Formazione GDPR

Sei alla tua scrivania. Davanti a te, sullo schermo, c'è un elenco di clienti. Sul cellulare vedi un'e-mail che stai per inviare. In sottofondo parli con un collega di un caso attuale. È la normale routine lavorativa. Ed è proprio per questo che è facile trascurarlo. In ognuno di questi momenti, stai lavorando con dati personali. Sono dati su persone, clienti, collaboratori, referenti, persone che si fidano di noi. E protezione dei dati significa che noi trattiamo questi dati in modo che rimangano protetti. Non solo l'ufficio legale, non solo il responsabile della protezione dei dati, ma tutti noi. L'articolo 4, punto 1, del GDPR stabilisce che i dati personali sono qualsiasi informazione riguardante una persona fisica identificata o identificabile. In parole povere, non appena una persona può essere identificata, direttamente o indirettamente, si tratta di dati personali. Non è solo il nome. È anche un numero di telefono, un indirizzo e-mail, un numero cliente, un numero di contratto, un appunto di una conversazione, una foto o un'informazione che, insieme ad altri dati, permette di capire di chi si tratta.

L'articolo 5 del GDPR elenca diversi principi, ad esempio liceità, limitazione della finalità, minimizzazione dei dati e riservatezza. Per la vita di tutti i giorni, questo significa che utilizziamo i dati personali solo quando ci è consentito, solo per lo scopo previsto, solo nella misura necessaria e solo in modo che persone non autorizzate non possano accedervi. Sembra astratto. Ma nella vita di tutti i giorni si manifesta in situazioni molto semplici. La prima situazione: il destinatario sbagliato. Stai scrivendo un'e-mail. Il programma suggerisce automaticamente un indirizzo. Fai clic velocemente e improvvisamente i dati personali finiscono a qualcuno che non avrebbe dovuto riceverli. Questa può essere una violazione della protezione dei dati personali ai sensi dell'articolo 4, punto 12, del GDPR, ad esempio, una divulgazione non autorizzata. Perciò, la regola è: prima di inviare, fermati, controlla il destinatario, controlla gli allegati, controlla il contenuto.

Questi due secondi possono prevenire un incidente di protezione dei dati. La seconda situazione: il posto sbagliato. I dati personali devono trovarsi nei sistemi approvati dall'azienda. Non su chiavette USB private. Non in caselle e-mail private. Non in app di messaggistica private. Non in servizi cloud non approvati. L'articolo 32 del GDPR obbliga le aziende a proteggere i dati personali con misure tecniche e organizzative adeguate. Se i dati finiscono in luoghi non previsti, questa protezione può venire meno. Perciò, quando salvi, condividi o inoltri dati, chiediti un attimo: è questo il posto giusto e approvato per farlo? La terza situazione: la visione aperta. Uno schermo visibile ad altri. Una telefonata con i dati dei clienti al bar. Documenti lasciati aperti sulla scrivania. Anche qui si tratta di riservatezza. L'articolo 5, paragrafo 1, lettera f, del GDPR stabilisce che i dati personali devono essere protetti dall'accesso non autorizzato. In parole povere, non tutti possono vedere o sentire tutto. Perciò, la regola è: blocca lo schermo, non avere conversazioni con dati personali in pubblico, non lasciare documenti in vista.

Se hai dubbi, poniti una semplice domanda. Posso usare questi dati per questo scopo specifico e l'altra persona può vedere questa informazione? Se esiti, non andare avanti e basta. Chiedi al tuo superiore o al responsabile della protezione dei dati. Troverai i contatti sulla piattaforma di formazione. E se qualcosa va storto? Un'e-mail è finita al destinatario sbagliato. Un dispositivo è stato perso. Un documento era visibile a persone non autorizzate. Qualcuno ha avuto accesso senza averne il diritto. Allora vale una regola. Segnalare immediatamente. Non aspettare. Non insabbiare. Non controllare a lungo da soli. Non tacere per vergogna. L'articolo 33 del GDPR stabilisce che, in caso di violazione dei dati personali, il titolare del trattamento deve notificarla all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore, dal momento in cui ne è venuto a conoscenza, se è probabile che comporti un rischio per i diritti e le libertà delle persone interessate.

In caso di un rischio prevedibilmente elevato, ai sensi dell'articolo 34 del GDPR, potrebbe essere necessaria anche una comunicazione agli interessati. Per te, nella vita di tutti i giorni, questo significa: segnala subito un possibile incidente internamente. Preferibilmente per telefono al responsabile della protezione dei dati o tramite il canale di segnalazione previsto. Troverai ulteriori informazioni sulla nostra piattaforma di formazione e sul portale self-service. Prima l'incidente viene reso noto, meglio l'azienda può reagire. Alla fine, si tratta di un semplice atteggiamento. I dati personali non sono informazioni qualsiasi. Sono informazioni sulle persone. Chi lavora con essi, ha una responsabilità. Protezione dei dati nella vita di tutti i giorni significa: controllare brevemente, agire consapevolmente e segnalare immediatamente se qualcosa va storto. Se tutti hanno questo riflesso, i dati personali rimarranno protetti, lì dove devono stare.