OBBLIGHI E SANZIONI DEL GDPR: COSA FARE ENTRO IL 25 MAGGIO 2018 E DOPO

Transcript

1 OBBLIGHI E SANZIONI DEL GDPR: COSA FARE ENTRO IL 25 MAGGIO 2018 E DOPO Roberta Rizzi DPO/RPD Ricercatore area giuridica identità digitale e privacy, Fondazione Nazionale Commercialisti- Roma

2 Breve quadro delle sanzioni Pre - GDPR

3 IL GARANTE ITALIANO E I COMUNI Sul sito web del Comune di Messina vengono pubblicate le graduatorie per esenzione/riduzione TARI per: a. motivi di disagio economico b. invalidità 100% VIOLAZIONE D.LGS. n. 33/2013 (art. 26, co.4) D.LGS. N.196/2003 (art. 19, co. 3) Sanzione: da a Provvedimento n. 213 del 12 aprile 2018

4 IL GARANTE ITALIANO E I COMUNI Sul sito web del Comune di Tricase (LE) viene pubblicato l Elenco «esonerati refezione scolastica» per motivi di disagio economico VIOLAZIONE D.LGS. n. 33/2013 (art. 26, co.4) D.LGS. N.196/2003 (art. 19, co. 3) Sanzione: Provvedimento n. 553 del 21 dicembre 2017

5 IL GARANTE ITALIANO E I COMUNI Il Comune di Milano viene sanzionato per omessa applicazione delle misure minime di sicurezza (disciplinare tecnico di cui all'allegato B) del Codice Privacy) : un pc ubicato presso una scuola primaria veniva utilizzato da diversi utenti con le medesime credenziali VIOLAZIONE D.LGS. N.196/2003 (art. 162, co. 2-bis) Sanzione: Provvedimento n. 230 del 26 luglio 2012

6 e adesso?

7

8 SANZIONI AMMINISTRATIVE PECUNIARIE GDPR FINO A 10 MILIONI DI EURO 20 MILIONI DI EURO PER LE IMPRESE FINO AL 2% O AL 4% DEL FATTURATO MONDIALE ANNUO DELL ESERCIZIO PRECEDENTE, SE SUPERIORE

9 PRINCIPIO CARDINE DEL GDPR ACCOUNTABILITY «RESPONSABILIZZAZIONE» Art. 5 GDPR

10 ACCOUNTABILITY Privacy by default Privacy by design Accountability Valutazione di Impatto Dimostrazione in concreto!

11 LE PRIORITA PER LE P.A. 1. designazione del Responsabile della protezione dei dati RPD (o DPO-Data Protection Officer) (artt GDPR)

12 OBBLIGO DI DESIGNAZIONE DEL RPD il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali; le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati di cui all'articolo 9 o di dati relativi a condanne penali e a reati di cui all'articolo 10 Art. 37, par. 1 lett. a

13 DESIGNAZIONE PER PIÙ TITOLARI COMUNE A TENUTO CONTO DELLE DIMENSIONI E DELLA STRUTTURA ORGANIZZATIVA UNICO RPD COMUNE B Art. 37 par. 3

14 IPOTESI DI CONFLITTO DI INTERESSE RPD amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione risorse umane, responsabile IT.

15 REQUISITI DEL RPD Livello di esperienza commisurato alla sensibilità, complessità e quantità di dati trattati dal titolare/responsabile del trattamento: a maggiore complessità e quantità di dati scaturisce un più elevato livello di competenza e supporto Qualità professionali conoscenza approfondita del Regolamento, esperienza sulle leggi in materia di protezione dei dati a livello nazionale ed europeo, conoscenza del settore e dell organizzazione del titolare del trattamento, dei sistemi informatici/informativi e delle esigenze di sicurezza e di protezione dei dati; per le PA occorre anche una buona conoscenza delle regole e delle procedure dell organizzazione amministrativa Capacità di svolgimento dei compiti Integrità e alta etica professionale, preoccupazione circa il rispetto della conformità al Regolamento, promozione di una cultura della protezione dei dati all interno dell organizzazione

