1. Analisi della struttura aziendale

Riguarda l'ubicazione e la classificazione dati in formato cartaceo e informatico, modalità e finalità del trattamento, analisi delle procedure adottate.

2. Definizione delle figure coinvolte nel trattamento dei dati:

- Titolari del trattamento

- Responsabili del trattamento dei dati

- Soggetti incaricati

- Responsabili esterni

- Amministratori di sistema

- Responsabili della protezione dei dati (DPO)

3. Gap analysis

Rileva gli scostamenti tra quanto richiede la normativa europea e le procedure in essere presso l’azienda.

4. Documenti relativi alla Privacy:

Preparazione e invio Informative:

- Informativa generale

- Informative per clienti/fornitori

- Informativa per i dipendenti

- Informative per sito internet (cookies, contatti, consensi, ecc.)

- Altre informative (mail, videosorveglianza, informative specifiche)

- Invio lettere per fornitori che trattano dati per conto del Titolare

- Lettere di nomina responsabili del trattamento (Art. 28)

- Lettere di riservatezza

- Lettere di incarico per dipendenti

5. Redazione del Registro dei Trattamenti

Il Registro dei Trattamenti riassume i dati trattati dal Titolare e le modalità. Il Registro dei Trattamenti è un documento previsto dalla normativa europea (Art. 30 Regolamento EU 679/2016 ) ed è il documento più rilevante in caso di ispezioni.

6. Manuale Organizzativo Privacy

Il manuale contiene un riepilogo relativo alla struttura organizzativa e alle misure di sicurezza implementate.

Nel manuale è inclusa anche tutta la documentazione utilizzata nel processo di adeguamento.

7. Analisi dei Rischi: L’analisi dei rischi identifica le minacce alla protezione dei dati e le misure di sicurezza tecniche e organizzative da adottare.

8. Assistenza

Nel caso in cui il Cliente in fase di accettazione della proposta scelga l’opzione “Gold”, è previsto un servizio di assistenza che decorre dalla consegna del Manuale Organizzativo Privacy. Il servizio comprende:

- Assistenza remota continua per ogni problematica relativa alla privacy

- Mail di assistenza

- Aggiornamento annuale della documentazione

9. Formazione online

Il Titolare è tenuto alla formazione dei propri dipendenti in merito alle modalità di trattamento dei dati personali conformi al GDPR 678/2016.

Il corso si svolge online e prevede il rilascio di un attestato che comprova l’avvenuta formazione.

10. Altre attività opzionali

- Redazione Policy aziendale (procedure interne da seguire da parte dei dipendenti).

- Adeguamento sistema di videosorveglianza (GDPR e Statuto dei Lavoratori)

- Check-up sicurezza informatica (verifica struttura informatica e test di sicurezza)

L’incarico di DPO esterno riguarda sia le aziende che hanno l’obbligo di designare tale figura (vedi art. 37 par. 1, lett. b e c, del Regolamento UE 2016/679) sia le aziende che optano per una designazione volontaria, come suggerito dallo stesso Garante della Privacy.

Per il ruolo di DPO è richiesta una conoscenza interdisciplinare che varia dall’ambito giuridico a quello informatico.

I compiti del DPO sono descritti all’art. 39 del Regolamento:

- Informare e fornire consulenza al Titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati

- Sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo

- Fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35

- Cooperare con l’autorità di controllo

- Fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

L’incarico di Progetto Europa come “Responsabile della Protezione dei Dati” (RPD o DPO) costituisce un valido supporto per il Titolare in merito alla protezione dei dati, anche alla luce del principio di “accountability”. La persona individuata per le attività del DPO sarà selezionata in base alle competenze necessarie per assumere tale l’incarico.

Oltre ad essere comunicati al Garante per la protezione dei dati personali, i dati di contatto del DPO saranno pubblicati e resi noti agli interessati.

Nel servizio specifico proposto da Progetto Europa è compreso almeno un incontro l’anno presso la sede del Cliente. In tale occasione verrà svolto un “auditing” relativo al trattamento dei dati personali e alle misure di sicurezza.

Potranno esserci anche interventi straordinari, ad esempio in caso di “data breach”, ispezioni dell’autorità di controllo o richieste importanti da parte di clienti.