Siete in regola con le normative GDPR?

Il Regolamento generale sulla protezione dei dati (GDPR) impone a tutte le organizzazioni di rispettare specifiche norme sulla protezione dei dati e sulla privacy. Le organizzazioni che soddisfano i requisiti dell'Information Commissioners Office (ICO) devono assumere un responsabile della protezione dei dati. Tutte le organizzazioni devono avere un DPO che sia pienamente responsabile della definizione e della gestione dei controlli sulle informazioni sensibili.

La natura aggressiva del crimine informatico in continua evoluzione rappresenta una seria minaccia per i cittadini, le imprese e le organizzazioni della pubblica amministrazione europee. Allo stesso tempo, la forza lavoro mobile e remota rende più difficile la conformità al GDPR.

La maggior parte delle organizzazioni elabora quantità sempre maggiori di dati a seguito della digitalizzazione. Di conseguenza, queste aziende devono adottare misure adeguate per salvaguardare i propri clienti e la propria attività, gestendo i dati in modo appropriato. La designazione di un responsabile della protezione dei dati garantisce la supervisione e la gestione dei preziosi dati aziendali.

Il Regolamento generale sulla protezione dei dati (GDPR) impone a tutte le organizzazioni di rispettare specifiche norme sulla protezione dei dati e sulla privacy. Le organizzazioni che soddisfano i requisiti dell'Information Commissioners Office (ICO) devono assumere un responsabile della protezione dei dati. Tutte le organizzazioni devono avere un DPO che sia pienamente responsabile della definizione e della gestione dei controlli sulle informazioni sensibili.

Un rischio più elevato di non conformità potrebbe comportare una sanzione pari al 4% del vostro fatturato globale o fino a 20 milioni di euro, a seconda di quale sia il valore più alto.

Giocare la carta dell'ignoranza non funzionerà quando la vostra azienda sarà stata multata per la mancata conformità al GDPR.

Se non siete esperti di GDPR, le regole del GDPR potrebbero essere difficili da capire e da rispettare. Il DPO aiuta la vostra organizzazione a conformarsi al Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea per evitare confusione sulla conformità e ingenti perdite finanziarie.

Cosa c'è da sapere sul Responsabile della protezione dei dati

In generale, un responsabile della protezione dei dati (DPO) è un funzionario aziendale indipendente competente per il mantenimento della conformità al Regolamento generale sulla protezione dei dati dell'Unione Europea. Il DPO ha la responsabilità di condurre valutazioni interne sulla privacy e di supervisionare, controllare e fornire consulenza su tutti gli argomenti relativi al GDPR. 

Un DPO deve avere accesso diretto al top management, che può assisterlo nel prendere decisioni sul trattamento dei dati personali. I dirigenti della vostra azienda hanno un'influenza minima o nulla sulle attività, i risultati e le raccomandazioni del DPO. 

In caso di conflitto di interessi, il top management non eserciterà alcuna pressione sul DPO, così come ai responsabili IT è vietato assumere la funzione di DPO in qualsiasi circostanza. Inoltre, un dirigente aziendale coinvolto in un contenzioso o in un'azione normativa futura o in corso contro l'azienda non dovrebbe essere designato come DPO.

Una politica di sicurezza a livello aziendale deve essere ben definita, comunicata e rispettata da tutti. È essenziale tenere presente che la nomina di un DPO non significa che questa persona sia interamente responsabile della conformità alla protezione dei dati. Il ruolo del DPO è quello di supervisionare qualsiasi modifica necessaria e di assicurarsi che tutti i dipendenti conoscano la politica di protezione dei dati.

Ruolo di responsabile della protezione dei dati

Vediamo più da vicino la designazione del responsabile della protezione dei dati: le posizioni di DPO obbligatorio e volontario, l'ambito delle competenze, l'indipendenza, i conflitti di interesse, la responsabilità, ecc.

