GDPR:Codici di condotta e certificazioni

Transcript

1 GDPR:Codici di condotta e certificazioni Sergio Ferri (Beamat - Roma) Certified Privacy Officer European Privacy Auditor, ISDP 1003:2015 sergio.ferri@beamat.it

2 Contenuti GDPR Introduzione Ieri e oggi Le certificazioni dott. Sergio Ferri - Beamat (Roma) 2

3 GDPR - Introduzione I GDPR (Genera Data Protection Reguation- Regoamento UE 2016/679) è un Regoamento con i quae a Commissione europea ha inteso rafforzare e rendere più omogenea a protezione dei dati personai a'interno dei confini de Unione Europea (UE). I testo, pubbicato su Gazzetta Ufficiae Europea i 4 maggio 2016 ed entrato in vigore i 25 maggio deo stesso anno, inizierà ad avere efficacia i 25 maggio I GDPR (UE 16/679) in quanto regoamento è immediatamente e direttamente appicabie negi ordinamenti degi Stati membri, ma pur essendo un regoamento per diverse tematiche rimette agi Stati membri i potere normativo (regoazione derogatoria, norme integrative e norme interstiziai). Abroga a direttiva CE 95/46 a decorrere da 25 maggio 2018, ma e decisioni dea Commissione e e autorizzazioni dee autorità di controo basate sua direttiva 95/46/CE rimarranno in vigore fino a quando non saranno modificate, sostituite o abrogate. dott. Sergio Ferri - Beamat (Roma) 3

4 Obiettivi generai & Gestione operativa I GDPR non è un tema sotanto giuridico reativo aa protezione dei dati personai, ma anche economico in quanto uno degi scopi principai dea commissione è stato queo di stabiire regoe per economia digitae. I Regoamento privacy intende diventare uno dei processi di ogni organizzazione, indipendentemente daa dimensione e daa missione. Le nuove best practice che introduce sono: diffondere a cutura de dato personae in azienda, creare gruppi di avoro per definire i criteri di trattamento per tipoogie di dati pianificare i programma per impementazione e a gestione di un sistema di trattamento dei dati personai, e mappare a presenza di questi dati a interno di ogni organizzazione; definire i cico di vita dee singoe tipoogie di dati personai migiore abiità ne gestire i dati personai reaizzare una vautazione d'impatto de trattamento dei dati aziendai e fare 'anaisi dei rischi dott. Sergio Ferri - Beamat (Roma) 4

5 Struttura I GDPR è organizzato in: 173 Consideranda 8 Capi che contengono in totae 99 Articoi, i capi sono suddivisi in sezioni. I consideranda sono moto importanti in quanto riportano e ipotesi su cui si fondano i singoi articoi, quindi a oro conoscenza permette di comprenderi megio. I. Disposizioni generai (artt.1-4) II. III. Principi (artt.5-11) Diritti de'interessato (artt.12-23) IV. Titoare de trattamento e responsabie de trattamento (artt.24-43) V. Responsabie dea protezione dei dati (artt ) VI. Trasferimenti di dati personai verso paesi terzi o organizzazioni internazionai (artt ) VII. Cooperazione e coerenza (artt.60-76) VIII. Mezzi di ricorso, responsabiità e sanzioni (artt.77-99) dott. Sergio Ferri - Beamat (Roma) 5

6 D.Lgs.196/03 vs. GDPR (esempi) (dati personai sensibii) Attività Oggi Domani: 28/05/2018 Privacy Impact Anaysis (PIA) indotto obbigo Privacy by design & by defaut indotto obbigo Misure di sicurezza minime + idonee idonee Registri indotto obbigo Certificazione sistema no pus Data breach (vioazioni) si si Data Privacy Officer (DPO) Raccomandato (1) obbigo Formazione Raccomandata (1) obbigo FSE e Dossier Co-titoari Contitoari Atro... dott. Sergio Ferri - Beamat (Roma) 6

7 Organismi di certificazione (art. 43) 1.Fatti savi i compiti e i poteri de'autorità di controo competente di cui agi articoi 57 e 58, gi organismi di certificazione in possesso de iveo adeguato di competenze riguardo aa protezione dei dati, riasciano e rinnovano a certificazione, dopo averne informato 'autorità di controo a fine di consentire aa stessa di esercitare i suoi poteri a norma de'articoo 58, paragrafo 2, ettera h), ove necessario. Gi Stati membri garantiscono che tai organismi di certificazione siano accreditati da uno o entrambi dei seguenti organismi: a) da'autorità di controo competente ai sensi degi articoi 55 o 56; b) da'organismo nazionae di accreditamento designato in virtù de regoamento (CE) n. 765/2008 de Paramento europeo e de Consigio (1) conformemente aa norma EN-ISO/IEC 17065/2012 e ai requisiti aggiuntivi stabiiti da'autorità di controo competente ai sensi degi articoi 55 o 56. dott. Sergio Ferri - Beamat (Roma) 7

