Guida alla Contestualizzazione per il GDPR specifico contesto del proprio settore, organizzazione o azienda. Questo lavoro di specializzazione si concretizza nella revisione ed eventuale modifica delle subcategory selezionate e dei livelli di priorità definiti dal prototipo, in base alle specificità del proprio contesto, nonché all’eventuale definizione dei livelli di maturità. 3.2.1 Selezione delle subcategory Al fine di agevolare il lavoro di selezione delle subcategory in fase di creazione di una contestualizzazione a partire dal prototipo GDPR, le subcategory del Framework sono state organizzate nelle tre classi: • Obbligatorie: fanno parte di questa classe tutte le subcategory che si ritiene debbano essere presenti in una contestualizzazione coerente con il prototipo GDPR. Non selezionare anche una sola di queste subcategory significherebbe trascurare un aspetto fondamentale del Regolamento. • Consigliate: fanno parte di questa classe quelle subcategory che si suggerisce fortemente di prendere in considerazione per l’implementazione di una contestualizzazione basata sul prototipo GDPR. In particolare, appartengono a questa classe tutte quelle subcategory che, pur non riuscendo a coprire in maniera completa aspetti fondamentali del Regolamento se considerate singolarmente, permettono, quando combinate opportunamente, di coprire quegli aspetti su cui la normativa lascia maggiore libertà in merito alle modalità di implementazione, quali, ad esempio, le misure tecniche e organizzative di cui all’art. 32 del Regolamento e la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 del Regolamento). D’altra parte, il termine usato per classificare tali subcategory non deve lasciar intendere che sia l’implementazione degli aspetti del Regolamento ad esse connessi ad essere “consigliata” e dunque in qualche misura “facoltativa” o “secondaria”. Al contrario, essi vanno implementati secondo le modalità che meglio si adattano al proprio contesto (purché conformi al Regolamento), selezionando coerentemente le subcategory “Consigliate” (ed eventualmente integrandole con ulteriori subcategory “Libere”, qualora necessario od opportuno per lo specifico contesto). • Libere: fanno parte di questa classe tutte le altre subcategory. Per queste subcategory non si hanno elementi che facciano propendere nettamente per la loro selezione. Del resto, non si deve pensare che la selezione di queste subcategory sia “sconsigliata”. Al contrario queste possono essere selezionate o meno in base alle specificità del proprio contesto. Le subcategory “Obbligatorie” vanno considerate selezionate in tutte le contestualizzazioni coerenti con il prototipo GDPR. Queste non sono deselezionabili. Le subcategory “Consigliate” vanno considerate come selezionate per impostazione predefinita. In fase di creazione della contestualizzazione quelle ritenute non adatte al proprio contesto possono essere deselezionate. Le subcategory della classe “Libere” vanno considerate non selezionate per impostazione predefinita. In fase di creazione della contestualizzazione possono essere selezionate quelle ritenute necessarie per lo specifico contesto. In Appendice A sono riportate tutte le subcategory del prototipo di contestualizzazione GDPR con indicazione della corrispondente classe. 3.2.2 Livelli di priorità Ferma restando la possibilità di ridefinire i livelli di priorità in fase di creazione della contestualizzazione per meglio adattarla alle specificità del proprio contesto, il prototipo GDPR specifica dei livelli di priorità “predefiniti” per tutte le subcategory “Obbligatorie” e “Consigliate”. 27