#dataprotectionofficer | Explore Tumblr posts and blogs

ryadel · 3 years ago

Text

Privacy Officer e Responsabile Privacy: compiti e mansioni

In questo articolo cercheremo di elencare in modo più o meno dettagliato i compiti principali di cui deve occuparsi il Privacy Officer, uno dei principali profili professionali che operano nell'ambito della protezione dei dati personali all'interno di un'azienda. Negli ultimi anni questa funzione ha innegabilmente acquisito una enorme rilevanza, anche e soprattutto per via dell'adozione del General Data Protection Regulation (più noto come GDPR) a livello europeo, di cui abbiamo parlato diffusamente nella nostra serie di articoli dedicati, e delle conseguenti necessità di adeguarsi ai relativi principi e direttive. Tuttavia, nonostante l'enorme quantitativo di articoli informativi pubblicato da tutte le riviste specializzate e la necessità impellente di adeguarsi a quanto previsto dalla legge, sono ancora tantissime le aziende che ignorano (e in alcuni casi "fanno finta di ignorare") l'importanza di dotarsi di una funzione del genere, responsabile - come vedremo - di numerose attività anche molto delicate.

Chi è il Privacy Officer

Prima di passare all'elenco delle attività in carico al Privacy Officer (noto anche in italia come Responsabile Privacy) è opportuno spendere qualche parola per comprendere a quale profilo professionale corrisponde questa figura. La prima cosa da chiarire è che si tratta di una funzione che svolge attività di natura trasversale rispetto ai processi aziendali, in quanto deve avere a che fare sia con il ciclo di vita del dato che con gli aspetti organizzativi, gestionali, tecnologici e legali collegati alle attività svolte dall'azienda: tra questi, particolare rilevanza hanno assunto - specie negli ultimi anni - le competenze relative all'Information Technology, con particolare riguardo a concetti come Autenticazione, Autorizzazione, Encryption e Backup. Non a caso, nonostante si tratti di un ruolo tradizionalmente svolto da avvocati o comunque da persone aventi un background formativo di tipo legal, negli ultimi anni si è visto un notevole incremento di profili tecnici, come ingegneri gestionali e tecnici informatici, nonché di candidati aventi una formazione collegata al mondo della comunicazione. IMPORTANTE: il Privacy Officer o Responsabile Privacy, non va confuso con il Data Protection Officer (DPO), figura prevista dall'articolo 39 del GDPR e dotata di mansioni e responsabilità molto diverse. Per maggiori informazioni su questa importantissima funzione, che svolge un'attività parallela e complementare a quella del Privacy Officer, consigliamo di leggere il nostro approfondimento dedicato: DPO - Mansioni, Tariffe e Calcolo dei Compensi.

