28 Framework Nazionale per la Cybersecurity e la Data Protection In particolare, la priorità di ciascuna subcategory è definita su una scala a tre livelli (“Alta”, “Media”, “Bassa”), come da definizione del documento originale del Framework [3]. Inoltre, il prototipo GDPR impone il seguente vincolo sui livelli di priorità: “tutte le subcategory ‘Obbligatorie’ devono essere considerate a priorità ‘Alta’”. La loro implementazione dovrebbe risultare prioritaria indipendentemente dalla complessità. In Appendice A sono riportati i livelli di priorità per tutte le subcategory “Obbligatorie” e “Consigliate”. 3.3 Guida all’implementazione delle subcategory Nel paragrafo precedente abbiamo visto come il prototipo di contestualizzazione GDPR fornisca una sorta di “configurazione predefinita”, in termini di subcategory selezionate e livelli di priorità, che può essere modificata in fase di creazione della contestualizzazione adattandola allo specifico contesto. Abbiamo anche visto che esiste un insieme di subcategory, definite “Obbligatorie”, che devono essere selezionate in ogni contestualizzazione conforme al prototipo GDPR e la cui priorità deve essere “alta”. Questo paragrafo fornisce una guida all’implementazione di questo insieme minimo di subcategory, presenti in ogni contestualizzazione conforme al prototipo GDPR. La presente guida è organizzata nelle seguenti aree di indirizzo: 1. Ruoli e responsabilità 2. Registri delle attività di trattamento 3. Principi 4. Valutazione d’impatto sulla protezione dei dati personali 5. Informazioni all’interessato 6. Consenso dell’interessato 7. Diritti dell’interessato 8. Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali 9. Gestione incidenti che si configurano come violazioni di dati personali Per ciascuna area è definita una serie di controlli organizzati nelle subcategory del Framework. Per ogni controllo vengono riportati i riferimenti normativi al Regolamento. Ruoli e responsabilità Di questa area di indirizzo fanno parte i controlli che definiscono ruoli e responsabilità per le figure inerenti al trattamento e alla protezione dei dati personali. Nel contesto GDPR queste figure sono: • Il titolare del trattamento (ed eventuali contitolari) • Il responsabile del trattamento • Il rappresentante del titolare del trattamento e il rappresentante del responsabile del trattamento • Il responsabile della protezione dei dati In particolare, i primi due controlli richiedono che il titolare metta in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, la conformità al Regolamento dei trattamenti eseguiti sotto la sua responsabilità (DP-ID.AM-7-01) e che dette misure