La mappatura dei dati GDPR spiegata e perché è importante
Se siete qui, probabilmente volete saperne di più sulla mappatura dei dati GDPR. Vi abbiamo pensato noi! 👀 In questo breve post, esaminiamo cos’è la mappatura dei dati e perché è così importante per la conformità al GDPR.
🔍 Cos’è la mappatura dei dati?
La mappatura dei dati è un metodo per tenere traccia e catalogare tutti i dati raccolti, utilizzati e archiviati.
👉 It details the types of data and its movements/transfers throughout your business and beyond (for example, data transfer between different departments, to third parties, processors, other countries etc.)
Come si configura di solito una mappa di dati?
Quando le attività relative ai dati sembrano “semplici”, si può essere tentati di utilizzare un normale foglio di calcolo o di prendere una rapida nota.
Tuttavia, tenere traccia di tutto (tipi di dati, terze parti, ecc.) può essere davvero complesso ed è per questo che vi suggeriamo di scegliere uno strumento dedicato per costruire registri di dati completi e dettagliati (come richiesto dalla legge).
Che cos’è la mappatura dei dati ai sensi del GDPR?
Il GDPR (Regolamento generale sulla protezione dei dati) richiede che sia i responsabili del trattamento dei dati che gli incaricati del trattamento dei dati conservino e mantengano registrazioni aggiornate “complete ed estese” delle particolari attività di trattamento dei dati che stanno svolgendo.
In generale, le registrazioni devono includere
Il nome e i dati di contatto del responsabile del trattamento e dell’incaricato del trattamento che agisce per loro conto, nonché del rappresentante del responsabile del trattamento o dell’incaricato del trattamento e del DPO, se applicabile;
Una descrizione delle varie categorie di utenti e di dati (anche di terzi);
Le categorie di destinatari dei dati, compresi i destinatari di Paesi terzi non appartenenti all’UE o le organizzazioni internazionali;
Lo scopo delle attività di trattamento;
Trasferimenti di dati personali a un paese terzo e l’identificazione di tale paese terzo o organizzazione internazionale, compresa la documentazione di garanzie adeguate (ove applicabile);
Limiti di tempo previsti per la cancellazione delle varie categorie di dati (ove possibile);
Le misure di sicurezza tecniche e organizzative descritte in termini generali (ove possibile).
💡 Quando sono richiesti i registri estesi?
La registrazione completa ed estesa del trattamento è espressamente richiesta nei casi in cui le attività di trattamento dei dati:
non sono occasionali*; oppure
potrebbe comportare un rischio per i diritti e le libertà degli altri; oppure
comportano il trattamento di “categorie particolari di dati”; oppure
è svolto da un’organizzazione che ha più di 250 dipendenti.
*In sostanza, ciò significa che è necessario in quasi tutti i casi di trattamento. Ricordate che gli indirizzi IP sono considerati dati personali!
👉 In breve, le organizzazioni devono identificare e tenere traccia dei tipi di dati personali che trattano, da dove provengono e dove vanno, nonché dei sistemi coinvolti.
🔍 Perché la mappatura dei dati GDPR è così importante?
Naturalmente, oltre a soddisfare un requisito legale fondamentale di una delle leggi sulla privacy più importanti al mondo (il GDPR), la mappatura dei dati aiuta le organizzazioni a:
essere chiari su quali dati conservano, perché e con chi vengono condivisi;
identificare i potenziali rischi per la privacy degli utenti e come risolverli;
mettere in atto misure per una maggiore sicurezza e pratiche più sicure, ove necessario.
👉 Effettuare regolari audit delle informazioni sui dati della vostra organizzazione può rivelarsi utile. Oltre a soddisfare gli obblighi di registrazione, questa pratica facilita anche la revisione e l’ottimizzazione delle procedure di elaborazione dei dati.
💡 La mappatura dei dati è anche uno strumento utile per le DPIA (Data Protection Impact Assessment).:
Conducendo una DPIA, è possibile valutare e ridurre al minimo i rischi associati al trattamento dei dati personali. Come indicato nell’articolo 35 del GDPR, la DPIA è obbligatoria solo quando esiste un rischio elevato di violazione dei diritti e delle libertà degli utenti.
L’implementazione di tutto ciò può essere complicata e piuttosto tecnica.
La soluzione di iubenda per la gestione della privacy interna è molto utile perché semplifica notevolmente il processo tecnico di creazione e mantenimento dei registri delle attività di trattamento. Scopritela!
Iniziate subito a mappare le vostre attività sui dati