Questo ruolo è talvolta indicato come Privacy Officer o Information Officer. Sebbene i ruoli e gli obblighi per la nomina di un DPO varino da una giurisdizione all'altra, esistono alcuni requisiti standard. Di solito, il DPO non deve essere nominato dalle organizzazioni più piccole o da quelle che trattano solo quantità limitate di dati personali, anche se la nomina del DPO in questi casi può essere comunque incoraggiata.

Quando è richiesta la nomina di un DPO, spesso ci sono delle clausole che riguardano chi può essere nominato come DPO. La nomina di un responsabile della protezione dei dati è generalmente regolata da una serie di norme e regolamenti che variano da un paese all'altro. Tuttavia, i requisiti legislativi per la nomina dei DPO stanno diventando sempre più comuni in tutto il mondo e le loro responsabilità sono sempre più definite.  

Nell'UE, il GDPR prevede che il DPO sia nominato in base alle sue qualifiche professionali o alla sua vasta esperienza e che sia facilmente contattabile. Inoltre, possono essere previsti requisiti relativi alla sede del DPO. 

Una volta nominato il DPO, molte giurisdizioni richiedono che i dati di contatto del DPO siano forniti all'autorità di vigilanza locale. Inoltre, è spesso un obbligo legale fornire i dati di contatto del DPO nelle politiche sulla privacy o nelle notifiche agli interessati. 

Responsabilità del responsabile della protezione dei dati

I DPO possono anche essere incaricati di monitorare in generale la conformità al GDPR o di eseguire anteprime della loro organizzazione. Per garantire l'efficacia del DPO nell'adempimento di queste responsabilità, diverse leggi, tra cui il GDPR dell'UE, stabiliscono che il DPO deve avere un elevato grado di indipendenza. Ciò può significare, ad esempio, che un DPO non può essere penalizzato per lo svolgimento dei suoi compiti.  

È responsabilità del responsabile della protezione dei dati (DPO) fornire alle aziende linee guida sulla conformità dei dati e sulla privacy e segnalare eventuali violazioni delle normative sui dati. La posizione di DPO richiede una conoscenza avanzata del GDPR e di altre leggi pertinenti in materia di protezione dei dati, compresa la direttiva ePrivacy. Nella maggior parte dei casi, la responsabilità principale di un DPO è quella di garantire la conformità alla legislazione sulla privacy applicabile nella giurisdizione. Ciò può includere la supervisione delle richieste di dati personali, l'assistenza alla protezione dei dati, le valutazioni d'impatto, la formazione dei dipendenti sulla sicurezza e la collaborazione con le autorità di vigilanza.

Alcune leggi prevedono inoltre che il DPO debba essere in grado di comunicare con l'alta dirigenza. Altre variazioni sulle nomine dei DPO in tutto il mondo includono la possibilità che organizzazioni diverse nominino lo stesso DPO, i requisiti di conflitto di interessi, la possibilità di designare un DPO da parte di un gruppo e gli obblighi relativi alla nomina dei sostituti DPO sono simili. 

Riassunto delle qualifiche del DPO

• Capacità di formare il personale sulla consapevolezza della protezione dei dati.
• Fiducia in se stessi e profonda conoscenza dei processi e del settore dell'organizzazione.
• Capacità di insegnare a grandi gruppi di persone e di chiarire concetti complessi.
• Informazioni di base sulla legge. L'articolo 37 del GDPR definisce il responsabile della protezione dei dati (DPO) come una persona con competenze professionali e comprensione delle leggi e delle procedure in materia di protezione dei dati. 
• Esperienza nella sicurezza informatica. Le aziende soggette al GDPR devono assumere una persona che abbia avuto a che fare con incidenti di sicurezza reali e che sia in grado di fornire consulenza sulle valutazioni del rischio di sicurezza, sulle contromisure e sulle valutazioni dell'impatto sulla protezione dei dati (DPIA). Come regola generale, un DPO dovrebbe avere esperienza in sicurezza informatica.

