Guida alla Contestualizzazione per il GDPR Il Registro delle attività di trattamento è un importante strumento che consente al titolare di disporre un quadro sempre aggiornato dei trattamenti all’interno dell’organizzazione ai fini della corretta gestione dei dati personali. In particolare, per ciascuna attività di trattamento, devono essere riportate in tale registro le tipologie di dati, le misure tecniche e organizzative adottate, le categorie di interessati, le finalità del trattamento e le basi giuridiche. d. Sicurezza del trattamento L’accountability e l’approccio basato sul rischio impongono che ci sia da parte del titolare l’adozione di adeguate misure di sicurezza, tecniche e organizzative, per la protezione dei dati personali, tenuto conto dei costi di attuazione e dei rischi per i diritti e le libertà degli interessati. Il Regolamento all’art. 32 suggerisce, a titolo esemplificativo, gli elementi da considerare al fine di garantire la sicurezza dei dati personali. Tra questi vengono individuati: la cifratura e la pseudonimizzazione; la capacità di assicurare permanentemente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; la capacità di ripristinare la disponibilità e l’accesso dei dati personali in caso di incidente; una procedura per testare e verificare l’efficacia delle misure tecniche e organizzative. e. Notifica dei data breach La violazione dei dati personali comporta, qualora la stessa presenti un rischio per i diritti e le libertà dell’interessato, l’obbligo in capo al titolare di notifica all’Autorità entro delle tempistiche prestabilite (72 ore dal momento in cui ne viene a conoscenza). Inoltre, in alcuni casi di particolare gravità in relazione ai rischi per i diritti e le libertà dell’interessato, la comunicazione deve essere fatta anche nei confronti dell’interessato in modo tale da permettere a quest’ultimo di proteggersi da eventuali conseguenze negative della violazione. I contenuti della notifica all’Autorità e della comunicazione agli interessati sono indicati agli artt. 33 e 34. Ruoli e responsabilità (DPO, Titolare, Responsabile) Il Regolamento prevede i seguenti ruoli e responsabilità in materia di data protection. f. Titolare del trattamento Il titolare è la persona fisica/giuridica (anche enti e autorità pubbliche) che determina le finalità e i mezzi del trattamento di dati personali. Tali operazioni possono essere svolte mediante l’ausilio di altri soggetti, sia interni (persona autorizzata al trattamento) che esterni (responsabile del trattamento). Il titolare deve garantire la protezione dei dati personali mediante l’adozione di adeguate misure di sicurezza tecniche ed organizzative nonché impartire opportune istruzioni a chiunque agisca sotto la sua responsabilità. Inoltre, in ossequio al principio di accountability, deve essere in grado di dimostrare che il trattamento sia effettuato conformemente alle disposizioni del Regolamento. g. Responsabile del trattamento Il responsabile è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali “per conto” del titolare del trattamento. Il responsabile deve presentare garanzie sufficienti rispetto alle misure tecniche e organizzative implementate e, rispetto alle attività di sua competenza, effettua attività di trattamento per le sole finalità indicate dal titolare. h. Data Protection Officer (DPO) La figura del responsabile della protezione dei dati (DPO, Data Protection Officer), per quanto non rappresenti una novità nello scenario europeo, costituisce un importante elemento innovativo nel panorama normativo nazionale. Si tratta di un soggetto (persona fisica/giuridica) che deve essere designato, qualora ne ricorrano i presupposti. Il DPO deve essere scelto sulla 25