Principali incarichi

Ecco dunque un elenco sommario delle attività in carico al Privacy Officer. Per ciascuna di esse abbiamo revisto un "titolo" di una o due parole che ha il compito di riassumerne l'ambito, l'argomento ovvero il contesto di base. - Manuale Privacy. Assicurarsi che l'azienda disponga di un Manuale Privacy aggiornato che documenti il sistema privacy in uso, comprensivo del presente elenco di mansioni periodiche in carico al responsabile. - Registro dei Trattamenti. Tenere il Registro dei Trattamenti aggiornato con tutti i clienti e le relative tipologie di trattamento dati legate alle attività aziendali. - DPIA. Assicurarsi che per tutti i trattamenti di dati che presentano un rischio elevato sia presente una Valutazione di impatto (DPIA) e rischio del trattamento. - Data Classification. Assicurarsi che tutti i dati trattati in azienda siano stati classificati secondo quanto previsto dalla Data Classification Policy e che non esistono dati classificati erroneamente. - Data Destruction. Assicurarsi che tutti i dati non più necessari siano stati distrutti o restituiti secondo quanto previsto dalla Data Destruction Policy e che non esistono dati conservati erroneamente. - Privacy Policy. Assicurarsi che tutti i siti, servizi e applicativi web aziendali contengano una Privacy Policy aggiornata e in linea con le ultime normative vigenti, comprensiva dei recapiti previsti a norma di legge (DPO, responsabile privacy, etc). - Cookie Policy. Assicurarsi che tutti i siti, servizi e applicativi web aziendali contengano una Cookie Policy aggiornata e in linea con le ultime normative vigenti; verificare inoltre che il sito disponga degli strumenti interattivi volti ad acquisire la conferma di lettura e accettazione da parte dell'utente, ovvero la possibilità di effettuare l'opt-out per tutti o parte dei cookie non obbligatori. - Autenticazione. Verificare che tutte le procedure di accesso ai sistemi informatici aziendali prevedano l'inserimento di credenziali sufficientemente complesse, con particolare riguardo ai criteri di complessità e scadenza periodica della password secondo quanto previsto dalle ultime normative vigenti; verificare inoltre che tutti i sistemi critici o che consentano l'accesso a informazioni, dati o funzionalità che presentino un rischio elevato prevedano un sistema di autenticazione a due o più fattori (2FA, MFA). Verificare inoltre che tutti gli accessi siano documentati da liste scritte facilmente individuabili, visualizzabili e verificabili, e che tutte le credenziali relative a utenti non più attivi alla data odierna siano state opportunamente decommissionate. - Autorizzazione. Verificare che tutti gli operatori informatici, sviluppatori e amministratori di sistema possano accedere unicamente alle informazioni necessarie per svolgere la loro attività, secondo il principio di deny by default. - Information Technology: Nel caso in cui l'azienda informatica effettui il trattamento dei dati con strumenti di natura IT (workstation, server, repository in cloud, database, servizi web, etc.), assicurarsi che l'azienda abbia adottato le misure tecniche e organizzative adeguate, come previsto dall'articolo 32 del GDPR e dal principio di accountability, con particolare riguardo a quelle esplicitamente menzionate nel regolamento: la pseudonimizzazione e cifratura dei dati; la capacità di assicurare permanentemente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi; la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati in casi di incidente; una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure. - Risk Analysis e Assessment. Assicurarsi che sia stata effettuata una Risk Analysis per tutti i progetti aziendali e che tale analisi contenga le opportune valutazioni in ambito privacy; assicurarsi inoltre che tutti i progetti per i quali sia emerso un elevato profilo di rischio in sede di analisi contengano un Risk Assessment Report che documenti le modalità di gestione e mitigazione dei rischi. - Issue Tracking. Verificare che tutte le eventuali anomalie Privacy e Data Protection siano state opportunamente risolte o gestite dal personale di competenza. - Contrattualistica. Occuparsi della redazione delle sezioni ovvero allegati relativi agli incarichi e/o alle nomine al trattamento dei dati all'interno dei contratti con clienti, contratti con fornitori, accordi quadro, bandi di gara e qualsiasi altro documento aziendale. - DPO. Gestire le comunicazioni con il DPO e assicurarsi che le eventuali evidenze risultanti dalle attività del DPO siano opportunamente gestite. - Documentazione. Assicurarsi che tutta la documentazione privacy aziendale (policy, informative ai dipendenti, informative sul trattamento, moduli privacy, etc.) sia stata aggiornata negli ultimi 12 mesi. - Training. Assicurarsi che tutti i dipendenti e collaboratori aziendali abbiano effettuato almeno un corso di aggiornamento Privacy e Data Protection negli ultimi 12 mesi e che abbiano compilato la relativa scheda di valutazione; assicurarsi che per il corso sia presente il verbale scritto delle presenze e degli argomenti trattati; assicurarsi che sia in programma un ulteriore corso di aggiornamento, da svolgersi entro i successivi 12 mesi. DISCLAIMER: L'elenco non vuole essere esaustivo, ma può essere utile per fornire una panoramica piuttosto completa delle task ordinarie che l'azienda è tenuta a svolgere in virtù del trattamento dei dati di cui ha accettato di rendersi titolare o responsabile, e che sono quindi da considerarsi in carico al responsabile Privacy. Idealmente tutte le attività di cui sopra andrebbero registrate in un apposito Time Tracker azienzale (o strumento equivalente) in modo da dare al Responsabile Privacy, nonché all'azienda, la possibilità di dimostrare che il tutto venga gestito in modo periodico e continuativo.

Perché è importante

Come si può vedere si tratta di un mansionario estremamente complesso, che di certo non può essere svolto da un amministratore né tantomeno "delegato" a una funzione che svolga già altre attività. Anche l'ipotesi di affidare questo tipo di incarichi a un consulente esterno o a una società di fornitura, soluzione molto in voga presso alcune realtà aziendali di piccole e medie dimensioni (PMI), risulta alla pratica dei fatti difficile da attuare all'atto pratico, visto che si tratta di attività che richiedono un know-how aziendale molto forte e un interfacciamento costante con le principali funzioni: dalla business unit alla logistica, dall'amministrazione ai servizi generali, dalle operations al delivery., dall'ufficio del personale all'ufficio legale. Alla luce di tutti questi fattori, la soluzione preferibile per la maggior parte delle aziende è quella di dotarsi di un ufficio privacy interno, composto da un Privacy Officer (tipicamente un funzionario) che si occupa del coordinamento delle attività e un numero di Privacy Specialist (dipendenti o consulenti) commisurato alle dimensioni dell'organizzazione e alla mole di dati oggetto del trattamento. Questo approccio ovviamente non esclude la possibilità che, in realtà molto piccole e dove il trattamento di dati personali non costituisce un elemento business-critic, l'intero ufficio possa essere condotto da una singola persona... Ma si tratta di situazioni altamente residuali, considerando i numerosissimi obblighi di legge previsti dal GDPR e i rischi connessi a una errata o non corretta gestione di questi dati. Inutile dire che, per realtà molto grandi, può essere vero anche il contrario: una molteplicità di Privacy Officer, magari relativi a ciascuno degli stabilimenti produttivi o sedi aziendali, coordinati da un Chief Privacy Officer (CPO) avente funzioni strategiche e dirigenziali.