Esternalizzazione del DPO: DPO come servizio

L'esternalizzazione della funzione di DPO è una prima scelta ovvia per le piccole e medie imprese. Per assumere un DPO, le aziende devono trovare una persona abbastanza pratica da capire che le sue capacità nel ruolo sono meno importanti della sua capacità di negoziare soluzioni adeguate in un ambiente normativo sempre più imprevedibile. Il DPO competente ed esperto si fa strada con sicurezza nella palude.

D'altra parte, se si nomina un DPO interno, ci sarà l'opposizione di tutti i reparti con cui il DPO entrerà in contatto. L'Information Technology (IT) percepisce il GDPR come un onere superfluo per le tempistiche dei progetti, mentre le vendite e il marketing lo considerano un'interferenza irragionevole con la capacità di esecuzione efficace. La sicurezza teme che la nuova norma sia in contraddizione diretta con gli obblighi normativi esistenti. L'ufficio legale si gratta la testa per la scarsa chiarezza della legge.

Detto questo, il DPO deve essere pronto a collaborare con i vari dipartimenti funzionali. Deve avere il coraggio di parlare, difendere le proprie convinzioni e sapere quando mantenere la posizione e quando scendere a compromessi. Soprattutto, questa persona deve essere in grado di misurare l'impatto delle responsabilità di conformità dell'organizzazione sui profitti.

10 vantaggi del responsabile esterno della protezione dei dati

1. Per essere conformi al GDPR, tutti i DPO devono essere risorse indipendenti per l'azienda.
2. Non è necessario investire nella formazione del DPO perché ha già una solida conoscenza del GDPR sulla carta e nella pratica. 
3. Si sconsiglia di affidare il ruolo di DPO al massimo responsabile IT o della sicurezza dell'azienda, in quanto il DPO sarà obbligato a fornire un feedback onesto sui sistemi IT e di sicurezza dell'azienda.
4. L'esperto DPO esterno ha familiarità sia con la sostanza del GDPR che con le sue interpretazioni. È in grado di analizzare i sofisticati requisiti normativi e di fornire preziose indicazioni e raccomandazioni pratiche.
5. Il DPO deve conoscere a fondo sia il testo che l'attuazione pratica del GDPR e di altre leggi sulla privacy, sulla cybersecurity e sulla gestione del rischio.
6. Un DPO esterno è un esperto nel settore della protezione dei dati e della privacy, che fornisce consigli e indicazioni oggettive. Una forte comprensione dell'organizzazione e dei dati che essa gestisce gli consente di permettere ai clienti di rimanere al passo con i rischi attuali dell'organizzazione e di applicare la conformità al GDPR.
7. È molto più semplice sostituire un consulente che un dipendente se non si è soddisfatti del servizio di DPO.
8. Un DPO in outsourcing può avere una visione più approfondita di come altre aziende stanno implementando le soluzioni GDPR.
9. Non ci sono conflitti di interesse con i consulenti esterni in materia di privacy.
10. Il vantaggio nascosto della maggiore trasparenza dei dati derivante dalla conformità al GDPR è la maggiore capacità di prendere decisioni aziendali ponderate. 

DPO come servizio di CISO AG 

In alcune circostanze, il Regolamento generale sulla protezione dei dati (GDPR) impone al responsabile del trattamento o all'incaricato del trattamento di nominare un DPO (data protection officer). I requisiti del GDPR non sono sempre evidenti e facili da implementare nelle operazioni quotidiane. Il ruolo di DPO richiede inoltre un'ampia conoscenza del settore della protezione dei dati e una conoscenza approfondita del settore dell'organizzazione.

Il DPO as a Service di CISO AG è offerto alle organizzazioni di tutte le dimensioni interessate a ricevere una guida strutturata e pratica basata sulla nostra esperienza globale in materia di GDPR, privacy e protezione dei dati.

CISO AG offre il DPO come pacchetto di servizi. Ci occupiamo della funzione di DPO esterno. Il nostro team di esperti legali, di cybersicurezza, di gestione del rischio e di privacy dei dati fornisce consulenza alla vostra organizzazione e contribuisce all'implementazione e al monitoraggio continuo di tutte le posizioni di conformità. CISO AG dispone di tutte le licenze e certificazioni per la conformità al GDPR e l'implementazione della protezione dei dati.

