DATA PROTECTION e CONDOMINIO. L evoluzione della Privacy nel Condominio con l arrivo del Regolamento Europeo GDPR 679/2016

Transcript

1 DATA PROTECTION e CONDOMINIO L evoluzione della Privacy nel Condominio con l arrivo del Regolamento Europeo GDPR 679/2016

2 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

3 G.D.P.R. 679/2016 General Data Protection Regulation Scopo: dare ai cittadini residenti in EU più controllo sui propri dati Definisce: Cosa sono i Dati Personali Come gestire i Dati Personali Ruoli e responsabilità Sanzioni

4 G.D.P.R. 679/2016 General Data Protection Regulation 1. Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati. 2. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali. 3. La libera circolazione dei dati personali nell Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.

5 G.D.P.R. 679/2016 General Data Protection Regulation Ambito di Applicazione Materiale (art.2) Il presente regolamento si a p p l i c a a l t r a t t a m e n t o interamente o parzialmente automatizzato di dati personali e a l t r a t t a m e n t o n o n automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. Territoriale (art.3) Il presente regolamento si applica al trattamento dei dati personali effettuato nell ambito d e l l e a t t i v i t à d i u n o stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell U.E., indipendentemente dal fatto che il trattamento sia effettuato o meno nell Unione.

6 2012 elabora la proposta di legge 2015 accordo con il Parlamento 2016 adozione del Regolamento 2014 accordo con il Consiglio 2018 entrata in vigore del Regolamento!!!

7 GDPR UE 679/2016 D. Lgs. 196/2003 Direttiva EU 95/46/CE Provvedimenti Autorità Garante Accordi Internazionali Trasferimento Dati Non decadono finché non saranno stati modificati, sostituiti o abrogati

8 STRUTTURA DEL GDPR 11 Capi - 99 Articoli Trasferimento Dati CAPO V 7 articoli Diritti Interessato CAPO III 12 articoli Responsabilità Sanzioni CAPO VIII 8 articoli Titolare Responsabile CAPO IV 20 articoli Disposizioni Finali CAPO XI 6 articoli Principi ATTI CAPO X 2 articoli Disposizioni Casi Particolari CAPO IX 7 articoli Cooperazione Coerenza CAPO VII 17 articoli Autorità di Controllo CAPO VI 7 articoli CAPO II 7 articoli ATTUAZIONE GOVERNANCE Disposizioni Generali CAPO I 4 articoli

9 il GDPR e le Norme ISO ISO Data Protection e Cloud ISO Gestione delle Informazioni ISO Gestione del Rischio ISO Linee guida DPIA ISO Linee guida AUDIT ISO Tecnologia delle informazioni ISO Continuità operativa ISO Piani di campionamento ISO Qualità dei Dati ISO 9001

10 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

11 Chi Cosa??? Come Perché

12 Chi lo deve rispettare??? AZIENDE CONDOMINI UFFICI PUBBLICI PROFESSIONISTI SCUOLE SOCIETA SPORTIVE

13 Cosa bisogna fare??? Informativa (Artt UE GDPR 679/2016) Registro dei Trattamenti (Art. 30 UE GDPR 679/2016) Analisi dei Rischi Data Protection Impact Assessment (DPIA) (Art.35 UE GDPR 679) Nomine e Formazione personale autorizzato Nomina D.P.O.

14 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

15 «titolare del trattamento»: la persona fisica o giuridica, l autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell Unione o degli Stati membri; (C74) È opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.

16 TITOLARE DEL TRATTAMENTO E il soggetto (persona fisica o giuridica, autorità pubblica, servizio o altro organismo) che determina FINALITA E MEZZI di un trattamento di dati personali Come? mette in atto le misure tecniche ed organizzative adeguate a garantire che il trattamento sia conforme al Regolamento (art.24 comma 1) definisce le politiche adeguate in materia di protezione di dati (art.24 comma 2)

17 RESPONSABILE DEL TRATTAMENTO E il soggetto (persona fisica o giuridica, autorità pubblica, servizio o altro organismo) che tratta i dati PER CONTO DEL TITOLARE Deve pertanto presentare GARANZIE SUFFICIENTI in termini di: esperienza, capacità, conoscenza specialistica ed affidabilità per mettere in atto le misure tecniche ed organizzative adeguate

18 AUTORIZZATE AL TRATTAMENTO Pur non prevedendo espressamente la figura dell incaricato del trattamento (ex art. 30 Codice), il regolamento non ne esclude la presenza in quanto fa riferimento a persone autorizzate al trattamento dei dati personali sotto l autorità diretta del titolare o del responsabile (si veda, in particolare, art. 4, n. 10, del regolamento). Devono essere impartite tutte le istruzioni da parte del titolare del trattamento e deve esser fatta la necessaria formazione

19 . e quindi??????

