GDPR: Cosa devono fare le aziende in 5 passi per adeguarsi

Il Regolamento generale sulla protezione dei dati (GDPR) è entrato in vigore il 25 maggio 2018. Questa nuova normativa europea impone alle aziende di adeguarsi alla nuova legislazione in materia di privacy, garantendo un maggiore controllo da parte degli utenti. In questo articolo ti spieghiamo cosa devono fare le aziende per adeguarsi al GDPR e quali sono le principali novità introdotte dalla normativa.

Andiamo a scoprire insieme i 5 passi da seguire per le aziende per adeguarsi al GDPR. 

1. Quali sono i tuoi dati personali

La prima cosa da fare è capire quali sono i dati personali che raccogli e tratti. I dati personali sono informazioni relative a una persona fisica identificata o identificabile, come il nome, l’indirizzo, il numero di telefono o l’indirizzo email. I dati personali possono essere raccolti direttamente da una persona interessata, ad esempio quando si compila un modulo online o si invia un’email, oppure indirettamente, ad esempio tramite l’uso di cookie o altri strumenti di tracciamento.

Qualsiasi dato personale raccolto deve essere trattato nel rispetto della nuova normativa GDPR. Le aziende dovranno, quindi, fare i conti con la gestione dei dati personali e garantire che vengano trattati nel rispetto della nuova normativa.

In particolare, le aziende dovranno:

• Garantire la sicurezza e la riservatezza dei dati personali;
• Garantire che i dati personali siano trattati solo per gli scopi specificati e legittimi;
• Garantire che i dati personali siano accurati, completi e aggiornati;
• Garantire che i dati personali siano trattati in modo lecito, equo e trasparente;
• Garantire che i dati personali siano conservati per il periodo di tempo necessario a far fronte alle finalità per le quali sono stati raccolti e trattati;
• Garantire che i dati personali siano cancellati o resi anonimi in modo permanente quando non sono più necessari per le finalità per le quali sono stati raccolti e trattati.

Queste sono solo alcune delle principali novità introdotte dal GDPR che le aziende devono seguire.

2. Identificare il responsabile del trattamento dei dati personali

Le aziende dovranno designare un responsabile del trattamento dei dati personali, il cosiddetto DPO (Data Protection Officer), incaricato di garantire il rispetto della normativa GDPR.

Il DPO è una figura che le aziende sono tenute a nominare in base alla natura, all’ambito di applicazione e alle finalità del trattamento dei dati personali.

Le aziende dovranno garantire che il DPO sia un professionista competente e abbia gli strumenti necessari per svolgere il suo lavoro in modo efficace.

Il DPO potrà essere un dipendente dell’azienda o un professionista esterno all’azienda stessa. In ogni caso, dovrà garantire che i dati personali vengano trattati nel rispetto della normativa GDPR.

Le aziende dovranno garantire che il DPO sia facilmente accessible agli utenti e che sia in grado di fornire loro tutte le informazioni necessarie.

3. Elaborare una policy sulla privacy

Le aziende dovranno elaborare una policy sulla privacy, in cui verranno descritte le modalità di trattamento dei dati personali.

La policy sulla privacy dovrà essere redatta nel rispetto della normativa GDPR e dovrà garantire che i dati personali vengano trattati nel rispetto della normativa stessa.

In particolare, la policy sulla privacy dovrà garantire che:

• I dati personali vengano raccolti solo per gli scopi specificati e legittimi;
• I dati personali siano accurati, completi e aggiornati;
• I dati personali siano trattati in modo lecito, equo e trasparente;
• I dati personali siano conservati per il periodo di tempo necessario a far fronte alle finalità per le quali sono stati raccolti e trattati.

Le aziende dovranno garantire che la policy sulla privacy sia facilmente accessible agli utenti e che sia chiara e comprensibile.

4. Notificare l’Autorità Garante per la protezione dei dati personali

Le aziende dovranno notificare all’Autorità Garante per la protezione dei dati personali (AGPD) in caso di violazione della normativa GDPR.

La notifica è obbligatoria in caso di violazione dei dati personali, come ad esempio il furto o la divulgazione non autorizzata di dati personali. Le aziende dovranno garantire che la notifica sia effettuata entro 72 ore dalla constatazione della violazione. In caso contrario, le aziende saranno soggette a sanzioni pecuniarie.

La notifica deve essere effettuata agli utenti interessati dalla violazione, se la violazione è tale da mettere a rischio i diritti e le libertà degli utenti. In tal caso, gli utenti devono essere informati entro 72 ore dalla constatazione della violazione.

Le aziende dovranno garantire che tutti i dati personali vengano trattati nel rispetto della normativa GDPR. In caso contrario, le aziende saranno soggette a sanzioni pecuniarie.

5. Informativa e consenso al trattamento dei dati personali

Le aziende dovranno garantire che gli utenti interessati daltrattamento dei dati personali siano informati sulle finalità per le quali i loro dati vengono raccolti e trattati.

In particolare, le aziende dovranno garantire che:

• Gli utenti interessati vengano informati del fatto che hanno il diritto di ottenere l’accesso ai propri dati personali;
• Gli utenti interessati vengano informati del fatto che hanno il diritto di chiedere la rettifica o la cancellazione dei propri dati personali;
• Gli utenti interessati vengano informati del fatto che hanno il diritto di opporsi al trattamento dei propri dati personali.

Le aziende dovranno garantire che gli utenti interessati abbiano la possibilità di esercitare i propri diritti.

Ottieni una consulenza gratuita su GDPR e Privacy

Abbiamo dunque visto che per conformarsi al GDPR, ci sono cinque passaggi principali che le aziende devono intraprendere. Il primo passo è capire quali dati sono personali e identificare la persona o l’entità responsabile del trattamento di tali dati. Una volta che hai una policy, devi darne comunicazione al Garante per la Protezione dei Dati Personali (il “Garante”). 

È inoltre necessario fornire informazioni chiare e concise sui dati raccolti e su come verranno utilizzati, nonché ottenere il consenso delle persone prima di raccogliere i loro dati. Se la tua azienda ha bisogno di aiuto per conformarsi al GDPR, è necessario rivolgersi a consulenti professionisti in materia di GDPR e privacy.