Copriamo un'ampia gamma di conoscenze e best practice rilevanti in materia di GDPR. Vi forniremo il materiale necessario, procedure e documenti ben definiti. Ecco una sintesi delle competenze e dei risultati che CISO AG mette a disposizione.

• Informare e consigliare sulle linee guida della legislazione sulla privacy
• La consulenza sullo sviluppo e l'aggiornamento di procedure e politiche
• Supporto nel completamento delle DPIA (valutazioni d'impatto sulla protezione dei dati)
• Coordinare e fungere da punto di contatto per l'autorità di vigilanza.
• Affidamento delle operazioni relative alla protezione dei dati, come le richieste degli interessati, le violazioni dei dati personali e altro ancora.
• Monitorare la conformità alla normativa e seguire i controlli esistenti.

Obiettivi di conformità al GDPRe risultati del CISO AG

Linee guida per la legislazione sulla privacy

• Informare e consigliare il responsabile del trattamento, l'incaricato del trattamento o i dipendenti su qualsiasi questione relativa al GDPR.
• Organizzare seminari di sensibilizzazione sulla protezione dei dati e formazione dei dipendenti. 
• Implementare i principi di protezione dei dati e i concetti centrali all'interno della vostra organizzazione.
• PIMS. Stabilire un sistema di gestione delle informazioni personali (PIMS), in linea con la norma ISO 27701 / BS 10012.

Assistenza nella compilazione delle DPIA (valutazioni d'impatto sulla protezione dei dati)

• Raccogliere ed esaminare la documentazione attuale.
• Consulenza per la progettazione e la revisione di politiche e procedure.
• Supporto alle procedure di protezione dei dati
• Organizzare workshop con le parti interessate per rivedere le procedure e/o le politiche, identificare quelle da creare o aggiornare.
• Partecipare a seminari personalizzati per risolvere i problemi residui e identificare i requisiti emergenti di supporto alla protezione dei dati.
• Valutare le attuali procedure di protezione dei dati e fornire raccomandazioni per i miglioramenti.
• fungere da punto di contatto per le autorità di vigilanza

Quadro di gestione del rischio (monitoraggio della conformità e dei controlli esistenti)

• Organizzare incontri con gli stakeholder critici per comprendere meglio le diverse situazioni aziendali esistenti.
• Mettere in atto procedure per un controllo regolare della conformità al regolamento sulla protezione dei dati.
• Fornire consigli pratici basati su scenari aziendali reali e ampie esperienze.
• Fornire strumenti, modelli, best practice, passaggi e suggerimenti per impostare e implementare la governance GDPR all'interno della vostra organizzazione.
• Fornire consulenza e progettare soluzioni pratiche per il trasferimento di dati personali: verso paesi terzi, terze parti e cloud, ecc. Trasferimenti transfrontalieri di dati - opzioni e soluzioni. Garantire la conformità nei trasferimenti internazionali di dati.
• Consigli sulla protezione delle risorse informative, sulla crittografia e l'anonimizzazione, sulla prevenzione delle fughe di dati, sulla minimizzazione delle vulnerabilità hardware soft e hard e sulla valutazione delle soluzioni e delle tecnologie per la privacy.
• La DPIA (valutazione d'impatto sulla protezione dei dati) tiene conto dei seguenti fattori: necessità, tempo, procedure, collaborazione interna/esterna, flussi di lavoro, rischi legali, approvazioni e comunicazione.
• Audit e monitoraggio regolari della privacy dei dati: e-discovery, sicurezza dei dati; cybersecurity; privacy by design; valutazione dell'impatto sulla privacy; audit sulla protezione dei dati, monitoraggio delle attività.
• Formazione sulla privacy per i dipendenti
• Pratiche per la gestione di richieste e reclami
• Scenario reale basato su un caso di violazione dei dati e piano di risposta alle incidenze
• Fornire una serie completa di documenti standard ed esempi per dimostrare la conformità al GDRP, compresi i certificati.