I principi del GDPR che guidano il trattamento dei dati personali in azienda

01

I sei principi dell'articolo 5 del GDPR

L'articolo 5 del GDPR stabilisce che i dati personali devono essere trattati in modo lecito, corretto e trasparente; raccolti per finalità determinate ed esplicite; adeguati e limitati a quanto necessario; esatti e aggiornati quando serve; conservati solo per il tempo necessario alle finalità dichiarate; e protetti con misure tecniche e organizzative adeguate contro trattamenti non autorizzati, perdita o distruzione.

Questi sei criteri — liceità/correttezza/trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza — costituiscono la base su cui costruire ogni processo aziendale che coinvolga dati personali.

02

La responsabilizzazione come principio guida

Il GDPR aggiunge un settimo elemento, la responsabilizzazione: il titolare del trattamento deve essere in grado di dimostrare, e non solo affermare, il rispetto dei principi elencati. Questo significa documentare scelte, motivazioni e misure adottate, non semplicemente applicarle.

03

Come tradurre i principi in un processo aziendale

Passaggi

1. Definire per iscritto le finalità di ogni trattamento prima di raccogliere i dati personali.
2. Raccogliere solo i dati adeguati e necessari rispetto alla finalità dichiarata.
3. Assegnare responsabilità per la verifica periodica dell'esattezza dei dati conservati.
4. Stabilire tempi di conservazione coerenti con le finalità e cancellare i dati non più necessari.
5. Documentare le misure di sicurezza adottate per dimostrare la responsabilizzazione.

04

Un caso ipotetico

Ipotesi: un'azienda raccoglie l'indirizzo email dei candidati per un colloquio. Applicando i principi, conserva solo i dati necessari alla selezione (minimizzazione), informa i candidati sull'uso previsto (trasparenza) e cancella i dati dei candidati non selezionati dopo un periodo definito (limitazione della conservazione), documentando la scelta per dimostrare responsabilizzazione.

05

Cosa verificare regolarmente

• Le finalità dichiarate corrispondono ancora ai dati effettivamente trattati.
• I dati conservati sono aggiornati e le inesattezze vengono corrette senza ritardo.
• I tempi di conservazione sono rispettati e i dati superflui vengono cancellati.
• Le misure di sicurezza restano adeguate rispetto al rischio, con riesame quando il rischio varia.
• Se si usano responsabili del trattamento esterni, il contratto prevede istruzioni documentate e riservatezza.

06

Come un software può supportare questi principi

Un'azienda può scegliere di configurare, con il proprio partner software, un registro delle finalità di trattamento, ruoli chiari per chi decide cosa raccogliere e per quanto tempo, e una traccia documentale delle decisioni prese per dimostrare responsabilizzazione. Queste sono scelte operative suggerite, non funzionalità specifiche di un prodotto.

Per i rapporti con fornitori che trattano dati per conto dell'azienda, è utile prevedere clausole contrattuali che richiamino istruzioni documentate, obbligo di riservatezza e collaborazione in caso di verifiche, così da poter risalire facilmente a chi ha trattato quali dati e perché.

07

Domande frequenti sui principi del GDPR

• I sei principi si applicano a qualsiasi tipo di dato personale trattato dall'azienda, indipendentemente dal settore.
• La responsabilizzazione richiede di poter dimostrare, con documentazione, il rispetto dei principi e non solo di dichiararlo.
• Il riesame delle misure di sicurezza è opportuno quando cambia il livello di rischio associato al trattamento.

08

Prossimo passo

Un buon punto di partenza è mappare i trattamenti di dati personali attivi in azienda e verificare, per ciascuno, se rispetta i sei principi dell'articolo 5 e se la responsabilizzazione è documentata.