Privacy e DPO

Il GDPR non chiede all’azienda di avere dei moduli firmati, ma di saper dimostrare in ogni momento come tratta i dati personali: chi li utilizza, per quali finalità, con quali misure di sicurezza e per quanto tempo li conserva. È questa dimostrazione che, prima o poi, vi chiederanno un cliente importante, un dipendente in lite o il Garante. Lavoriamo perché, quando arriva quel momento, abbiate già le risposte.

Quando ci chiamano

• Un cliente vi chiede di dimostrare la conformità. Questionari, clausole sui dati, verifiche sui fornitori: rispondere con documenti veri, non con promesse. Approfondisci: il questionario fornitori
• Violazione dei dati. Un attacco informatico, un’email inviata alla persona sbagliata, un computer rubato: ci sono 72 ore per decidere se e come notificarla al Garante, e se avvisare le persone coinvolte.
• Controlli sui dipendenti. Videosorveglianza, email e computer aziendali, strumenti che registrano dati sui lavoratori: che cosa si può fare e a quali condizioni. Videosorveglianza in azienda · Email aziendale del dipendente
• Un trattamento nuovo o rischioso. Prima di avviarlo può servire una valutazione d’impatto (DPIA). Approfondisci: la DPIA
• Intelligenza artificiale e dati personali. Collaboratori che usano ChatGPT con account personali, strumenti che analizzano i dati dei clienti. Approfondisci: ChatGPT e account personali
• Il Garante vi scrive. Una richiesta di informazioni, un reclamo, un’ispezione, una sanzione: vi assistiamo nel procedimento e, se serve, davanti al giudice.
• Se i dati violati sono i vostri. Una telecamera puntata su casa, una foto pubblicata senza consenso, informazioni personali diffuse online: vi aiutiamo a esercitare i vostri diritti e, se serve, a presentare reclamo.

Che cosa facciamo

Costruiamo un vero e proprio modello di gestione della privacy, in quattro fasi.

1. Analisi dei rischi. Mappiamo i trattamenti, i flussi di dati, i sistemi informatici e i fornitori coinvolti, e valutiamo i rischi per le persone di cui trattate i dati e l’adeguatezza delle misure di sicurezza già adottate (risk assessment).

2. Il modello documentale. Su questa base redigiamo:

• il manuale del sistema di gestione della privacy, che fissa ruoli, responsabilità e regole interne ed è il primo documento con cui l’azienda dimostra la propria conformità;
• il registro dei trattamenti;
• le procedure operative, dalla risposta alle richieste degli interessati alla gestione delle violazioni dei dati, dalla conservazione e cancellazione dei dati all’uso degli strumenti informatici;
• le nomine e le istruzioni ai soggetti autorizzati al trattamento;
• i contratti di nomina dei responsabili esterni del trattamento, ai sensi dell’art. 28 GDPR: fornitori informatici e di servizi cloud, consulenti, società di servizi;
• gli accordi di contitolarità, ai sensi dell’art. 26 GDPR, quando le finalità e i mezzi del trattamento sono decisi insieme ad altri;
• le valutazioni d’impatto sulla protezione dei dati (DPIA), ai sensi dell’art. 35 GDPR, per i trattamenti a rischio elevato come la videosorveglianza estesa, la geolocalizzazione, i dati biometrici e i sistemi di intelligenza artificiale; DPIA: quando è obbligatoria e come si fa
• tutte le informative privacy, per clienti, fornitori, dipendenti, candidati e videosorveglianza, compresa la privacy policy del sito web.

3. Formazione del personale. Calibrata sui ruoli e documentata, perché le regole funzionano solo se chi tratta i dati le conosce.

4. Verifica e aggiornamento. Audit periodici per controllare che il modello sia applicato davvero e aggiornarlo quando cambiano i trattamenti, i fornitori o le norme.

Assumiamo inoltre l’incarico di Data Protection Officer esterno e vi assistiamo nella gestione delle violazioni dei dati (data breach), nei rapporti con il Garante e nel contenzioso.

Come lavoriamo

Ascolto. Partiamo da come lavorate davvero, non da un kit di moduli da firmare.

Azione. Documenti e procedure su misura, cominciando da dove il rischio è più alto.

Responsabilità. Restiamo anche dopo l’adeguamento, come DPO esterno o come riferimento. E siamo avvocati: se arriva la contestazione, chi ha scritto i documenti è lo stesso che vi difende.

Chi se ne occupa

L’Avv. Alessandro Rinaldi, Data Protection Officer, e l’Avv. Luisa Pregnolato. Di privacy e intelligenza artificiale parliamo anche sul canale YouTube.

Raccontateci la vostra situazione

Bastano due righe: che cosa fate e che cosa vi preoccupa.