Conclusioni

Per il momento è tutto: ci auguriamo che questo elenco possa essere d'aiuto non soltanto ai Privacy Officer alle prime armi, ma anche e soprattutto agli amministratori delegati e ai dirigenti delle aziende che non si sono ancora dotate di questa figura fondamentale per comprendere l'importanza di compiere questo passo prima che sia troppo tardi. Questo articolo fa parte di una serie di approfondimenti e riflessioni sul GDPR e sulle modalità di applicazione del Nuovo Regolamento Europeo della Protezione dei Dati in Italia, con focus specifico sulla compliance rispetto alla normativa previgente in materia civile e penale. Leggi gli altri articoli. Read the full article

#DataProtectionOfficer #DPO #GDPR #Privacy #PrivacyOfficer #ResponsabilePrivacy

0 notes

getyourguidede · 3 years ago

Text

Teilnahmebedingungen

Für die Teilnahme an diesem Gewinnspiel (”Gewinnspiel September”) oder den Gewinn ist kein Kauf erforderlich. Ein Kauf erhöht die Gewinnchancen nicht. Ein gültiges Instagram-Konto ist erforderlich.

Mit der Teilnahme an diesem Gewinnspiel akzeptiert der Teilnehmer („Teilnehmer“) die geltenden Datenschutz- und Teilnahmebedingungen:

1. Veranstalter

GetYourGuide Deutschland GmbH, Sonnenburger Str. 73, 10437 Berlin, Deutschland (im Folgenden „GetYourGuide” oder „Veranstalter“ genannt).

Diese Promotion steht in keiner Verbindung zu Instagram und wird in keiner Weise von Instagram gesponsert, unterstützt oder organisiert. Der Empfänger der von Ihnen bereitgestellten Informationen ist nicht Instagram, sondern GetYourGuide. Die bereitgestellten Informationen werden einzig für das GetYourGuide Gewinnspiel verwendet.

2. Teilnahmeberechtigung

Teilnahmeberechtigt sind alle Personen, die zum Zeitpunkt der Teilnahme das 18. Lebensjahr vollendet und ihren ständigen Wohnsitz in Deutschland haben. Die Teilnahme am GetYourGuide Gewinnspiel ist pro Person mit einem Kommentar gestattet.

Die Teilnahme über Gewinnspielvereine, -agenturen oder automatisierte Dienste ist ausgeschlossen. Von der Teilnahme ausgeschlossen sind Mitarbeiter von GetYourGuide und deren Angehörige sowie Mitarbeiter und Angehörige verbundener Unternehmen und mit dem Gewinnspiel betrauter Agenturen.

3. Laufzeit

Der Gewinnspielzeitraum dauert vom 17.09.2021, 00:00 Uhr, bis 30.09.2021, 23:59 Uhr. Verspätete Teilnahmen, gleich aus welchen Gründen, können nicht berücksichtigt werden („Laufzeit“).

Wir behalten uns das Recht vor, das Gewinnspiel jederzeit, auch ohne Einhaltung von Fristen, ganz oder teilweise vorzeitig zu beenden oder in seinem Verlauf abzuändern, wenn es aus technischen (z.B. Computervirus, Manipulation von oder Fehler in Software/Hardware) oder rechtlichen Gründen (z.B. Untersagung durch Facebook) nicht möglich ist, eine ordnungsgemäße Durchführung des Gewinnspiels zu garantieren.

4. Ablauf und Durchführung des Gewinnspiels

Die Teilnahme an dem Gewinnspiel ist pro Teilnehmer nur einmal möglich. Die Teilnahme an dem Gewinnspiel ist kostenlos, mit Ausnahme der eventuellen Übermittlungskosten, die nach dem von Ihnen gewählten Tarif Ihres Mobilfunk- bzw. Internetproviders entstehen.

