Diritti degli interessati: il glossario e il processo per gestirli in azienda

01

Cosa serve per gestire i diritti degli interessati

Un processo aziendale efficace parte dalle informazioni che il titolare del trattamento deve fornire alla persona interessata: periodo di conservazione, base giuridica, esistenza dei diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, e diritto di reclamo a un'autorità di controllo.

Se il trattamento si fonda sul consenso, va indicato anche il diritto di revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento già svolto.

02

Il glossario minimo per orientarsi

• Autorità di controllo: l'autorità pubblica indipendente istituita da uno Stato membro.
• Stabilimento principale: il luogo dell'amministrazione centrale nell'Unione del titolare o del responsabile.
• Rappresentante: persona designata per iscritto per rappresentare titolare o responsabile nell'Unione.
• Trattamento transfrontaliero: trattamento che incide su interessati in più Stati membri.
• Obiezione pertinente e motivata: contestazione che dimostra rischi rilevanti per diritti e libertà degli interessati.

03

Il flusso operativo passo per passo

Passaggi

1. Registrare la richiesta e verificare l'identità della persona interessata.
2. Individuare la base giuridica del trattamento e i dati coinvolti, incluso l'eventuale interesse legittimo.
3. Fornire le informazioni entro un mese dall'ottenimento dei dati, o al più tardi alla prima comunicazione con l'interessato.
4. Indicare la fonte dei dati, se provenienti da fonti accessibili al pubblico, e l'esistenza di eventuali decisioni automatizzate.
5. Rivedere il processo quando cambiano i rischi legati alle attività di trattamento.

04

Un caso ipotetico: richiesta di accesso in una PMI

Ipotesi: un cliente chiede quali dati l'azienda conserva su di lui. Il responsabile del processo verifica l'identità, individua la base giuridica del trattamento e prepara la risposta entro il termine di un mese.

La risposta include il periodo di conservazione previsto, la fonte dei dati e l'informazione sull'esistenza del diritto di reclamo a un'autorità di controllo.

05

Controlli minimi da prevedere

• Verificare che ogni risposta indichi i criteri di conservazione dei dati.
• Controllare che sia menzionato il diritto di opposizione e alla portabilità dei dati.
• Confermare l'indicazione del diritto di revoca del consenso, quando applicabile.
• Verificare la presenza dell'informazione su eventuali decisioni automatizzate e la logica utilizzata.

06

Cosa può configurare un'azienda con il supporto di un software gestionale

Un'azienda può scegliere di far tracciare, in un sistema software, le informazioni da fornire per ciascuna richiesta: periodo di conservazione, base giuridica, fonte dei dati e presenza di trattamenti automatizzati.

Può inoltre attribuire ruoli e responsabilità per l'intake delle richieste e prevedere una revisione periodica del processo quando cambia il livello di rischio, come scelta operativa suggerita e non come obbligo automatico del software.

07

Domande frequenti in sintesi

• Le informazioni minime riguardano conservazione, base giuridica, diritti e fonte dei dati.
• I tempi di risposta previsti vanno da un termine ragionevole fino a un mese al massimo.
• Il processo va rivisto quando insorgono variazioni del rischio nel trattamento.

08

Prossimo passo

Mappa le informazioni che la tua azienda già fornisce agli interessati e confrontale con l'elenco previsto dall'articolo 13(2): conservazione, diritti, fonte dei dati e decisioni automatizzate. Da qui puoi costruire un processo verificabile e tracciabile.