16 COMPITI RPD -1 a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento -nonché i dipendenti che eseguono il trattamento- in merito agli obblighi derivanti dal regolamento nonché da altre disposizioni dell'unione o degli Stati membri relative alla protezione dei dati; b) sorvegliare l'osservanza del regolamento, di altre disposizioni dell'unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo (audit);

17 COMPITI RPD -2 c) fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell'articolo 33; d) cooperare con l autorità di controllo; f) fungere da punto di contatto per l autorità di controllo per questioni connesse al trattamento di dati personali, tra cui la consultazione preventiva di cui all'articolo 36, ed effettuare, se del caso, consultazioni su qualunque altra questione.

18 SANZIONE PER MANCATA DESIGNAZIONE RPD TERMINE SANZIONE AMMINISTRATIVA PECUNIARIA AL TITOLARE O AL RESPONSABILE EX ART. 83 PAR. 4 LETT.A 24 MAGGIO 2018 FINO A 10 MILIONI DI EURO PER LE IMPRESE FINO AL 2% DEL FATTURATO MONDIALE ANNUO DELL ESERCIZIO PRECEDENTE, SE SUPERIORE

19 LE PRIORITA PER LE P.A. 2. Istituzione del Registro delle attività di trattamento (art. 30 e cons. 171 GDPR)

20 IL REGISTRO DELLE ATTIVITÀ DI TRATTAMENTO FINALITA - monitoraggio dei trattamenti per l Autorità e il Titolare - cooperazione con l Autorità di controllo - Dimostrazione della conformità al Regolamento Considerando 82

21 SOGGETTI OBBLIGATI TITOLARI RESPONSABILI Registro del Titolare Registro del Responsabile

22 ESEMPIO DI REGISTRO

23 Registro delle attività di trattamento Misura organizzativa adeguata ed efficace Accountability

24 SANZIONE PER MANCATA TENUTA REGISTRO TERMINE SANZIONE AMMINISTRATIVA PECUNIARIA AL TITOLARE O AL RESPONSABILE EX ART. 83 PAR. 4 LETT.A 24 MAGGIO 2018 FINO A 10 MILIONI DI EURO PER LE IMPRESE FINO AL 2% DEL FATTURATO MONDIALE ANNUO DELL ESERCIZIO PRECEDENTE, SE SUPERIORE

25 LE PRIORITA PER LE P.A. 3. Formare il personale che partecipa ai trattamenti ed istruire il Responsabile del trattamento (artt. 29 e 39 GDPR)

26 TITOLARE E RESPONSABILE DEL TRATTAMENTO «QUALORA UN TRATTAMENTO DEBBA ESSERE EFFETTUATO PER CONTO DEL TITOLARE DEL TRATTAMENTO, QUEST ULTIMO RICORRE UNICAMENTE A RESPONSABILI DEL TRATTAMENTO CHE PRESENTINO GARANZIE SUFFICIENTI PER METTERE IN ATTO MISURE TECNICHE E ORGANIZZATIVE ADEGUATE IN MODO TALE CHE IL TRATTAMENTO SODDISFI I REQUISITI DEL PRESENTE REGOLAMENTO E GARANTISCA LA TUTELA DEI DIRITTI DELL INTERESSATO» Art. 28 GDPR PER ISCRITTO (CONTRATTO/ATTO GIURIDICO)

27 GLI OBBLIGHI PER LE P.A. 4. Attenzione alle attività di trattamento che «possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche» (art. 35 GDPR)

28 VALUTAZIONE D IMPATTO SULLA PROTEZIONE DEI DATI (DPIA) natura finalità oggetto Rischio elevato per i diritti e le libertà delle persone fisiche DPIA contesto