Um am Gewinnspiel teilzunehmen, muss der Teilnehmer:

unter dem Beitrag vom 17.09.2021 den liebsten Reise-Emoji kommentieren

den Beitrag vom 17.09.2021 liken

dem deutschen GetYourGuide Instagram Kanal @getyourguide_de folgen

Die Kommentierung muss bis zum 30.09.2021, 23:59 Uhr, erfolgen, um am Gewinnspiel teilzunehmen.

Jeder Versuch eines Teilnehmers, über mehrere/ verschiedene Instagram-Konten, Identitäten, Registrierungen und Logins oder andere Methoden teilzunehmen, führt zur Ungültigkeit der Beiträge dieses Teilnehmers und kann nach alleinigem Ermessen von GetYourGuide zur Disqualifikation dieses Teilnehmers führen. Es werden keine automatisch generierten Einträge akzeptiert.

5. Abwicklung und Gewinnbenachrichtigung

Die Auslosung des Gewinns findet in KW40/41 des Jahres 2021 statt.

Der Gewinner wird über Instagram Private Message über den Gewinn informiert. Meldet sich der Gewinner nicht innerhalb von zwei Tagen nach dem Absenden der Gewinninformation über die in der Nachricht genannte E-Mail Adresse der beauftragten Agentur „RPM – revolutions per minute Gesellschaft für Kommunikation mbH“ mit seinen persönlichen Daten (Instagram Nutzernamen, Vorname, Name, Telefonnummer, E-Mail Adresse, Geburtsdatum), so verfällt der Anspruch auf den Gewinn und es wird ein neuer Gewinner ermittelt.

Der Gewinner ist für die Richtigkeit der angegebenen Kontaktdaten selbst verantwortlich. Falls der Gewinner aufgrund unvollständiger oder falscher Kontaktdaten nicht erreicht werden kann, geht dies zu seinen Lasten.

Der Gewinn wird dem Gewinner, im Anschluss an die vollständige Kontaktaufnahme, in Form eines digitalen Vouchers per E-Mail zugesendet.

6. Gewinn und Konditionen

Unter allen Teilnehmern wird 1x GetYourGuide Gutschein (digitaler Voucher) im Wert von 50€ (in Worten “fünfzig Euro”) verlost (gültig bis 31.12.2021, für alle teilnehmenden GetYourGuide Aktivitäten). Eine Barauszahlung, Änderung oder ein Umtausch des Gewinns ist ausgeschlossen.

Unter allen gültigen Teilnehmern wird der Gewinn per Los ermittelt und im Anschluss über die beauftragte Agentur „RPM – revolutions per minute Gesellschaft für Kommunikation mbH“ versendet.

Der Gewinn ist nicht auf andere Personen übertragbar und kann nicht in bar ausgezahlt werden.

7. Datenschutzrichtlinien

Informationen, die der Teilnehmer während des Teilnahmevorgangs für dieses Gewinnspiel zur Verfügung stellt, unterliegen den Datenschutzrichtlinien des Veranstalters.

Die im Rahmen des Gewinnspiels erfassten personenbezogenen Daten werden von der Verantwortlichen im datenschutzrechtlichen Sinne (GetYourGuide Deutschland GmbH Sonnenburger Strasse 73, 10437 Berlin) ausschließlich zur Durchführung des Gewinnspiels verarbeitet. Der Teilnehmer erkennt an, dass GetYourGuide die Daten an Dritte, die mit der Durchführung und Abwicklung des Gewinnspiels beauftragt sind, sowie insbesondere an verbundene Konzernunternehmen zu diesen Zwecken weiterleiten darf. Eine Übermittlung an Dritte erfolgt nur, soweit dies zur Abwicklung des Gewinnspiels erforderlich und zulässig ist und unter ausdrücklichem Hinweis darauf, dass die personenbezogenen Daten der Teilnehmer nur zum Zweck der Abwicklung des Gewinnspiels verarbeitet und genutzt werden dürfen. Die erfassten Daten dienen der eindeutigen Identifikation sowie ggf. der Gewinnbenachrichtigung.

Die personenbezogenen Daten werden bis zum endgültigen Abschluss des Gewinnspiels bzw. bis zum Ablauf der steuer- und handelsrechtlichen Aufbewahrungsfristen aufbewahrt und anschließend datenschutzkonform gelöscht.

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten zur Durchführung des Gewinnspiels ist Art. 6 Abs. 1 lit. b) der EU-Datenschutz-Grundverordnung (DSGVO). Werden die erfassten Daten der Verantwortlichen nicht zur Verfügung gestellt, sind eine Teilnahme am Gewinnspiel und eine eventuelle Kontaktaufnahme bzgl. einer Gewinnmitteilung nicht möglich.

