risparmi annui per le aziende.
Le multe per la mancata attuazione del GDPR vanno dal 4% del fatturato annuo aziendale fino a 20 milioni di euro.

Cosa si intende per Accountability?

Accontability è la Responsabilità del titolare dei trattamenti dei dati.

Il quadro normativo del GDPR è incentrato sui Doveri e sulla Responsabilizzazione del titolare del trattamento rovesciando la prospettiva precedente basata sui diritti dell’interessato!

Con in GDPR bisogna indicare le misure volte al perseguimento del principio di Accountability, ovvero l’implementazione di una serie di procedure per garantire l’effettiva gestione dei dati in conformità alla norma quali:

Privacy by Design: Pianificazione di nuovi trattamenti per garantire il soddisfacimento dei requisiti normativi
Registro GDPR: Inventariazione delle operazioni di trattamento
Data Protection Officer: Individuazione di un soggetto DPO con responsabilità rispetto alla protezione dei dati personali
Diritto all’Oblio: Gestione dei diritti di accesso, rettifica e cancellazione da parte degli interessati
Obblighi GDPR: Notifica delle violazioni e l’effettuazione di valutazioni di impatto nei specifici casi

Le misure adottate non sono solo Formali ma Sostanziali e devono essere Verificabili da parte di Internal e External Audits.

I riferimenti espliciti al concetto di Accountability nella Norma GDPR sono:

Art 5: si individua nel titolare del trattamento il soggetto competente a garantire il rispetto dei principi applicabili al trattamento e si stabilisce che sia in grado di «comprovarlo»
Art 24: il titolare del trattamento viene gravato dell’obbligo di mettere in atto misure tecniche e organizzative adeguate a garantire, potendolo dimostrare, che il trattamento sia effettuato conformemente al regolamento.

Che tipo di impatto può avere la normativa sulle Imprese?

Il GDPR lascia maggiore discrezionalità ai titolari sulle modalità attraverso le quali conformarsi alle sue disposizioni ma si deve essere in grado di dimostrare le scelte, in particolare:

Documentabilità: è rilevante la possibilità di avere la documentabilità delle scelte effettuate dal titolare del trattamento che comporta la conservazione delle evidenze di cio che si è fatto per ottenere il risultato previsto.
Processo documentale: i titolari devono essere in grado di documentare il processo che ha portato alla definizione del Registro dei Trattamenti, alla valutazione di un sistema di rischio e alla decisione di notifica dei Data Breach; di aver attutato un «Data Protection by Design»; di aver attuato i controlli posti in essere dai titolari.
Digitalizzazione: processo digitale inevitabile per gli aspetti legati alla gestione degli adempimenti legati alla protezione dei dati nell’ottica di informatizzazione dei processi ma anche in una logica di gestione documentale e di Workflow approvativo per le scelte per i controlli effettuati.

Si può interpretare il GDPR in una logica di Risk Management?

La protezione dei dati comporta l’individuazione del rischio collegato al loro trattamento, la valutazione in una logica di natura, probabilità e gravità e la definizione delle azioni correttive di compliance fornite dal DPO (responsabile di protezione dei dati) o dalle certificazioni di qualità o dai codici di condotta interni.

Uno dei cambiamenti più significativi del nuovo Regolamento UE/2016/679 chiamato GDPR è rappresentato dal forte richiamo del concetto di Rischio nei seguenti articoli:

Art 34: rischio come elemento discriminante per il titolare per decidere se comunicare o meno una violazione

Art 30: per le PMI per il mantenimento di un registro dei trattamenti

Art 32: se e come adottare misure di sicurezza tecnica e organizzativa

Art 35: effettuare valutazioni di impatto sulla protezione dei dati

La GDPR non ha come obiettivo l’introduzione di altri fogli excel per dimostrare che qualcosa sia stato fatto ma vuole introdurre una vera Governance e Gestione del Rischio con strumenti idonei in termini IT e di Processo, estendendo la cultura del rischio anche nella gestione dei dati personali.

Come il processo di Digitalizzazione interviene a vantaggio del GDPR?

Per garantire la Compliance al GDPR le imprese dovranno avere capacità di definire, gestire, documentare e mettere in azione i processi in modo trasversale a tutta l’organizzazione.

E’ evidente come sia importante il processo digitale per essere conformi alla normativa!

Processi: le aziende devono obbligatoriamente implementare processi di compliance

Assessment: processi di assessment periodici dei trattamenti esistenti

Analisi: Valutazioni periodiche dell’impatto di specifici trattamenti e dei rischi esistenti in materia di sicurezza

Risk Based: misure idonee definite sulla base di approccio risk-based

Data Breach: modello strutturato per gli incidenti

Audit: Revisione periodica dell’effettiva attuazione ed efficacia delle misure di sicurezza in essere

La GDPR prevede che ogni azienda comprenda la normativa, definisca una governance in fine definisca un quadro operativo finalizzato al controllo e alla minimizzazione del rischio.

I Processi operativi diventano quindi sicuri e gestibili attraverso il digitale e le relative applicazioni di WorkFlow Management!

Per garantire la Compliance al GDPR le imprese dovranno avere capacità di definire, gestire, documentare e mettere in azione i processi in modo trasversale a tutta l’organizzazione.

L’attuazione di alcuni particolari processi fondamentali per il GDPR avviene attraverso:

Identificazione, Formalizzazione, Mantenimento della mappatura dei ruoli con le diverse responsabilità organizzative
Gestione dei registri dei trattamenti e procedure di valutazione periodica
Valutazione di impatto e rischio di ogni specifico trattamento PIA «Protection Impact Assessment»
Definizione delle misure di sicurezza e governo del grado di attuazione
Gestione del «Remediation Plan» delle misure di sicurezza non adottate
Gestione del processo «Privacy by Design»
Gestione del registro incidenti e dei diversi Audits

E’ evidente come i tradizionali strumenti office quali ad esempio Excel per la gestione dei dati, cartelle File System per la gestione dei documenti NON posso gestire processi di tale complessità Ma si necessita di Piattaforme Documentali Conformi al GDPR.

Le soluzioni Documentali di Logatek a supporto del GDPR

La soluzione documentale on-premises ADIUTO Compliant GDPR permette sui diversi processi di:

Rispettare in modo semplice e strutturato la normativa GDPR
Digitalizzare i processi e permette di attuare in modo affidabile le procedure aziendali
Tracciare i processi e verificare a posteriori i livelli di compliance
Descrivere e determinare la prova inconfutabile delle responsabilità di processo
Accedere ai dati facile e veloce al fine di controllare e modificare le condizioni di trattamento
Realizzare il processo trasparente ai soggetti interessati al trattamento dei dati

ADIUTO con le sue soluzioni di ADICUBE e ADISIGN permette di realizzare WorkFLow approvativi con Firme elettroniche avanzate per gestire tutti i livelli di complessità dei diversi processi GDPR per i clienti.

La soluzione documentale in cloud di konica Minolta KomiDoc permette sui diversi processi di:

Ottimizzare i processi documentali direttamente in cloud
Permette di gestire tutti i documenti previsti dal GDPR (registro trattamenti, informative, consensi, richieste etc) grazie all’apposita verticalizzazione
Permette di introdurre struttura nei documenti contenenti informazioni personali
Permette di controllare l’accesso ai documenti contenenti informazioni personali
Rende disponibili i documenti solamente agli utenti autorizzati
Permette ricerche più facili e veloci