Guida alla Contestualizzazione per il GDPR • • le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento; indicazione di eventuali trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali; • una descrizione generale delle misure di sicurezza tecniche e organizzative messe in atto per garantire la sicurezza del trattamento (art. 32, par. 1 del Regolamento). Il controllo DP-ID.AM-8-01 trova collocazione all’interno del Framework nella subcategory DPID.AM-8 che prevede l’identificazione e catalogazione dei trattamenti di dati personali. FUNCTION CATEGORY IDENTIFY (ID) Asset Management (ID.AM) SUBCATEGORY DP-ID.AM-8: I trattamenti di dati personali sono identificati e catalogati. CONTROLLI RIFERIMENTI GDPR DP-ID.AM-8-01: Il titolare del trattamento e il responsabile del trattamento tengono, in forma scritta (anche in formato elettronico), un registro delle attività di trattamento svolte. Art. 30(1-3) Principi Quest’area di indirizzo riguarda i principi applicabili al trattamento dei dati personali previsti dal Regolamento e comprende due controlli. Il controllo ID.GV-3-01 prevede che vengano definiti e gestiti processi che permettano di garantire che i trattamenti di dati personali rispettino i principi del Regolamento (vedi art. 5). Il controllo ID.GV-3-02 richiede che il titolare sia anche in grado di dimostrare il rispetto dei principi e la conformità dei trattamenti al Regolamento (accountability). Questi controlli di sicurezza si mappano nella subcategory ID.GV-3 relativa alla comprensione e gestione dei requisiti legali. FUNCTION CATEGORY IDENTIFY (ID) Governance (ID.GV) SUBCATEGORY ID.GV-3: I requisiti legali in materia di cybersecurity, con l'inclusione degli obblighi riguardanti la privacy e le libertà civili, sono compresi e gestiti. CONTROLLI ID.GV-3-01: Sono definiti e gestiti processi volti a garantire che i trattamenti di dati personali rispettino i principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza (art. 5). ID.GV-3-02: Il titolare del trattamento è in grado di dimostrare il rispetto dei principi di cui al controllo ID.GV-3-01 e la conformità delle attività di trattamento con il Regolamento (accountability). RIFERIMENTI GDPR Art. 5(1) Art. 5(2) Valutazione d’impatto sulla protezione dei dati personali In quest’area di indirizzo vengono proposti una serie di controlli legati alla valutazione d’impatto sulla protezione dei dati personali. Il controllo DP-ID.RA-7-01 specifica che la valutazione d’impatto debba essere eseguita ogni qual volta un tipo di trattamento di dati personali 31