36 Framework Nazionale per la Cybersecurity e la Data Protection dell’adeguatezza delle garanzie fornite dal paese terzo verso cui si vogliono trasferire dati personali qualora non vi sia stata decisione da parte della Commissione ai sensi dell’art. 45 par. 3. Il processo dovrà considerare gli elementi di valutazione forniti nell’art. 46 parr. 2 e 3. Qualora anche questi non siano sufficienti a prendere una decisione, si farà capo a quanto sancito nell’art. 49. FUNCTION CATEGORY IDENTIFY (ID) Data Management (DP-ID.DM) SUBCATEGORY DP-ID.DM-5: Sono definiti, implementati e documentati i processi di trasferimento dei dati in ambito internazionale. RIFERIMENTI CONTROLLI GDPR DP-ID.DM-5-01: È definito un processo per regolare il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali in conformità a quanto Art. 44 sancito nell'art. 44. DP-ID.DM-5-02: È definito un processo atto a verificare che sussistano le condizioni affinché un trasferimento di dati personali verso paesi terzi o organizzazioni internazionali sia ammesso, ai sensi dell'art. 45. Art. 45 DP-ID.DM-5-03: In mancanza di una decisione ai sensi dell'art. 45, par. 3, il titolare del trattamento o il responsabile del trattamento effettuano il trasferimento verso un paese terzo o organizzazione internazionale solo se sono in grado di fornire garanzie adeguate in conformità all'art. 46 parr. 2 e 3 oppure, in ultima analisi, qualora sussistano le specifiche condizioni, di cui all'art. 49. Artt. 46, 47 e 49 Gestione incidenti che si configurano come violazioni di dati personali In quest’area di indirizzo sono definiti controlli per la gestione, documentazione e comunicazione delle violazioni di dati personali. Il controllo DP-RS.CO-6-01 richiede di istituire un processo con cui il titolare del trattamento è in grado, a seguito di una violazione di dati personali, di notificare la violazione all’autorità di controllo competente, senza ingiustificato ritardo, ovvero entro 72 ore dal momento in cui ne è venuto a conoscenza. Per la comunicazione della violazione all’interessato del trattamento, in accordo a quanto richiesto dal controllo DP-RS.CO-6-02, occorre effettuare una valutazione del rischio per i diritti e le libertà delle persone fisiche al fine di valutare se esso sia o meno elevato e supportare quindi la decisione di comunicare o meno la violazione all’interessato. Il controllo DP-RS.CO-6-03 richiede al responsabile del trattamento di informare il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione di dati personali. Il controllo DP-RS.CO-6-04 richiede di documentare (ad esempio, in un registro) tutte le violazioni di dati personali, in particolare in merito alle circostanze, alle conseguenze per gli interessati ed alle azioni intraprese per porvi rimedio.