Modulo 4 di 8 · Circa 15 minuti
Responsabilizzazione: registri, DPIA e responsabili del trattamento
La documentazione e la governance che consentono di dimostrare la conformità.
Registro e progettazione
L’articolo 30 richiede un registro delle attività di trattamento: finalità, categorie di dati e di interessati, destinatari, trasferimenti, termini di cancellazione e misure di sicurezza. Le organizzazioni con meno di 250 dipendenti sono esentate solo se il trattamento è occasionale, non presenta rischi e non include dati particolari o giudiziari; in pratica, la maggior parte deve tenerlo. L’articolo 25 richiede la protezione dei dati fin dalla progettazione e per impostazione predefinita: garanzie integrate dall’inizio e, per impostazione predefinita, solo i dati necessari.
Valutazioni d’impatto (DPIA)
L’articolo 35 richiede una DPIA prima di un trattamento che può presentare un rischio elevato per le persone, in particolare la valutazione sistematica e globale (profilazione) con effetti significativi, il trattamento su larga scala di dati particolari o giudiziari e la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. Le autorità di controllo pubblicano elenchi dei trattamenti soggetti a DPIA. La DPIA descrive il trattamento, ne valuta necessità e proporzionalità e i rischi per gli interessati e definisce le misure per affrontarli. Il titolare deve consultarsi con il RPD. Se dopo le misure di attenuazione resta un rischio elevato, deve consultare l’autorità di controllo prima del trattamento (articolo 36).
Responsabili del trattamento e contitolari
Il responsabile del trattamento agisce solo su istruzione documentata del titolare. L’articolo 28 richiede un contratto vincolante che disciplini materia, durata, natura e finalità del trattamento e tipi di dati, con obblighi di riservatezza, sicurezza, sub-responsabili, assistenza per i diritti e le violazioni, cancellazione o restituzione al termine e audit. I contitolari (articolo 26) definiscono le rispettive responsabilità in un accordo il cui contenuto essenziale è messo a disposizione degli interessati.
Punti chiave
- La maggior parte delle organizzazioni deve tenere il registro, a prescindere dalle dimensioni.
- Serve una DPIA prima di un trattamento probabilmente ad alto rischio, con il parere del RPD.
- Un rischio elevato non attenuabile richiede la consultazione preventiva dell’autorità di controllo.
- Ogni rapporto con un responsabile del trattamento richiede un contratto conforme all’articolo 28.
Verificate la comprensione
Chi svolge la DPIA: il RPD o il titolare?
Mostra la risposta: Il titolare ne è responsabile; il RPD fornisce il parere e ne sorveglia lo svolgimento.
Un fornitore cloud conserva i vostri fascicoli del personale e agisce solo su vostre istruzioni. Che cos’è e che cosa vi serve?
Mostra la risposta: Un responsabile del trattamento; vi serve un contratto conforme all’articolo 28.