20 CO - TITOLARE RESPONSABILE PERCHE SI PERCHE SI PERCHE NO PERCHE NO

21 CO - TITOLARE RESPONSABILE PERCHE SI determina i mezzi del trattamento mette in atto le misure tecniche ed organizzative adeguate a garantire che il trattamento sia conforme al Regolamento (art.24 comma 1) definisce le politiche adeguate in materia di protezione di dati (art.24 comma 2) impartisce le istruzioni alle persone autorizzate al Trattamento PERCHE SI è il soggetto che tratta i dati per nome e per conto del Titolare deve essere espressamente nominato dal Titolare. deve presentare GARANZIE SUFFICIENTI in termini di: esperienza, capacità, conoscenza specialistica ed affidabilità per mettere in atto le misure tecniche ed organizzative adeguate il soggetto che tratta i dati per nome e per conto del Titolare. PERCHE NO PERCHE NO

22 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

23 Informativa Artt UE GDPR 679/2016 Contiene le informazioni che il titolare del trattamento deve fornire all interessato per chiarire, in particolare, se quest ultimo è obbligato o meno a rilasciare i dati, quali sono gli scopi e le modalità del trattamento, come circolano i dati e in che modo esercitare i diritti riconosciuti dalla legge. Finalità Modalita Soggetti Comunicazione Diritti Natura

24 Informativa sul Trattamento dei Dati Personali Gentile condomino, Spettabile fornitore, il condominio «DENOMINAZIONE_CONDOMINIO», con sede legale in «CITTA_CONDOMINIO», «INDIRIZZO_CONDOMINIO», in qualità di titolare del trattamento, degli artt. 13 e 14 del Regolamento UE n. 2016/679 (in seguito, GDPR ), La informa che i Tuoi dati saranno trattati con le modalità e per le finalità seguenti: 1- Oggetto del Trattamento Il Titolare tratta i dati personali, identificativi e di recapito quali nome, cognome, codice fiscale, p. iva, , indirizzo, numero telefonico, da Lei forniti, acquisiti dalla precedente amministrazione o recuperati così come previsto dalla Legge 220/2012. Il Titolare in caso di trattamento di Dati particolari provvederà alla richiesta del consenso scritto così come definito dall art. 7 del GDPR.

25 Informativa sul Trattamento dei Dati Personali Gentile condomino, Spettabile fornitore, il condominio «DENOMINAZIONE_CONDOMINIO», con sede legale in «CITTA_CONDOMINIO», «INDIRIZZO_CONDOMINIO», in qualità di titolare del trattamento, degli artt. 13 e 14 del Regolamento UE n. 2016/679 (in seguito, GDPR ), La informa che i Tuoi dati saranno trattati con le modalità e per le finalità seguenti: 1- Oggetto del Trattamento Il Titolare tratta i dati personali, identificativi e di recapito quali nome, cognome, codice fiscale, p. iva, , indirizzo, numero telefonico, da Lei forniti, acquisiti dalla precedente amministrazione o recuperati così come previsto dalla Legge 220/2012. Il Titolare in caso di trattamento di Dati particolari provvederà alla richiesta del consenso scritto così come definito dall art. 7 del GDPR. 2- Finalità del Trattamento I Vostri dati personali sono trattati senza il Vostro consenso espresso (art. 6 lett. b), e) GDPR), alle Finalità connesse alla gestione amministrativa e contabile del Condominio. 3- Natura del conferimento dei dati e conseguenze del rifiuto di rispondere Il conferimento dei dati personali per le finalità di cui all art. 2 è strettamente necessario, in quanto il mancato o non corretto conferimento rende impossibile il trattamento inerente le suddette finalità.

