Servizio 01 · Reg. UE 2016/679
Privacy GDPR: un sistema, non un fascicolo
Accountability, registri, DPIA, data breach. La prova, non l’allegato. Sanzioni fino al 4% del fatturato.
In foto
Acquisire, usare, conservare e proteggere le informazioni non è più rinviabile. Il GDPR ha introdotto analisi dei rischi, data breach, DPIA, privacy by design e by default, registri dei trattamenti. Il nostro percorso parte da un pre-audit gratuito: se emerge la necessità di adeguare il modello di gestione — per aggiornamenti normativi o per nuovi processi interni — costruiamo una GDPR compliance generale e la relativa documentazione.
I punti cardine
- Privacy come sistema di gestione dei dati
- Mappatura ruoli e organigramma privacy
- Policy aziendali
- Privacy by design e by default
- Privacy Risk Assessment
- Data retention
- DPIA — Data Protection Impact Assessment
- Accountability
- Registri dei trattamenti
- Procedura di data breach
Schema operativo
Per ottenere un modello dimostrabile procediamo, in sequenza, a:
- identificare i responsabili del processo di valutazione;
- analizzare i processi aziendali in cui si trattano dati;
- identificare interessati (dipendenti, clienti, fornitori) e tipologie di trattamento;
- distinguere dati personali e dati particolari;
- fissare finalità, basi giuridiche e modalità (informatica o cartacea);
- mappare le funzioni coinvolte: titolare, responsabile, autorizzati, amministratore di sistema;
- valutare necessità, proporzionalità, rischi inerenti e residui;
- aggiornare misure di sicurezza, procedure, informative, consensi, nomine e flussi;
- formare il personale con attestati nominali;
- nominare il DPO, se la legge lo richiede;
- monitorare e riesaminare periodicamente la conformità.
Documenti e priorità
All’interno dello schema generale diamo priorità a:
- contratti di nomina ai responsabili e autorizzati interni;
- nomine ai responsabili esterni e all’amministratore di sistema;
- procedure IT allineate alla ISO 27001 (backup, disaster recovery);
- registro dei trattamenti, cartaceo e digitale;
- policy di gestione, conservazione e distruzione dei dati;
- procedura di data breach;
- informative ad hoc per utenti, fornitori e dipendenti;
- acquisizione dei report di audit dei responsabili esterni.
L’obiettivo è un flusso di responsabilità e manleve in capo a chi opera come data controller: prima le società esterne che erogano servizi, poi gli autorizzati interni che ogni giorno trattano e archiviando dati di terzi.
Al termine dell’assessment e della messa a punto documentale, l’azienda è conforme al GDPR per la parte di sistema, valutazione dei rischi e documentazione.
Formazione GDPR
La formazione è il punto di partenza dell’assessment: parte dalle figure dell’organigramma privacy (autorizzati, responsabili) per mappare i processi attuali e aggiornarli. Si svolge in sede o da remoto, a seconda delle esigenze.
Monitoraggio e consulenza annuale
Con audit periodici verifichiamo che la compliance resti applicata, anche alla luce di aggiornamenti normativi. Il canone annuale comprende:
- aggiornamento dei documenti privacy;
- supporto informativo sui cambiamenti legislativi;
- audit di monitoraggio;
- assistenza in caso di verifiche ispettive degli organi preposti.
Domande frequenti
Cosa ci chiedono prima di un incarico privacy
Il pre-audit è davvero gratuito e senza impegno?
Sì. È una prima lettura dello stato di adeguamento: ci serve per capire se manca un sistema, se i documenti sono fermi o se basta un aggiornamento. Non è un incarico e non vincola a proseguire.
Abbiamo già le informative. Basta così?
Di solito no. L’informativa è un pezzo. Il Regolamento chiede di poter dimostrare ruoli, registri, basi giuridiche, misure, data breach e — dove serve — DPIA. Senza quel tessuto, in verifica l’allegato non regge.
Serve sempre nominare un DPO?
No. Lo nominiamo quando la norma lo richiede o quando il profilo di rischio lo rende opportuno. Il pre-audit indica se la figura è dovuta, e se va cercata all’interno o all’esterno.
Cosa comprende il canone annuale?
Aggiornamento dei documenti, informativa sui cambiamenti legislativi, audit di monitoraggio e assistenza se arrivano verifiche. Il sistema non si consegna e si abbandona: resta applicato.
Lavorate anche con studi professionali, non solo imprese?
Sì. Commercialisti, avvocati, notai e studi associati trattano dati di terzi ogni giorno. Il metodo è lo stesso: processi reali, non un fascicolo generico.
Inizia dal pre-audit gratuito
Una lettura, senza impegno. Poi si decide se serve un sistema, un documento o un presidio.