Franco Cardin - Direttivo ANORC e ANORC Professioni L’impatto del GDPR e gli adempimenti per PA e aziende

1. L’impatto del GDPR e gli adempimenti
per PA e aziende
Franco Cardin
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

2. Comunicazione della Commissione al Parlamento europeo e al Consiglio
Bruxelles, 24.1.2018 COM(2018)
«Il regolamento non ha modificato in modo sostanziale i concetti e i
principi fondamentali della legislazione in materia di protezione dei dati
introdotta nel 1995. La grande maggioranza dei titolari del trattamento
e dei responsabili del trattamento che rispettano già le attuali
disposizioni dell'UE non dovrà quindi introdurre importanti modifiche
nelle proprie operazioni di trattamento dei dati per conformarsi al
regolamento»
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

3. Che cos’è il GDPR?
Il GDPR non e' solo (e nemmeno "soprattutto") un apparato normativo.
è prima di tutto una METODOLOGIA
L'errore piu grande che si può fare é considerarlo solo come fonte
di adempimenti "burocratici".
E' molto, molto di più. Ma proprio molto di più
Prof. Francesco Pizzetti
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

4. Il principio di accountability
Ø Il Regolamento UE 2016/679 rovescia la prospettiva della disciplina in
materia di protezione dei dati personali in quanto tutto il nuovo
quadro normativo è prevalentemente incentrato sui doveri e sulla
responsabilizzazione di chi ha la necessità di trattare dati personali
(accountability);
Ø maggiore discrezionalità nel decidere come conformarsi alle
disposizioni del nuovo regolamento, ma onere di dimostrare le ragioni
a supporto di tali decisioni e le motivazioni per cui si ritiene che le
medesime siano compliance con il regolamento.
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

5. Il principio di accountability
Ø Il titolare del trattamento deve essere, quindi, in grado di
dimostrare di aver adottato un processo complessivo di misure
giuridiche, organizzative, tecniche, per la protezione dei dati
personali, anche attraverso l’elaborazione di specifici modelli
organizzativi
Ø Aziende e PA devono sviluppare e dotarsi di strumenti che
possano essere utilizzati per valutare lo stato della propria
accountability e dimostrarlo all’Autorità Garante.
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

6. Il principio di accountability
Un elemento fondamentale dell’accountability è la revisione dei
processi
Ø Art. 24.1: il titolare deve riesaminare e aggiornare le misure tecniche
ed organizzative adottate
Ø Art. 32.1.b): titolare e responsabile devono assicurare su base
permanente riservatezza, integrità, disponibilità e resilienza dei
sistemi e dei servizi di trattamento
Ø Art. 35.11: il titolare deve riesaminare il DPIA almeno quando
insorgono variazioni del rischio
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

7. Il principio di accountability
Il rischio per i diritti e le libertà dell’interessato è la vera chiave di volta (cfr. considerandi 75 e 85)
Ø perdita del controllo dei dati personali;
Ø limitazione di diritti;
Ø discriminazione;
Ø furto o usurpazione d'identità;
Ø perdite finanziarie;
Ø decifratura non autorizzata pseudonimizzazione;
Ø pregiudizio alla reputazione;
Ø compromissione del segreto professionale;
Ø qualsiasi altro danno economico o sociale significativo alla persona fisica;
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

8. Il quadro giuridico di riferimento in materia
di protezione dei dati personali
Ø Regolamento (UE) 2016/679 (GDPR) aggiornato alle
rettifiche pubblicate sulla GUCE n. 127 del 23/5/2018
Ø D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018
(attenzione alle disposizioni transitorie)
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

9. Privacy by
design e
privacy by efault
Art. 25 Registri delle
attività di
trattamento
Art. 30
Responsabile della
protezione dei dati
(DPO)
Artt. 37, 38 e 39
Consultazione
preventiva
Art. 36
Notifica e
comunicazione
“data breach”
Artt. 33 e 34
Sicurezza dei dati
Art. 32
Valutazione
d’impatto sulla
protezione dei dati
Art. 35
Le principali obbligazioni di compliance previste nel GDPR
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

10. FASE – 1
Attività di assessment
FASE - 6
Implementazione della
procedura per la gestione dei
data breach
FASE – 5
Analisi dei rischi e definizione
delle misure di sicurezza
FASE - 4
Stesura e/o modifica della
documentazione
FASE - 2
Impostazione del registro dei
trattamenti
FASE - 3
Individuazione dei ruoli
e delle responsabilità
FASE - 8
Implementazione delle procedure per
agevolare l’esercizio dei diritti degli
interessati
FASE - 7
Definizione delle modalità per
la valutazione di impatto
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019

11. Grazie per l’attenzione
franco.cardin@alice.it
DIGITALIZZAZIONE E PRIVACY – VERONA 28 FEBBRAIO 2019