26 Informativa sul Trattamento dei Dati Personali Gentile condomino, Spettabile fornitore, il condominio «DENOMINAZIONE_CONDOMINIO», con sede legale in «CITTA_CONDOMINIO», «INDIRIZZO_CONDOMINIO», in qualità di titolare del trattamento, degli artt. 13 e 14 del Regolamento UE n. 2016/679 (in seguito, GDPR ), La informa che i Tuoi dati saranno trattati con le modalità e per le finalità seguenti: 1- Oggetto del Trattamento Il Titolare tratta i dati personali, identificativi e di recapito quali nome, cognome, codice fiscale, p. iva, , indirizzo, numero telefonico, da Lei forniti, acquisiti dalla precedente amministrazione o recuperati così come previsto dalla Legge 220/2012. Il Titolare in caso di trattamento di Dati particolari provvederà alla richiesta del consenso scritto così come definito dall art. 7 del GDPR. 2- Finalità del Trattamento I Vostri dati personali sono trattati senza il Vostro consenso espresso (art. 6 lett. b), e) GDPR), alle Finalità connesse alla gestione amministrativa e contabile del Condominio. 3- Natura del conferimento dei dati e conseguenze del rifiuto di rispondere Il conferimento dei dati personali per le finalità di cui all art. 2 è strettamente necessario, in quanto il mancato o non corretto conferimento rende impossibile il trattamento inerente le suddette finalità. 4- Modalità del Trattamento Il trattamento dei Vostri dati personali è realizzato per mezzo delle operazioni indicate all art. 4 n. 2) GDPR e precisamente: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, cancellazione e distruzione dei dati. I Vostri dati personali sono sottoposti a trattamento sia cartaceo che elettronico e/o automatizzato. Il Titolare tratterà i dati personali per il tempo necessario per adempiere alle finalità di cui sopra e comunque per non oltre 10 anni dalla cessazione del rapporto per le Finalità di Servizio.

27 Informativa sul Trattamento dei Dati Personali Gentile condomino, Spettabile fornitore, il condominio «DENOMINAZIONE_CONDOMINIO», con sede legale in «CITTA_CONDOMINIO», «INDIRIZZO_CONDOMINIO», in qualità di titolare del trattamento, degli artt. 13 e 14 del Regolamento UE n. 2016/679 (in seguito, GDPR ), La informa che i Tuoi dati saranno trattati con le modalità e per le finalità seguenti: 1- Oggetto del Trattamento Il Titolare tratta i dati personali, identificativi e di recapito quali nome, cognome, codice fiscale, p. iva, , indirizzo, numero telefonico, da Lei forniti, acquisiti dalla precedente amministrazione o recuperati così come previsto dalla Legge 220/2012. Il Titolare in caso di trattamento di Dati particolari provvederà alla richiesta del consenso scritto così come definito dall art. 7 del GDPR. 2- Finalità del Trattamento I Vostri dati personali sono trattati senza il Vostro consenso espresso (art. 6 lett. b), e) GDPR), alle Finalità connesse alla gestione amministrativa e contabile del Condominio. 3- Natura del conferimento dei dati e conseguenze del rifiuto di rispondere Il conferimento dei dati personali per le finalità di cui all art. 2 è strettamente necessario, in quanto il mancato o non corretto conferimento rende impossibile il trattamento inerente le suddette finalità. 4- Modalità del Trattamento Il trattamento dei Vostri dati personali è realizzato per mezzo delle operazioni indicate all art. 4 n. 2) GDPR e precisamente: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, cancellazione e distruzione dei dati. I Vostri dati personali sono sottoposti a trattamento sia cartaceo che elettronico e/o automatizzato. Il Titolare tratterà i dati personali per il tempo necessario per adempiere alle finalità di cui sopra e comunque per non oltre 10 anni dalla cessazione del rapporto per le Finalità di Servizio. 5- Comunicazione dei dati Senza il Vostro espresso consenso (ex art. 6 lett. b) e c) GDPR), il Titolare potrà comunicare i Vostri dati per le finalità di cui all art. 2.) agli enti e organismi di controllo oltre che alla magistratura, su richiesta della stessa, agli enti assicurativi; alla Banca presso la quale è intrattenuto il rapporto di conto corrente; agli studi legali presso i quali saranno domiciliate le pratiche di morosità e/o controversie legate alla gestione condominiale; ai fornitori del condominio cosi come previsto dall' Art. 63 delle disposizioni di attuazione del codice civile. I dati non saranno mai oggetto di diffusione.