29 VALUTAZIONE D IMPATTO SULLA PROTEZIONE DEI DATI- QUANDO È OBBLIGATORIA? VALUTAZIONE SISTEMATICA E GLOBALE DI ASPETTI PERSONALI RELATIVI A PERSONE FISICHE, BASATA SU UN TRATTAMENTO AUTOMATIZZATO, SULLA QUALE SI FONDANO DECISIONI CHE HANNO EFFETTI GIURIDICI O INCIDONO SU DETTE PERSONE FISICHE (art. 35, par. 3 lett.a) =PROFILAZIONE

30 VALUTAZIONE D IMPATTO SULLA PROTEZIONE DEI DATI- QUANDO È OBBLIGATORIA? TRATTAMENTO SU LARGA SCALA DI CATEGORIE PARTICOLARI DI DATI PERSONALI O DATI RELATIVI A CONDANNE PENALI E REATI (art. 35, par. 3 lett.b)

31 VALUTAZIONE D IMPATTO SULLA PROTEZIONE DEI DATI- QUANDO È OBBLIGATORIA? SORVEGLIANZA SISTEMATICA SU LARGA SCALA DI UNA ZONA ACCESSIBILE AL PUBBLICO (art. 35, par. 3 lett.c)

32 CONSULTAZIONE PREVENTIVA AL GARANTE PRIMA DI PROCEDERE AL TRATTAMENTO, QUALORA LA DPIA INDICHI CHE IL TRATTAMENTO PRESENTEREBBE UN RISCHIO ELEVATO IN ASSENZA DI MISURE ADOTTATE DAL TITOLARE DEL TRATTAMENTO PER ATTENUARE IL RISCHIO (art. 36 GDPR)

33 SANZIONE PER INOSSERVANZA OBBLIGO DPIA SANZIONE AMMINISTRATIVA PECUNIARIA AL TITOLARE O AL RESPONSABILE EX ART. 83 PAR. 4 LETT.A FINO A 10 MILIONI DI EURO PER LE IMPRESE FINO AL 2% DEL FATTURATO MONDIALE ANNUO DELL ESERCIZIO PRECEDENTE, SE SUPERIORE

34 GLI OBBLIGHI PER LE P.A. 5. DATA BREACH IN CASO DI VIOLAZIONE DI DATI PERSONALI, IL TITOLARE DEL TRATTAMENTO NOTIFICA LA VIOLAZIONE ALL AUTORITÀ ENTRO 72 ORE DAL MOMENTO IN CUI NE È VENUTO A CONOSCENZA (ART. 33 GDPR)

35 SANZIONE PER INOSSERVANZA OBBLIGO NOTIFICA SANZIONE AMMINISTRATIVA PECUNIARIA AL TITOLARE O AL RESPONSABILE EX ART. 83 PAR. 4 LETT.A FINO A 10 MILIONI DI EURO PER LE IMPRESE FINO AL 2% DEL FATTURATO MONDIALE ANNUO DELL ESERCIZIO PRECEDENTE, SE SUPERIORE

36 COSA FARE ENTRO IL 25 MAGGIO NOMINARE IL RESPONSABILE DELLA PROTEZIONE DEI DATI TENERE IL REGISTRO DELLE ATTIVITA DI TRATTAMENTO FORMARE IL PERSONALE ED ISTRUIRE IL RESPONSABILE

37 E DOPO? REGOLARE I RAPPORTI CON I RESPONSABILI DEL TRATTAMENTO EFFETTUARE LA DPIA PER I TRATTAMENTI CHE PRESENTANO «RISCHI ELEVATI» REVISIONARE PROCESSI E PROCEDURE IN MODO CHE SIANO COMPLIANT

38 PIANO DI ADEGUAMENTO ASSESSMENT GAP ANALYSIS STRATEGIE IMPLEMENTAZIONE DEL PIANO DI ADEGUAMENTO

39 GRAZIE PER L ATTENZIONE Vignetta tratta da