Autovalutazione della conformità normativa al GDPR

Dovresti pianificare un controllo delle informazioni in tutta l'azienda o all'interno di particolari aree organizzative. Questa attività potrebbe essere attuata da qualcuno che possiede una conoscenza approfondita delle tue pratiche di lavoro.

Il controllo delle informazioni comporterà la corretta identificazione dei dati trattati e il modo in cui entrano, fluiscono o escono dall'azienda.

Ricorda che un flusso di informazioni può anche essere un trasferimento di dati da una posizione a un'altra. Ad esempio, le informazioni potrebbero rimanere all'interno della tua attività ma il loro spostamento da un ufficio ad un altro fuori sede costituisce un flusso di informazioni.

Dopo aver completato il controllo delle informazioni in tuo possesso dovresti essere in grado di identificare eventuali rischi.

Dopo aver completato il controllo delle informazioni è necessario documentare i risultati, ad esempio in un registro delle attività di trattamento.

Questo ti aiuterà anche a rispettare il principio di responsabilizzazione del GDPR. Ciò richiede che la tua azienda sia in grado di dimostrare come rispetta i principi del GDPR, ad esempio disponendo di procedure e linee guida efficaci per il personale.

Nel registro dovresti tenere traccia almeno delle seguenti informazioni:

• il nome e i dettagli della tua attività, il tuo rappresentante (se necessario, perché sei stabilito fuori dalla UE) e il responsabile della protezione dei dati
• l'elenco dei trattamenti effettuati e l'indicazione per ciascuno di essi del responsabile del trattamento che hai designato
• informazioni dettagliate sui trasferimenti verso paesi terzi, compresa la documentazione relativa a eventuali misure di salvaguardia adottate
• ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative

Se hai meno di 250 dipendenti, è necessario che tu mantenga tale registro per le attività di trattamento che:

• non sono occasionali
• potrebbero comportare un rischio per i diritti e le libertà degli interessati
• comportano il trattamento di categorie particolari di dati personali o relativi a condanne penali e reati

È possibile che ti venga richiesto di esibire il registro delle attività di trattamento da parte del Garante per la protezione dei dati personali.