Mappare trattamenti, ruoli e basi giuridiche
Il primo controllo riguarda lo stato reale dell’organizzazione rispetto al GDPR. Prima di intervenire su informative, consensi o procedure interne, bisogna ricostruire quali dati personali vengono raccolti, per quali finalità, su quale base giuridica, da chi sono trattati, per quanto tempo vengono conservati e a quali soggetti esterni vengono comunicati.
Questa verifica iniziale serve a costruire una fotografia aggiornata dei trattamenti di dati personali, distinguendo ciò che è già documentato da ciò che richiede revisione. Per imprese, studi professionali, ecommerce e organizzazioni strutturate, la mappatura deve includere anche strumenti digitali, piattaforme cloud, software gestionali, servizi marketing, consulenti esterni e archivi dei dipendenti.
Il controllo può essere organizzato in cinque aree, così da evitare una verifica frammentata e rendere più chiara la documentazione privacy:
- la governance privacy deve chiarire chi è titolare del trattamento, quali fornitori agiscono come responsabili esterni, quando serve il DPO e quali persone interne sono autorizzate a trattare dati personali;
- la mappa dei trattamenti deve indicare finalità, categorie di dati, basi giuridiche, destinatari, tempi di conservazione e misure di sicurezza, anche attraverso il registro delle attività di trattamento quando richiesto dal GDPR;
- la trasparenza verso gli interessati deve collegare informative, consensi e canali di contatto ai trattamenti effettivamente svolti verso clienti, utenti del sito, dipendenti, candidati, fornitori e altri soggetti coinvolti;
- la sicurezza dei dati deve coprire accessi, autenticazione, backup, cifratura, aggiornamenti software, uso dei dispositivi aziendali, strumenti cloud e procedure in caso di data breach;
- la catena dei fornitori deve verificare contratti, subfornitori, localizzazione dei dati, trasferimenti extra UE, istruzioni documentate e coerenza tra servizi acquistati e ruoli privacy assegnati.
Al termine della verifica, l’organizzazione può costruire una matrice interna con tre stati di avanzamento: conforme, parziale o da aggiornare. La matrice aiuta a stabilire le priorità, conservare traccia dei controlli svolti e dimostrare il percorso seguito in base al principio di accountability.