Il passaggio dalla Direttiva 95/46 al Regolamento (UE) 2016/679 sulla protezione dei dati è segnato dalla sostanziale differenza di approccio: mentre il Codice Privacy aveva un orientamento che guidava alla conformità alle norme “unico per tutti” (one size fits all approach) e di tipo “prescrittivo”, il GDPR ha un approccio “caso per caso” (case-by-case approach) di tipo “funzionale”, che introduce maggiore flessibilità di risposta, affidando al Titolare la completa responsabilità ex ante oltreché ex post dei risultati delle azioni intraprese per aderire alla norma.
L’approccio del Regolamento UE è dunque basato sulla valutazione dei rischi (risk based approach), la quale determina che:
- il valore quantitativo o qualitativo del rischio sia connesso e relativo ad una situazione concreta e ad una minaccia conosciuta;
- gli obblighi del Titolare (Data controller) e/o del Responsabile del trattamento, in termini di messa in atto delle misure di protezione, variano nel tempo in relazione allo stato della tecnologia e alle pratiche comuni attuate nel settore in cui operano;
- il grado di responsabilità del Titolare (Data controller) e/o del Responsabile del trattamento è “proporzionale ai rischi stimati tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32”.
I nostri strumenti di controllo
Il sistema digitale ASG© (Analisi dei Sistemi di Gestione) di somministrazione delle check list di autovalutazione, accessibile a questo link, mette a disposizione tre specifici percorsi di seguito illustrati.
- il Percorso CC di verifica delle azioni di aderenza al GDPR messe in atto dall’organizzazione, composto dalle seguenti 11 check list:
- CC1 – Registri delle attività di trattamento, CC2 – Nomina del Data Protection Officer, CC3 – Organizzazione nel ruolo di responsabile, CC4 – Rapporti con i fornitori-responsabili, CC5 – Fornitori responsabili: autovalutazione delle garanzie, CC6 – Rapporti con gli interessati, CC7 – Rapporti con il personale dell’organizzazione, CC8 – Sistema di Gestione della Privacy, CC9 – Monitoraggio livello di compliance, CC10 – Verifica ispettiva I fase, CC11 – Incidenti e data breach;
- il Percorso CA per disegnare il profilo di rischio-privacy legato alle eventuali attività eseguite nelle quali sono trattati dati personali, composto dalle seguenti 10 check list:
- CA1 – Siti Web (compilabile per ogni sito Web aziendale), CA2 – Assessment utilizzo dei cookies (compilabile per ogni sito Web aziendale), CA3 – Sistemi di video sorveglianza (compilabile per ogni sistema di VDS utilizzato), CA4 – Localizzazione di mezzi e/o persone, CA5 – Localizzazione automezzi, CA6 – Promozione tramite posta ordinaria, CA7 – Promozione tramite news letter, CA8 – Promozione tramite call center, CA9 – Promozione tramite messaggistica, CA10 – Promozione tramite agenzia esterna all’organizzazione;
- Il Percorso CF a check list unica che permette, attraverso l’autovalutazione da parte dei fornitori-responsabili dell’azienda titolare, di rilevare i fattori che hanno carattere generale e che consentono una prima valutazione sul livello di garanzie offerte.