Come impostare un processo aziendale per gestire i diritti degli interessati (GDPR)

01

La risposta in breve

Un'azienda deve poter garantire agli interessati l'accesso, la rettifica, la cancellazione, la limitazione, l'opposizione e la portabilità dei propri dati, oltre al diritto di revocare il consenso e di presentare reclamo a un'autorità di controllo. Tra le informazioni che l'interessato deve poter conoscere figurano il periodo di conservazione dei dati, l'origine dei dati e l'eventuale presenza di processi decisionali automatizzati.

02

Chi fa cosa: titolare, responsabile e stabilimento principale

Il titolare del trattamento decide finalità e mezzi del trattamento, mentre il responsabile opera per suo conto; per i gruppi con più stabilimenti nell'Unione, lo stabilimento principale è individuato nel luogo dell'amministrazione centrale, salvo che le decisioni sulle finalità siano prese altrove. Questa distinzione determina chi risponde alle richieste e quale autorità di controllo è interessata in caso di trattamento transfrontaliero.

03

Le fasi operative del processo

Passaggi

1. Ricevere la richiesta e registrarla con la data di arrivo, per mantenere una traccia interna della sua gestione.
2. Identificare il ruolo interno responsabile (titolare o responsabile designato) in base al trattamento specifico.
3. Verificare quali diritti sono coinvolti: accesso, rettifica, cancellazione, limitazione, opposizione o portabilità.
4. Preparare una risposta che indichi periodo di conservazione, origine dei dati e presenza di eventuali decisioni automatizzate, insieme ai diritti esercitabili.
5. Riesaminare il trattamento quando cambia il livello di rischio associato alle attività coinvolte.

04

Un caso ipotetico

Ipotesi: un'azienda con stabilimenti in due Stati membri riceve una richiesta di accesso ai dati. Il team privacy individua lo stabilimento principale, verifica se il trattamento si basa sul legittimo interesse e prepara una risposta che include il periodo di conservazione, l'origine dei dati e l'esistenza di eventuali decisioni automatizzate.

05

Verifiche sulle informazioni fornite agli interessati

• Le informazioni fornite indicano il periodo di conservazione dei dati personali o i criteri per determinarlo.
• È menzionato il diritto di revocare il consenso, se il trattamento si basa su di esso.
• È indicato il diritto di reclamo a un'autorità di controllo.
• Se il trattamento comporta rischi elevati, la valutazione d'impatto è aggiornata quando il rischio varia.
• Se pertinente, sono state raccolte le opinioni degli interessati sul trattamento previsto.

06

Cosa può configurare un'azienda in un software gestionale

Un'organizzazione può strutturare, con il proprio partner software, un registro delle richieste che tracci ruolo assegnato, data di ricezione, tipo di diritto esercitato e data di risposta, così da mantenere una visione chiara dello stato di ciascuna richiesta. È utile prevedere un flusso di revisione periodica collegato alle variazioni di rischio del trattamento, con permessi distinti per chi riceve, valuta e chiude la richiesta.

07

Domande frequenti sul processo

• Quali informazioni deve fornire l'azienda agli interessati sul trattamento? Periodo di conservazione, origine dei dati, eventuali decisioni automatizzate e diritti disponibili.
• Quando va aggiornata la valutazione d'impatto? Quando cambia il livello di rischio associato al trattamento.
• Chi individua lo stabilimento competente a rispondere? Il luogo dell'amministrazione centrale, salvo decisioni prese altrove sul trattamento.

08

Prossimo passo

Definire ruoli, tempi e tracciabilità per ogni tipo di richiesta è il primo passo per un processo solido: mappare i trattamenti esistenti e assegnare responsabilità chiare prima che arrivi la prossima richiesta.