Viste le situazioni sempre diverse ed eterogenee, un servizio di consulenza in ambito privacy e GDPR è, per così dire, rigorosamente sartoriale perché essa è, di volta in volta, progettato ad hoc.
Non lavoro con soluzioni preconfezionate e vendute in pacchetti standard: ho sempre cercato di lavorare adeguando gli strumenti teorici e tecnologici alla situazione specifica. Ben di rado due situazioni sono così sovrapponibili da permettere le stesse identiche soluzioni.
La consulenza è la difficile tecnica di consigliare, ascoltare, comprendere per poi lasciare libero il cliente di scegliere personalmente, ma con lucidità il suo percorso.
Un consulente all’interno del noto (e abusato) ciclo di Deming dovrebbe dunque intervenire soltanto nelle fasi di pianificazione e controllo.
Per questi motivi, una volta richiesta una consulenza in ambito privacy, i miei clienti si possono aspettare:
- soluzioni articolate (ad ogni proposta segue il più delle volte un ragionamento che ne spiega il perché);
- soluzioni pensate a bella posta per loro e la situazione specifica;
- tutto il sostegno necessario per adottare le soluzioni proposte;
- che sarà sempre chiaro chi è il cliente e chi è il consulente;
- al tempo stesso, difenderò le loro posizioni come se fossero mie e cercherò di realizzare le soluzioni più efficaci e anche le più semplici.
Lavoro in tutta Italia, nel mondo moderno, moltissime attività si possono infatti svolgere anche stando distanti per quanto il rapporto umano con il cliente rimanga essenziale fondato su una reciproca fiducia che non può escludere la conoscenza diretta.
Consulenza privacy e protezione dati: capire cosa è obbligatorio e cosa no
In tanti anni, il bello di questo lavoro è stato l’interesse a risolvere in concreto il problema posto dai numerosi clienti grazie ad attività diverse. Quello che segue è solo un elenco esemplificativo di attività, frutto dell’esperienza e delle mie competenze professionali.
In questo elenco ho disinto tra le attività che sono obbligatorie per legge (se non le faccio io o un altro consulente o l’Azienda dovrà comunque occuparsene) e quelle che sono facoltative (ma spesso molto consigliate):
- Verificare le misure di sicurezza adottate e redigere opportuni documenti illustrativi (obbligatorio);
- Tenere un sintetico documento che riassuma le attività di videosorveglianza (obbligatorio);
- Redigere opportune informative per i dati che vengono raccolti (obbligatorio);
- Quando si trattano categorie particolari di dati personali, fare un’analisi dei rischi che incombono sui dati (obbligatorio);
- Prima di adottare nuovi “progetti” che comportano trattamento di nuovi dati, effettuare una analisi preliminare che verifichi la proporzionalità dei trattamenti, formalizzi le finalità e indichi quali misure di sicurezza è idoneo adottare (obbligatorio);
- Adottare correttamente un Regolamento per le manifestazioni a premio, comprensivo di informative e moduli di raccolta del consenso (obbligatorio);
- Scrivere il disciplinare sugli strumenti elettronici adottati in azienda (quasi sempre obbligatorio);
- Fornire valutazioni e pareri per le aziende sulle questioni che riguardano il trattamento dei dati personali e in particolare sull’obbligo, o meno, di adottare un Responsabile Protezione dei Dati personali (RPD) o Data Privacy Officer (DPO), (quasi sempre obbligatorio);
- Predisporre la Valutazione d’Impatto Privacy (VIP) anche detta Privacy Impact Assessment (PIA) (talvolta obbligatoria);
- Fare formazione agli addetti che trattano dati personali (obbligatorio);
- Assistere nella redazione del Manuale sulla Sicurezza del lavoro (obbligatorio);
- Esporre argomenti difensivi a fronte di contestazioni del Garante Privacy (facoltativo);
- Avere il pieno controllo delle voci che circolano su Internet avendo il pieno controllo della propria reputazione digitale (facoltativo);
- Classificare i fornitori dell’azienda che trattano i dati personali in suo possesso, in modo da valutarne i profili di sicurezza per l’azienda ed adottare efficacemente clausole di garanzia (facoltativo);
- Adottare un modello organizzativo che consenta i controlli di primo livello e prevenga la commissione di illeciti in favore dell’azienda, il così detto “Modello 231/2001” (facoltativo).
Di cosa non mi occupo
Non mi occupo personalmente di manutenzione software e hardware, nemmeno di amministrazione server, ma interagisco ovviamente con colleghi che lo fanno in modo eccellente; in base a questa esperienza, quando serve, potrò aiutare i vostri addetti ad adempiere anche agli aspetti formali del loro lavoro.
Privacy e protezione dati:
aree di intervento
Diversi e variegati sono gli ambiti di intervento in sede di consulenza. Eccoli sintetizzati in tre gruppi generali. A seconda dei casi, ovviamente, le diverse aree possono incrociarsi e sovrapporsi.
Clicca e visita le sezioni per saperne di più.
