Regolamento (UE) 2016/679
GDPR nei Comuni: registro dei trattamenti, DPIA e data breach in un unico strumento
Per un ente pubblico il GDPR significa un registro dei trattamenti sempre aggiornato, le valutazioni d'impatto dove il trattamento presenta rischi elevati, un Responsabile della protezione dei dati e una procedura per le violazioni di dati che rispetti le 72 ore. AuditManagement tiene insieme tutto questo e lo collega alle risorse ICT e ai fornitori.
- art. 30
- registro delle attività di trattamento
- art. 35
- valutazione d'impatto (DPIA)
- 72 ore
- notifica della violazione al Garante
- €0
- per le Pubbliche Amministrazioni
Il registro dei trattamenti
Ogni trattamento ha finalità, base giuridica, categorie di interessati e di dati, destinatari, tempi di conservazione e misure di sicurezza. In AuditManagement il trattamento è collegato alle risorse ICT che lo eseguono, ai fornitori che agiscono come responsabili (art. 28) e alle banche dati: quando una risorsa cambia, si vede quali trattamenti ne dipendono.
DPIA e FRIA
La DPIA (art. 35 GDPR) valuta i rischi del trattamento per gli interessati. La FRIA (art. 27 AI Act) è un obbligo distinto del soggetto pubblico che usa sistemi di intelligenza artificiale ad alto rischio e guarda ai diritti fondamentali. Non si sostituiscono: l'applicazione le gestisce entrambe e le collega al trattamento e al sistema di IA. Segnalando una risorsa come «necessita DPIA» o «uso di IA», nasce la bozza della valutazione.
La violazione di dati: 72 ore
La notifica al Garante va fatta entro 72 ore da quando si è venuti a conoscenza della violazione, salvo che sia improbabile un rischio per gli interessati — decisione che va motivata e registrata. Se il rischio è elevato, si comunicano anche gli interessati (art. 34). Il Centro notifiche mostra le violazioni con il termine in corso, quelle in ritardo e quelle per cui la notifica non è dovuta.
Privacy e sicurezza non sono due archivi
Una violazione di dati nasce spesso da un incidente di sicurezza. In AuditManagement incidente e violazione sono collegati: la stessa vicenda segue i termini della NIS 2 o della Legge 90 e quelli del GDPR, senza doppie registrazioni.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 9 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
Registro e valutazioni d'impatto
- Cruscotto PrivacycruscottoPostura privacy: trattamenti, basi giuridiche, DPIA e FRIA in scadenza
- Registro dei Trattamenti GDPRIl registro delle attività di trattamento (art. 30 GDPR): finalità, basi giuridiche, categorie di dati, risorse e responsabili.
- DPIALa valutazione d'impatto sulla protezione dei dati (art. 35 GDPR), anche generata in bozza dalle risorse che la richiedono.
- FRIALa valutazione d'impatto sui diritti fondamentali (art. 27 AI Act) per i sistemi di IA ad alto rischio usati dall'ente.
Ruoli e informative
- Responsabili del TrattamentoI responsabili del trattamento (art. 28 GDPR) con i loro atti di nomina.
- Autorizzati al TrattamentoLe persone autorizzate al trattamento e le istruzioni ricevute.
- Designati al TrattamentoI soggetti designati con compiti e funzioni connessi al trattamento.
- Informative PrivacyLe informative agli interessati, per trattamento e per canale.
Obblighi normativi
- Obblighi NormativiGli obblighi normativi che si applicano all'ente, con la valutazione periodica della conformità.
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Il registro dei trattamenti è obbligatorio per un Comune?
Di fatto sì: l'eccezione per le organizzazioni con meno di 250 dipendenti non si applica a chi tratta dati in modo non occasionale o dati particolari, come avviene in ogni ente locale.
Si possono gestire anche i responsabili del trattamento?
Sì: fornitori, contratti e nomine ex art. 28 sono collegati ai trattamenti e alle risorse.