Le sanzioni per 11,5 milioni di euro recentemente comminate dal Garante per la Protezione dei Dati Personali ad una nota società, accusata di aver violato diverse norme dell’oramai noto GDPR, ribadiscono la primaria importanza di un serio e completo adeguamento dei processi aziendali alla nuova disciplina europea in materia di protezione dei dati personali.

Con l’Autorità Garante in piena operatività, la conformità alla mutata realtà normativa è fondamentale per evitare sanzioni che possono raggiungere la somma di 20 milioni ovvero, per le imprese, il 4% del fatturato globale annuo dell’esercizio precedente.

Vediamo insieme quali sono le principali aree di intervento per assicurare la compliance al GDPR della propria organizzazione.

Gli elementi essenziali del processo di adeguamento al GDPR

• • Implementazione delle corrette modalità di raccolta del consenso al trattamento dei dati personali per finalità di marketing
    L’analisi della prassi del Garante rivela quanto siano ancora frequenti le sanzioni comminate nei confronti di chi effettua trattamenti di dati personali per finalità di marketing in difetto del valido consenso dell’interessato. Consenso che deve essere libero, specifico, revocabile, dimostrabile dal titolare del trattamento e soprattutto informato.
    Il punto di partenza è quindi la predisposizione di un’informativa sul trattamento completa, trasparente e comprensibile, che chiarisca da subito lo scopo promozionale perseguito dal titolare e consenta all’interessato di decidere in effettiva libertà, anche rispetto ad eventuali processi di profilazione della clientela.

• • Adozione di misure tecniche ed organizzative idonee a garantire la sicurezza dei dati personali
    Trattare dati personali comporta l’onere di proteggerli contro alterazioni, distruzioni, divulgazioni ed accessi non autorizzati. L’art. 32 del GDPR impone al titolare e al responsabile del trattamento l’obbligo di implementare misure tecniche ed organizzative capaci di garantirne l’adeguata sicurezza, compatibilmente con lo stato dell’arte e dei costi della relativa attuazione. Dall’utilizzo di un comune antivirus e di password robuste alla predisposizione di complesse procedure per l’archiviazione sicura dei dati, qualunque soggetto che tratta dati personali deve implementare soluzioni consone alla natura dei trattamenti effettuati ed alle proprie capacità tecniche ed economiche.

• • Adeguata formazione del personale
    Di regola, è il personale dipendente ad effettuare materialmente la maggior parte delle operazioni di trattamento (quali ad esempio la raccolta, la registrazione e l’archiviazione dei dati personali, o l’utilizzo dei medesimi per effettuare marketing o inviare newsletter). Ai sensi dell’art. 29 GDPR, il titolare ed il responsabile del trattamento hanno l’obbligo di istruire le persone autorizzate a trattare dati personali sotto la propria autorità, e rispondono delle violazioni commesse dai propri collaboratori ai quali non abbiano fornito prescrizioni operative adeguate. È quindi fondamentale formare il personale in merito ai principi fondamentali della nuova disciplina: dalle corrette modalità di somministrazione dell’informativa all’aggiornamento del registro dei trattamenti, dall’adeguato riscontro agli interessati che intendono esercitare i propri diritti al comportamento da assumere in occasione delle ispezioni dell’Autorità Garante.

I professionisti di Nexum Legal possono aiutarti a trovare le soluzioni più idonee ad assicurare la conformità della tua impresa alla nuova normativa in materia di privacy e protezione dei dati personali.