GDPR SaaS - canone 12 mesi servizio cloud

General Data Protection Regulation - GDPR

 

Il 14 aprile 2016 è stato approvato definitivamente il Regolamento Europeo in materia di Data Protection. La nuova norma abroga integralmente la direttiva Privacy 95/46/CE in materia di protezione dei dati personali e tutti dovranno adeguarsi entro il 25 maggio 2018.

Il regolamento introduce una serie di novità in materia di obblighi, diritti e conseguenti rischi, rilevanti per le aziende dal punto di vista economico (sanzioni fino al 4% del fatturato worldwide) e di immagine (possibili conseguenze di un incidente informatico che metta a rischio l'integrità o la riservatezza dei dati).

Tutti i Soggetti Pubblici e Privati che effettuano il trattamento di dati personali (archiviati in forma elettronica e/o cartacea) sono tenuti ad adeguarsi agli adempimenti previsti dalla normativa. L'inosservanza comporta il risarcimento dei danni nei confronti dei soggetti i cui dati sono stati impropriamente utilizzati nonché l'applicazione di sanzioni amministrative e penali.

Il Regolamento è entrato in vigore 20 giorni dopo la pubblicazione in GUUE, per diventare definitivamente applicabile in via diretta in tutti i Paesi UE a partire dal 25 maggio 2018, senza necessità di atti normativi di recepimento da parte dei singoli ordinamenti. Il Regolamento crea diritti e doveri per gli individui e può pertanto essere fatto valere dinanzi ai giudici nazionali.

 

 

Obiettivi della normativa

 

Il nuovo Regolamento Europeo pone i seguenti obiettivi strategici:

• Garantire una maggior tutela dei propri cittadini e dei loro dati in tutti i Paesi membri dell’Unione Europea. 
• Armonizzare le diverse normative nazionali per favorire lo sviluppo di un unico mercato digitale europeo. 
• Agevolare la libera circolazione dei dati all’interno dell’Unione, in maniera sicura. 
• Responsabilizzare maggiormente le aziende affinché garantiscano la sicurezza dei dati personali trattati. 
• Portare le tematiche di protezione dei dati personali al Board Level Risk Register. 
• Prevedere e comminare sanzioni finanziarie significative per i casi di non conformità al nuovo regolamento (fino a 20 milioni di euro o il 4% del fatturato annuale globale, se superiore). 

 

Per consentire il raggiungimento di tali obiettivi, il GDPR introduce (o consolida, perché già previsti dalla direttiva 95/46/CE) alcune basi: 

• Obbligo di ampliamento del sistema documentale a dimostrazione della conformità di tutte le attività di gestione dei dati personali. 
• Obbligo di una valutazione d’impatto sulla protezione dei dati nei casi di utilizzo di nuove tecnologie o, in generale, in ogni caso di alto rischio per i diritti e le libertà fondamentali degli interessati. 
• Consolidamento dei precedenti diritti degli interessati ed introduzione di nuovi, quali il diritto all’oblio, (ovvero la possibilità che informazioni non aggiornate siano rimosse dalla rete) e il diritto alla portabilità dei dati, ovvero il diritto ad ottenere una copia di tutti i dati personali riferiti all’interessato, in un formato che permetta la facile migrazione ad un diverso titolare; un diritto che, ci si attende, avrà una portata dirompente comparabile con quanto avvenuto nella telefonia mobile a seguito della number portability.

 

 

 

I principali ambiti di adeguamento 

 

Revisione modello organizzativo

• Introduzione del Responsabile per la Protezione dei dati personali o Data Protection Officer (DPO): figura di alto profilo, caratterizzata da ampia autonomia, indipendenza e priva di ruoli e responsabilità che possano creare conflitti di interesse – se interna, oppure esterna, anche quale persona giuridica; in ogni caso, munita di solide competenze in materia di data protection e sul mercato di riferimento dell’Azienda. Ha compiti di sorvegliare la corretta applicazione della normativa, effettuare ispezioni e consultazioni e fungere da contact point con i vertici e con il Garante; 
• Riformulazione di deleghe, compiti e funzioni interne: non è più prevista la figura del responsabile interno del trattamento, ma non viene meno la necessità organizzativa di assegnare compiti e funzioni ai diversi livelli gerarchici già presenti in azienda; 

 

Informativa, consensi e notifiche 

• Diritto dell’interessato di ricevere sia le informazioni in modo trasparente sia la richiesta di consenso in modo distinguibile e non condizionata, nonché l’obbligo del titolare di dimostrare l’ottenimento del consenso; 

 

Accountability 

• Si riducono notevolmente i casi in cui è necessario chiedere autorizzazioni o interpelli all’autorità Garante; maggiori poteri del Titolare del trattamento di decidere in autonomia, con la consapevolezza che tali poteri sono bilanciati da sanzioni amministrative estremamente rilevanti;

 

Data Protection 

• Obbligo di mettere in atto misure di protezione dei dati personali (es. pseudonimizzazione e cifratura) per garantire un livello di sicurezza adeguato ai rischi tra cui quelli di distruzione, perdita, modifica indebita, accesso non autorizzato;

 

Privacy by design / by default 

• Obbligo di mettere in atto misure adeguate in fase di progettazione (by design) o per impostazione predefinita (by default) sulla base della criticità dei dati trattati;

 

Data Breach Notification 

• Obbligo di comunicare senza ingiustificato ritardo ed entro 72 ore all‘Autorità competente eventuali violazioni dei dati personali (e, in presenza di determinate condizioni, obbligo di rendere nota la violazione anche agli interessati);

 

Registro dei trattamenti 

• Obbligo di tenuta di un registro delle attività di trattamento dei dati personali contenente, tra le altre informazioni, le finalità, le categorie di interessati e di trattamenti, la descrizione delle misure di sicurezza;

 

Data Privacy Impact Assessment (DPIA) 

• Obbligo di effettuare una valutazione preventiva dell’impatto derivante da un trattamento sulla protezione dei dati personali che include una valutazione dei rischi e delle misure di sicurezza;

 

Trasferimento dei dati

• Obbligo di trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale solo qualora sussistano le condizioni previste dal Regolamento.

 

 

Il percorso di adeguamento proposto da IT civitas.net

 

Consapevolezza 

• Identificazione dei principali gap;
• Esecuzione del programma di adeguamento al GDPR in base alle evidenze di Risk Assessment;

 

Avvio

• Definizione del perimetro delle attività del programma di adeguamento al GDPR;
• Approvazione delle stime e del budget;

 

Risoluzione

• Definizione di un programma integrato di adeguamento con identificazione/prioritizzazione degli interventi;

 

Conformità

• Istituzione del DPO e dei processi di riferimento, con adeguamento degli assetti organizzativi e relativi flussi informativi e procedure;
• Implementazione della Privacy by design/default, definizione di un processo di escalation in caso di data breach, mediante l’adozione di procedure operative;
• Formazione delle persone che trattano dati personali;

 

Ottimizzazione

• Ottimizzazione dei processi sulla base dei data breach;
• Rafforzamento delle misure di sicurezza sui dati personali.