24 Framework Nazionale per la Cybersecurity e la Data Protection 3 Guida alla Contestualizzazione per il GDPR Questa sezione descrive come il Framework può essere contestualizzato per cogliere gli elementi fondamentali del Regolamento; in questo modo le organizzazioni potranno utilizzare il Framework come strumento di supporto alla pianificazione delle attività necessarie per adeguarsi alla normativa e di successivo monitoraggio per la corretta implementazione e gestione delle stesse. A questo scopo viene qui introdotto un prototipo di contestualizzazione che recepisce gli elementi fondamentali del GDPR. 3.1 Elementi introduttivi La presente sezione ha l’obiettivo di inquadrare le principali novità introdotte dal Regolamento. Tali elementi sono recepiti all’interno del Framework attraverso la revisione del core proposta attraverso questo documento. Di seguito vengono analizzati gli elementi di novità del Regolamento. Accountability e approccio basato sul rischio L’accountability (“responsabilizzazione”) è uno dei principi cardine del GDPR e riguarda tutti quei soggetti (titolari e responsabili) che effettuano trattamenti di dati personali. In ossequio a tale principio, il titolare del trattamento deve, da un lato, attuare le disposizioni del Regolamento e, dall’altro, essere in grado di comprovare la conformità dei trattamenti al medesimo Regolamento. Nell’ottemperare a tali aspetti, titolari e responsabili devono adottare un approccio basato sul rischio, ovvero devono considerare i rischi che potrebbero configurarsi per i diritti e le libertà degli interessati in relazione alle attività di trattamento. A tale scopo si sottolineano in particolare, senza pretesa di esaustività, i seguenti elementi: data protection by design e by default (art. 25); valutazione d’impatto sulla protezione dei dati personali (art. 35); registro delle attività di trattamento (art. 30); sicurezza del trattamento (art. 32); notifica dei data breach (artt. 33-34). a. Data protection by design e by default Tali principi, di carattere innovativo, mirano a determinare un processo di protezione dei dati che tenga in considerazione tutto il ciclo di vita del trattamento e in particolare le sue fasi prodromiche. Infatti, la data protection by design implica che le misure tecniche e organizzative adottate dal titolare del trattamento siano, fin dall’inizio, coerenti con i vincoli normativi e con le finalità del trattamento nonché adeguate rispetto ai rischi per i diritti e le libertà degli interessati. La data protection by default, invece, riguarda il fatto che, per impostazione predefinita, siano trattati solo dati personali necessari per ogni specifica finalità con particolare riferimento alle misure tecniche e organizzative in grado di garantire l’adeguatezza della portata del trattamento, del periodo di conservazione e della quantità di dati personali raccolti, nonché l’accessibilità ai dati medesimi. b. Valutazione di impatto sulla protezione dei dati personali (DPIA) Ancor prima di procedere al trattamento, il titolare può e, a certe condizioni, deve compiere una valutazione di impatto sulla protezione dei dati personali (Data Protection Impact Assessment, DPIA). Le casistiche per le quali è necessario procedere in tal senso sono individuate, oltre che dal Regolamento, dalle Linee Guida elaborate dal WP Art. 29 (WP248). Si tratta, in sintesi, di una analisi dei rischi per i diritti e le libertà degli interessati sulla base della quale è possibile determinare probabilità, minacce, impatti e misure di sicurezza in grado di mitigare il rischio rilevato. c. Registro delle attività di trattamento