Der Teilnehmer kann jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit der gespeicherten Daten ausüben, sofern die Voraussetzungen nach Art. 15 ff. DSGVO vorliegen. Für mehr Informationen, insbesondere über die weiteren Rechte aus der DSGVO, lesen Sie bitte unsere Datenschutzerklärung.

Der Teilnehmer hat das Recht, aus Gründen, die sich aus seiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung seiner betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs.1 lit. f DSGVO erfolgt, Widerspruch einzulegen.

Hierfür kontaktieren Sie uns bitte unter [email protected].

Bei Zweifeln an der Identität haben wir das Recht, weitere Informationen anzufordern, um die Identität zu überprüfen. Mit dieser Maßnahme möchten wir sicherstellen, dass die personenbezogenen Daten nicht an unberechtigte Personen weitergegeben oder auf deren Verlangen hin geändert oder gelöscht werden.

Sollte der Teilnehmer der Ansicht sein, dass die Verarbeitung seiner personenbezogenen Daten gegen gesetzliche Bestimmungen verstößt, hat er das Recht, sich an die zuständige Aufsichtsbehörde zu wenden.

Der Teilnehmer hat bezüglich der erhobenen Daten die durch das Bundesdatenschutzgesetz und die Datenschutzgrundverordnung gewährleisteten Rechte auf Auskunft, Berichtigung, Sperrung oder Löschung seiner Daten. Er kann sich auch jederzeit an eine Aufsichtsbehörde wenden. Die Rechtmäßigkeit der Verarbeitung der Daten bis zum Eingang des Widerrufs bleibt hiervon unberührt. Sämtliche Rechte und Anfragen kann der Teilnehmer auf dem Postweg oder per E-Mail richten an:

GetYourGuide Deutschland GmbH Sonnenburger Strasse 73 10437 Berlin

[email protected]

8. Nutzungsrechteeinräumung

Der Teilnehmer erklärt sich mit der Teilnahme am Gewinnspiel ausdrücklich damit einverstanden, dass im Falle des Gewinns sein Vorname und das Initial seines Nachnamens mit Wohnort (Bsp.: Saskia S. aus Musterstadt) im Internet (im Speziellen auf der GetYourGuide Instagram-Seite) unter anderem zu Werbezwecken veröffentlicht werden darf.

9. Haftungsbeschränkungen

Sofern der Teilnehmer Fotos hochlädt, garantiert der Teilnehmer, dass er keine Inhalte übersenden wird, deren Bereitstellung, Veröffentlichung oder Nutzung gegen geltendes Recht oder Rechte Dritter verstößt.

Der Teilnehmer stellt uns von Ansprüchen Dritter gleich welcher Art frei, die aus der Rechtswidrigkeit von Fotos resultieren, die der Teilnehmer verwendet hat. Die Freistellungsverpflichtung umfasst auch die Verpflichtung, den Veranstalter von Rechtsverteidigungskosten (z.B. Gerichts- und Anwaltskosten) vollständig freizustellen.

Mit der Teilnahme am Gewinnspiel stellt der Teilnehmer Instagram von jeder Haftung frei.

10. Rechtsstreitigkeiten

Der Rechtsweg ist ausgeschlossen.

Ausschließlich anwendbares Recht ist das Recht der Bundesrepublik Deutschland.

Sollten einzelne Bestimmungen dieser Teilnahmebedingungen unwirksam oder undurchführbar sein oder werden, so wird die Gültigkeit der übrigen Bestimmungen hierdurch nicht berührt. Die unwirksame Bestimmung ist durch eine solche wirksame Bestimmung zu ersetzen, die der unwirksamen Bestimmung in rechtlich zulässiger Weise am nächsten kommt.

Alle Angaben erfolgen ohne Gewähr.

Gemäß § 36 VSBG weisen wir darauf hin, dass wir nicht an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilnehmen.

11. Freistellung von Instagram

Die Teilnehmer des Gewinnspiels können keine Ansprüche gegenüber Instagram geltend machen, die im Zusammenhang mit dem Gewinnspiel oder der Teilnahme hieran stehen. Die Teilnehmer erkennen an, dass das Gewinnspiel in keiner Verbindung zu Instagram steht und in keiner Weise von Instagram gesponsert, unterstützt oder organisiert wird. Sämtliche Anfragen und Hinweise bezüglich des Gewinnspiels sind an GetYourGuide und nicht an Instagram zu richten.

1 note · View note