Come impostare un processo aziendale per gestire i diritti degli interessati (GDPR)

01

Cosa può fare un'azienda

Un'azienda può costruire un processo ripetibile per gestire le richieste degli interessati partendo dai diritti previsti dal GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, opposizione, portabilità dei dati e revoca del consenso, oltre al diritto di proporre reclamo a un'autorità di controllo. Il titolare del trattamento deve fornire queste informazioni entro un termine ragionevole, e comunque al più tardi entro un mese dall'ottenimento dei dati personali, oppure, se i dati sono destinati alla comunicazione con l'interessato, al più tardi al momento della prima comunicazione. Mappare questi elementi permette di rispondere in modo tempestivo e documentato a ogni richiesta.

02

Il contesto: chi decide e chi risponde

Il processo si fonda sulla distinzione fra titolare e responsabile del trattamento definita dall'articolo 4 del GDPR. Quando un'azienda ha stabilimenti in più Stati membri, lo stabilimento principale è individuato nel luogo dell'amministrazione centrale nell'Unione, salvo che le decisioni sulle finalità e i mezzi del trattamento siano adottate altrove, nel qual caso quello stabilimento è considerato principale. Conoscere con precisione chi decide finalità e mezzi del trattamento permette di individuare rapidamente chi deve rispondere a una richiesta di un interessato.

03

Il flusso di lavoro passo per passo

Passaggi

1. Ricevi la richiesta dell'interessato e registra la data di arrivo per calcolare il termine di un mese previsto dal GDPR.
2. Individua quale diritto viene esercitato tra accesso, rettifica, cancellazione, limitazione, opposizione, portabilità o revoca del consenso.
3. Verifica chi, tra titolare e responsabile del trattamento, deve gestire la risposta in base allo stabilimento principale.
4. Se il trattamento riguarda un'attività ad alto rischio, valuta se serve un riesame della valutazione d'impatto.
5. Rispondi all'interessato indicando l'esito e ricordando il diritto di proporre reclamo a un'autorità di controllo.

04

Un esempio ipotetico

Esempio ipotetico: un cliente scrive a un'azienda di e-commerce chiedendo la cancellazione dei propri dati personali e la revoca del consenso al marketing diretto. L'ufficio privacy registra la data di ricezione, verifica che il trattamento del marketing si basasse sul consenso, e prepara una risposta che confermi la cancellazione, indichi il periodo di conservazione applicato agli altri dati residui e ricordi al cliente il diritto di proporre reclamo a un'autorità di controllo, il tutto entro il mese previsto dal GDPR.

05

Controlli prima di inviare la risposta

• La risposta indica il periodo di conservazione dei dati o i criteri usati per determinarlo.
• La risposta segnala l'esistenza di un eventuale processo decisionale automatizzato e la logica utilizzata.
• La richiesta è gestita entro il termine di un mese o secondo le tempistiche di prima comunicazione.
• Se cambia il rischio del trattamento, si valuta un riesame della valutazione d'impatto sulla protezione dei dati.
• La descrizione del trattamento resta coerente con la valutazione di necessità, proporzionalità e rischi già effettuata.

06

Come un software può supportare il processo

• Un sistema software può registrare la data di ricezione di ogni richiesta e calcolare automaticamente la scadenza del mese.
• Può tracciare quale diritto è stato invocato e chi, in azienda, ha preso in carico la risposta.
• Può conservare lo storico completo delle richieste e delle risposte per dimostrare la conformità nel tempo.
• Può segnalare quando un cambiamento nel trattamento richiede un riesame della valutazione d'impatto sulla protezione dei dati.
• Può assegnare ruoli e permessi distinti a chi decide, chi risponde e chi verifica le richieste.

07

Punti chiave da ricordare

• I diritti da tracciare in ogni richiesta sono accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e revoca del consenso.
• Il termine di risposta è al più tardi un mese dall'ottenimento dei dati, salvo tempistiche legate alla prima comunicazione.
• Una valutazione d'impatto contiene la descrizione dei trattamenti, la valutazione di necessità e proporzionalità e le misure per i rischi.

08

Prossimo passo pratico

Un buon punto di partenza è metterlo per iscritto: definire chi in azienda gestisce le richieste degli interessati, entro quali tempi, e quando è necessario riesaminare la valutazione d'impatto sulla protezione dei dati, in particolare quando cambia il livello di rischio rappresentato dal trattamento. Documentare questo processo rende più semplice rispondere in modo coerente a ogni richiesta.