GDPR e regolamento europeo - 9 luglio 2018

1. Privacy e regolamento europeo
A cura di Simone Chiarelli
simone@chiarelli.eu
9 luglio 2018

2. REGOLAMENTO (25/5/2018)
Regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali
dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione
dei dati)

3. ACRONIMI e Inglesismi
GDPR DPO
RPD
By default
By designRGPD
Data breach
Accountability Responsabilizzazione
Violazione dati
P.I.A. Valutazione di impatto protezione dati
Anonimizzazione
Pseudonimizzazione

4. GDPR e soggetti
TITOLARE
CON-TITOLARI
RESPONSABILE
RESPONSABILE
RESPONSABILE
“Sub-responsabile”
Designati
“Sub-responsabile”
“Sub-responsabile”
Designati
Designati
Designati
DesignatiDPO

6. Dato personale (art. 4)
«dato personale»: qualsiasi informazione riguardante una
persona fisica identificata o identificabile («interessato»); si
considera identificabile la persona fisica che può essere
identificata, direttamente o indirettamente, con particolare
riferimento a un identificativo come il nome, un numero di
identificazione, dati relativi all'ubicazione, un identificativo
online o a uno o più elementi caratteristici della sua identità
fisica, fisiologica, genetica, psichica, economica, culturale o
sociale

7. Trattamento (art. 4)
«trattamento»: qualsiasi operazione o insieme di operazioni,
compiute con o senza l'ausilio di processi automatizzati e
applicate a dati personali o insiemi di dati personali, come la
raccolta, la registrazione, l'organizzazione, la strutturazione,
la conservazione, l'adattamento o la modifica, l'estrazione, la
consultazione, l'uso, la comunicazione mediante
trasmissione, diffusione o qualsiasi altra forma di messa a
disposizione, il raffronto o l'interconnessione, la limitazione,
la cancellazione o la distruzione;

8. Liceità, correttezza e
trasparenza
I dati personali sono trattati in modo
lecito
corretto
trasparente
nei confronti dell'interessato

9. limitazione della finalità
I dati personali sono raccolti per finalità
determinate, esplicite e legittime, e
successivamente trattati in modo che non sia
incompatibile con tali finalità …..

10. limitazione della finalità
…. un ulteriore trattamento dei dati personali a fini
di archiviazione nel pubblico interesse, di ricerca
scientifica o storica o a fini statistici non è,
conformemente all'articolo 89, paragrafo 1,
considerato incompatibile con le finalità iniziali

11. Minimizzazione dei dati
I dati personali sono
adeguati
pertinenti
e limitati
a quanto necessario rispetto alle finalità
per le quali sono trattati;

12. Esattezza
I dati personali sono esatti e, se necessario,
aggiornati; devono essere adottate tutte le
misure ragionevoli per cancellare o
rettificare tempestivamente i dati inesatti
rispetto alle finalità per le quali sono trattati

13. Limitazione della
conservazione
I dati personali sono conservati in una
forma che consenta l'identificazione
degli interessati per un arco di tempo
non superiore al conseguimento delle
finalità per le quali sono trattati

14. Archiviazione (in eterno)
… i dati personali possono essere
conservati per periodi più lunghi a
condizione che siano trattati
esclusivamente a fini di archiviazione
nel pubblico interesse, di ricerca
scientifica o storica o a fini statistici ...

15. Misure (organizzative e
tecniche)
… fatta salva l'attuazione di misure
tecniche e organizzative adeguate
richieste dal presente regolamento a
tutela dei diritti e delle libertà
dell'interessato

16. Integrità e riservatezza
I dati personali sono trattati in maniera
da garantire un'adeguata sicurezza dei
dati personali, compresa la protezione
…...

17. Integrità e riservatezza
…. mediante misure tecniche e
organizzative adeguate, da trattamenti
non autorizzati o illeciti e dalla perdita,
dalla distruzione o dal danno
accidentali.

18. Responsabilizzazione
Il titolare del trattamento è
competente per il rispetto dei principi e
in grado di comprovarlo.

19. Privacy by design
Tenendo conto dello stato dell'arte e dei costi di
attuazione, nonché della natura, dell'ambito di
applicazione, del contesto e delle finalità del
trattamento ….

20. Privacy by design
…. come anche dei rischi aventi
probabilità e gravità diverse per i diritti e le
libertà delle persone fisiche costituiti dal
trattamento

21. Privacy by design
sia al momento di determinare i mezzi
del trattamento sia all'atto del
trattamento stesso il titolare del
trattamento

22. Privacy by design
… mette in atto misure tecniche e
organizzative adeguate, quali la
pseudonimizzazione, volte ad attuare
in modo efficace i principi di protezione
dei dati….

23. Privacy by default
Il titolare del trattamento mette in atto misure
tecniche e organizzative adeguate per
garantire che siano trattati, per
impostazione predefinita, solo i dati
personali necessari per ogni specifica finalità
del trattamento.

24. Privacy by default
Tale obbligo vale per la quantità dei dati personali
raccolti, la portata del trattamento, il periodo di
conservazione e l'accessibilità.
… non siano resi accessibili dati personali a un
numero indefinito di persone fisiche senza
l'intervento della persona fisica.

25. Le 10 priorità nel GDPR-PA

26. Registro dei trattamenti
Contenuto
Modalità di approvazione
Aggiornamento
Collegamento con informativa
Collegamento con DPIA

27. Designazione del DPO/RPD
Interno/Esterno
Segretario/Dirigente/PO
Gestione associata
Nomina?
Competenze ulteriori
Compenso

28. Registro delle attività
Accountability
Iso 9001
Condivisione
Programmazione
Condivisione
Sensibilizzazione

29. Valutazione d’impatto (DPIA)
Collegamento a registro
Misure di sicurezza
Valutazione complessiva
Valutazione specifica
Software (francese)

30. Titolare/Designati/Responsabili
Titolare (definizione)
Contitolari
Designati responsabili
Designati dipendenti
Ruolo e gerarchia
Responsabili esterni

31. Informativa e consenso
Aggiornamento modulistica
Collegamento con registro
Consenso “eccezionale”
Sito
Moduli
Cartelli

32. Formazione e informazione
Formazione generale a tutti
Formazione puntuale
Formazione dinamica
Informazione
Siti istituzionali e servizi free

33. Regolamento Privacy
Necessità?
Forma
Istruzioni operative
Funzioni del DPO
Responsabilizzazione

34. Videosorveglianza
Notifica
Aggiornamento informativa
Misure di sicurezza
Linee guida
Cartellonistica
Sensibilizzazione

35. Procedure interne
Accesso e informazioni
Esercizio diritti
Reclamo al DPO
Nomina/Designazione
Aggiornamento registri
Aggiornamento formazione

36. QUESITI

37. Fine!
A cura di Simone Chiarelli