Adeguandosi alle misure previste nel Regolamento, le aziende riducono l’esposizione al rischio di violazione di dati, si pongono al riparo da sanzioni inerenti all’inadempienza e dai significativi rischi per la propria reputazione. Non solo.
Le organizzazioni hanno la possibilità di impostare i propri servizi digitali (che naturalmente si servono di dati per funzionare) realizzandoli secondo tutte le regole di sicurezza e proteggendoli il più possibile da accessi non autorizzati e data breach.
Questo rappresenta per le imprese un valore aggiunto e una preziosa opportunità per contraddistinguere la loro offerta, per innalzare il livello di trasparenza nel trattamento dei dati e per caratterizzarsi per il proprio impegno a tutela delle informazioni sensibili che chiedono agli interlocutori.
Cosa vuol dire GDPR compliance?
In estrema sintesi, la GDPR compliance è la conformità alle disposizioni dettate dal legislatore europeo in materia di salvaguardia della privacy dei cittadini comunitari.
Tutte le organizzazioni che raccolgono, elaborano e conservano informazioni personali devono adottare le misure stabilite.
Se ciò non avviene si può andare incontro a sanzioni che arrivano anche a 20 milioni di euro o al 4% del fatturato globale.
Aziende, enti pubblici, associazioni incluse le no profit: qualsiasi tipo di organizzazione è tenuta a essere GDPR compliance.
È importante non dimenticare che la normativa si applica alle realtà che operano nell’Unione, ma anche quelle che ne sono al di fuori e gestiscono dati di cittadini europei.
Cosa prevede il GDPR?
Il Regolamento europeo agisce su 2 fronti: delineando i diritti degli interessati (ovvero i proprietari dei dati) e i doveri dei titolari del trattamento.
I diritti dei cittadini
Per essere GDPR compliant le organizzazioni devono fare in modo di garantire a tutti i loro interlocutori i seguenti diritti:
- all’informazione: cioè ognuno deve poter sapere le modalità e finalità con cui verranno trattati i suoi dati;
- di accesso: ossia di poterli consultare;
- alla rettifica: per correggere eventuali inesattezze o cambiamenti;
- all'oblio: nel caso si voglia richiedere la cancellazione delle informazioni;
- di limitazione del trattamento: si deve prevedere la possibilità di soddisfare la richiesta di limitare il trattamento di determinati dati;
- alla portabilità dei dati: in altre parole, deve essere possibile ottenere i propri dati in un formato strutturato, facilmente usabile e leggibile da vari device;
- di opposizione: in pratica, il diritto di opporsi al trattamento delle informazioni.
Gli obblighi di chi tratta i dati
Aziende ed enti che trattano dati soggetti al GDPR devono garantire oltre a riservatezza e integrità:
- liceità, correttezza e trasparenza nel trattamento dei dati;
- restrizione della finalità del trattamento in quanto i dati sono da raccogliere sempre e solo per esigenze ben specifiche ed esplicite, oltre che legittime;
- minimizzazione dei dati, le informazioni immagazzinate devono essere adeguate e pertinenti al solo uso che si è dichiarato di voler fare;
- esattezza: le organizzazioni devono occuparsi di accuratezza e aggiornamento del patrimonio informativo;
- limitazione della conservazione al solo periodo necessario per lo svolgimento del servizio per cui le informazioni sono state richieste.
Quali sono i tre pilastri del GDPR?
I principi su cui si basa il GDPR sono 3 ed essi, per certi versi, rappresentano la portata rivoluzionaria di questo regolamento:
- Accountability: traducibile in italiano con il termine responsabilizzazione, è il principio che impone alle organizzazioni l'obbligo di dimostrare la loro stessa conformità al GDPR. Non è sufficiente solo rispettarlo. Le aziende devono implementare misure organizzative e tecniche proattive opportune per assicurare e dimostrare che il trattamento dei dati avviene in modalità GDPR compliant. Questo include dunque la documentazione delle procedure, la gestione dei rischi e la formazione del personale.
- Privacy by design: con questo principio si presuppone che la privacy sia contemplata sin dalla progettazione e creazione di servizi e processi che implicano il trattamento dei dati. Insomma, la considerazione della protezione dei dati personale deve essere parte integrante dello sviluppo di servizi tecnologici basati sui dati. E la sicurezza deve essere garantita a priori.
- Privacy by default: per essere in linea con questo criterio, le impostazioni predefinite dei sistemi e dei servizi devono sempre garantire il massimo livello di data privacy. Questo, per esempio, implica che siano ridotte al minimo le quantità di informazioni personali da gestire per qualsiasi progetto si voglia introdurre.
Scopri come abbiamo aiutato Mizar Tech a migliorare del 70% la rilevazione e mitigazione delle minacce informatiche
Come faccio a sapere se la mia azienda è compliant?
Per essere GDPR compliant è necessario agire sia a livello organizzativo sia tecnico, le principali azioni da compiere sono:
- audit interno, per capire come sono raccolti e gestiti i dati;
- valutare i potenziali rischi di compromissione dei dati (valutazione d’impatto);
- predisporre una corretta informativa sulla privacy;
- redigere un registro dettagliato delle attività di trattamento dei dati;
- attivarsi in merito a tutte le iniziative indispensabili per la data protection;
- prevedere le modalità per far sì che i possessori dei dati possano esercitare il diritto di reclamo;
- formare il personale interno sulle metodologie da applicare e sull’importanza della sicurezza dei dati.
La nomina del Responsabile della protezione dei dati è un’azione indispensabili in quanto è la figura di riferimento per il Titolare del trattamento dei dati. Egli ha il compito di fornire consulenza, verificare il rispetto del Regolamento e di collaborare con le autorità in caso di controlli.
È importante ricordare che il processo che assicura la conformità non ha mai fine, essere GDPR compliant significa monitorare continuamente le attività rispetto ai principi del regolamento stesso.
La GDPR compliance con DigitelNET
Partner tecnologici esperti in cybersecurity e forti di un bagaglio di esperienza acquisita sia dal punto di vista tecnico che legale come DigitelNET possono supportare le organizzazioni nei propri processi di GDPR compliance.
I consulenti DigitelNET sono a disposizione per svolgere audit, analizzare i possibili rischi e installare e personalizzare le strategie e le tecnologie utili a rispettare i regolamenti.
Il valore dell’affiancamento di persone preparate si esprime anche nel tener conto dei diversi ecosistemi IT in cui si opera, per esempio, mettendo al sicuro eventuali dati gestiti in cloud, scegliendo soluzioni avanzate di email security.
DigitelNET è, inoltre, in grado di formare le persone per incrementare il livello di consapevolezza su tutti gli aspetti inerenti alla normativa.