28 6- Accesso ai dati I Suoi dati potranno essere resi accessibili per le finalità di cui all art. 2: - a dipendenti e collaboratori dello Studio «DENOMINAZIONE_STUDIO», nella loro qualità di incaricati e/o responsabili interni del trattamento e/o amministratori di sistema; - società e professionisti che svolgono attività in outsourcing per conto del Titolare, nella loro qualità di responsabili esterni del trattamento. 7- Sicurezza I dati vengono custoditi e controllati mediante adozione di idonee misure preventive di sicurezza, volte a ridurre al minimo i rischi di perdita e distruzione, di accesso non autorizzato, di trattamento non consentito e difforme dalle finalità per cui il trattamento viene effettuato. Per approfondimenti, presso lo studio dell amministratore è disponibile e consultabile il Sistema Integrato gestione Privacy contenente analisi dei rischi, procedure e lettere di nomina ai Responsabili e agli incaricati.

29 8- Trasferimento dati La gestione e la conservazione dei dati personali avverrà in Europa. 9- Diritti dell interessato Nella Sua qualità di interessato, ha il diritto di cui art. 15 GDPR e precisamente i diritti di: i. ottenere la conferma dell'esistenza o meno di dati personali che Ti riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile; ii. ottenere l'indicazione: a) dell'origine dei dati personali; b) delle finalità e modalità del trattamento; c) della logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici; d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell' art. 3, comma 1, GDPR; e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati; iii. ottenere: a) l'aggiornamento, la rettificazione ovvero, quando vi hai interesse, l'integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; c) l'attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato; iv. opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che Ti riguardano, ancorché pertinenti allo scopo della raccolta; b) al trattamento di dati personali che Ti riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l uso di sistemi automatizzati di chiamata senza l intervento di un operatore mediante e/o mediante modalità di marketing tradizionali mediante telefono e/o posta cartacea. Si fa presente che il diritto di opposizione dell interessato, esposto al precedente punto b), per finalità di marketing diretto mediante modalità automatizzate si estende a quelle tradizionali e che comunque resta salva la possibilità per l interessato di esercitare il diritto di opposizione anche solo in parte. Pertanto, l interessato può decidere di ricevere solo comunicazioni mediante modalità tradizionali ovvero solo comunicazioni automatizzate oppure nessuna delle due tipologie di comunicazione. Ove applicabili, hai altresì i diritti di cui agli artt GDPR (Diritto di rettifica, diritto all oblio, diritto di limitazione di trattamento, diritto alla portabilità dei dati, diritto di opposizione), nonché il diritto di reclamo all Autorità Garante. 10. Modalità di esercizio dei diritti Potrà in qualsiasi momento esercitare i diritti inviando: via , all'indirizzo «PEC», oppure via posta A.R., a: Amministrazione Condominio «DENOMINAZIONE_CONDOMINIO» c/o «DENOMINAZIONE_STUDIO» «INDIRIZZO_STUDIO» «CAP_STUDIO» - «CITTA_STUDIO» 11. Titolare, responsabile e incaricati Il Titolare del trattamento è CONDOMINIO «DENOMINAZIONE_CONDOMINIO» L elenco aggiornato dei responsabili e degli incaricati al trattamento è custodito ed è consultabile presso lo Studio dell amministratore.

30 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

31 Registro dei trattamenti Art. 30 UE GDPR 679/2016 Deve contenere: a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali;

32 Registro dei trattamenti Art. 30 UE GDPR 679/2016 Deve contenere: d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali; e) ove applicabile, i trasferimenti di dati personali verso un paese terzo; f) i termini ultimi previsti per la cancellazione delle diverse categorie di dati; g) una descrizione generale delle misure di sicurezza tecniche e organizzative;

33

34

35

36

37

38 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

39 Analisi dei rischi

40 quali sono i rischi sui dati???

41 quali sono i rischi sui dati??? DISTRUZIONE MODIFICA PERDITA ACCESSO NON AUTORIZZATO

42 e le minacce???

43 e le minacce??? Eventi distruttivi, naturali o artificiali, dolosi, accidentali o dovuti ad incuria Errore materiale Spamming o altre tecniche di sabotaggio Malfunzionamento, indisponibilità o degrado degli strumenti Carenza di consapevolezza, disattenzione o incuria Intercettazione di informazioni in rete Ingresso non controllato non autorizzato ai locali Accessi esterni non autorizzati Guasto ai sistemi complementari Sottrazione di strumenti contenenti dati Furto di credenziali di autenticazione Errori umani nella gestione della sicurezza fisica Azione di Virus informatici Comportamenti sleali o fraudolenti