8 Organismi di certificazione (art. 43) 2.Gi organismi di certificazione di cui a paragrafo 1 sono accreditati in conformità di tae paragrafo soo se: a) hanno dimostrato in modo convincente a'autorità di controo competente di essere indipendenti e competenti riguardo a contenuto dea certificazione; b) si sono impegnati a rispettare i criteri di cui a'articoo 42, paragrafo 5, e approvati da'autorità di controo competente ai sensi degi articoi 55 o 56 o da comitato, ai sensi de'articoo 63; c) hanno istituito procedure per i riascio, i riesame periodico e i ritiro dee certificazioni, dei sigii e dei marchi di protezione dei dati; d) hanno istituito procedure e strutture atte a gestire i recami reativi a vioazioni dea certificazione o i modo in cui a certificazione è stata o è attuata da titoare de trattamento o da responsabie de trattamento e a rendere dette procedure e strutture trasparenti per gi interessati e i pubbico; e e) hanno dimostrato in modo convincente a'autorità di controo competente che i compiti e e funzioni da oro svoti non danno adito a confitto di interessi. dott. Sergio Ferri - Beamat (Roma) 8

9 Le certificazioni appicabii ISO 27001:2013, Sistemi di gestione dea sicurezza; ISO 31000:2009 "Risk management -- Principes and guideines ISDP 1003:2015,Criteri e regoe di controo per a Certificazionedei processi per a tutea dee persone fisiche reative a trattamento dei dati personai e aa ibera circoazione degi stessi. dott. Sergio Ferri - Beamat (Roma) 9

10 ISO "Risk management Principes and guideines È una guida che fornisce principi e inee guida generai per a gestione de rischio. Può essere utiizzata da quasiasi organizzazione pubbica, privata o sociae, associazione, gruppo o individuo, e non è specifica per nessuna industria o settore. La ISO può essere appicata ne corso de'intero cico di vita di un'organizzazione, ed essere adottata per mote attività come a definizione di strategie e decisioni, operazioni, processi, funzioni, progetti, prodotti, servizi e beni. Può inotre essere appicata a quasiasi tipo di rischio, sia per conseguenze di tipo positivo che negativo. dott. Sergio Ferri - Beamat (Roma) 10

11 CERTIFICAZIONE ISDP 10003:2015 DATA PROTECTION Schema internazionae per a protezione ddei dati personai ISDP 1003: Criteri e regoe di controo per a Certificazione dei processi per a tutea dee persone fisiche reative a trattamen to dei dati personai e a ibera circoazione degi stessi. Risponde ae nuove regoe operative da 2018, o schema ISDP 10003:2015 è voontario e appicabie a tutte e tipoogie di organizzazioni e specifica i requisiti per a gestione in correttezza, sicurezza e conformità dei dati personai dee persone fisiche con riguardo a trattamento dei dati personai e a ibera circoazione degi stessi. dott. Sergio Ferri - Beamat (Roma) 11

12 SCHEMA ISDP 10003:2015 Lo schema fornisce i principi e e inee di controo per una competa vautazione dea conformità dei processi interni a organizzazione in merito aa protezione dei dati personai con particoare riferimento aa corretta gestione dei rischi. Inotre dettagia i requisiti e i controi di sicurezza, affinché i dati rispettino i ivei di esattezza, accuratezza, attuaità, coerenza, competezza, credibiità e aggiornamento richiesti daa normativa vigente sua protezione dei dati personai, con particoare attenzione a principio di quaità e sicurezza dei dati trattati, secondo i principai standard internazionai. Lo schema rappresenta inotre un ausiio a tutte e organizzazioni che intendano mettere in sicurezza e proprie procedure operative. dott. Sergio Ferri - Beamat (Roma) 12

13 SCHEMA ISDP 10003:2015 DESTINATARI appicabie a quasiasi titoare de trattamento: quaunque sia i settore di appartenenza ed a prescindere da tipo di trattamento reaizzato. APPLICABILE A TUTTE LE AZIENDE CHE TRATTANO DATI PERSONALI: organizzazione che ottiene a certificazione ISDP, reativamente a tutti i processi aziendai a cui è appicabie, fornisce garanzia verso e parti interessate de adozione voontaria di un sistema di anaisi e controo dei principi e dee norme di riferimento a tutea dee persone fisiche con riguardo a trattamento dei dati personai e a ibera circoazione degi stessi. dott. Sergio Ferri - Beamat (Roma) 13

14 Contatti e informazioni Per uteriori informazioni e documentazione contattare: formazione@beamat.it e navigare su sito: www. beamat.it dott. Sergio Ferri - Beamat (Roma) 14