44 MINACCIA VULNERABILITA DANNO CONTROMISURE Ingresso non controllato non autorizzato ai locali Accessi non controllati Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Sottrazione di strumenti contenenti dati Accessi non controllati Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Asportazione o alterazione delle informazioni Eventi distruttivi, naturali o artificiali, dolosi, accidentali o dovuti ad incuria Controllo accessi Vigilanza esterna Sistemi di allarme anti intrusione Sistema videosorveglianza Controllo accessi Vigilanza esterna Sistemi di allarme anti intrusione Sistema videosorveglianza Personale non formato Perdita totale o parziale dei dati Formazione del personale Piano di Disaster recovery Guasto ai sistemi complementari Personale non formato Perdita totale o parziale dei dati Formazione del personale Piano di Disaster recovery Errori umani nella gestione della sicurezza fisica Personale non formato Perdita totale o parziale dei dati Formazione del personale Azione di Virus informatici Antivirus non aggiornato Comportamenti scorretti Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Formazione del personale Aggiornamento software antivirus Spamming o altre tecniche di sabotaggio Antivirus non aggiornato Comportamenti scorretti Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Formazione del personale Aggiornamento software antivirus Malfunzionamento, indisponibilità o degrado degli strumenti Strumenti non conformi Imp elettrico non a norma Perdita totale o parziale dei dati Perdita dell integrità del DATA BASE Blocco operativo Accessi esterni non autorizzati Accessi non controllati Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Intercettazione di informazioni in rete Accessi non controllati Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Adeguamento parco macchine Aggiornamento Sistemi Operativo Istruzioni di Back Up Firewall Aggiornamento software antivirus Firewall Furto di credenziali di autenticazione Personale non formato Strumenti non conformi Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Formazione del personale Adeguamento parco macchine Aggiornamento Sistemi Operativo Procedura per custodia delle PSW Carenza di consapevolezza, disattenzione o incuria Personale non formato Accesso o trattamento non autorizzato Formazione del personale Consegna mansionario Comportamenti sleali o fraudolenti Accesso indesiderato agli strumenti Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Formazione del personale Consegna mansionario Errore materiale Personale non formato Strumenti non conformi Software non certificato Assenza di Backup Perdita totale o parziale dei dati Accesso o trattamento non autorizzato Formazione del personale Consegna mansionario

45 Data Protection Impact Assessment Art. 35 UE GDPR 679/2016

46 è che un processo volto a descrivere un trattamento di dati personali, valutarne la necessità e la proporzionalità, nonché gestirne gli eventuali rischi per i diritti e le libertà delle persone fisiche da esso derivanti, effettuando una valutazione del livello del rischio e determinando le misure idonee a mitigarlo. Il DPIA va inquadrato come uno strumento essenziale e fondamentale per tutti i titolari e responsabili del trattamento al fine di dar corso al nuovo approccio alla protezione dei dati personali voluto dal legislatore comunitario e fortemente basato sul principio della responsabilizzazione (cd. accountability principle).

47 Un processo di DPIA può riguardare una singola operazione di trattamento dei dati. Tuttavia, si potrebbe ricorrere a un singolo DPIA anche nel caso di trattamenti multipli simili tra loro in termini di natura, ambito di applicazione, contesto, finalità e rischi. Ciò potrebbe essere il caso in cui si utilizzi una tecnologia simile per raccogliere la stessa tipologia di dati per le medesime finalità. Oppure, un singolo DPIA potrebbe essere applicabile anche a trattamenti simili attuati da diversi titolari del trattamento dei dati. In questi casi, è necessario condividere o rendere pubblicamente accessibile un DPIA di riferimento, attuare le misure descritte nello stesso, e fornire una giustificazione per la realizzazione di un unico DPIA.

48 COSA E IL G.D.P.R. Storia - Finalità - Struttura GLI ADEMPIMENTI Chi - Cosa - Come - Perché CHI LO DEVE RISPETTARE Gli adempimenti - Soggetti & Nomine COME RISPETTARLO Gli adempimenti - Informativa al Trattamento COME RISPETTARLO Gli adempimenti - Registro del Trattamento COME RISPETTARLO Gli adempimenti - Analisi del rischio - D.P.I.A. PERCHE RISPETTARLO

49 . dato personale come opportunità.

50 . oppure. adempimenti sanzioni amministrativa entità penale entità Consenso no no Informativa Art. 161: omessa o inidonea informativa si da a no Misure minime di Sicurezza Art. 169: omissione misure minime di sicurezza si da a si arresto sino a due anni

51 question time

52 Alessandro A. Orlandi Data Protection Auditor ISDP Valutatore Privacy UNI 11697:2017 (reg. n.0010)