Il trattamento dei dati personali secondo il GDPR 679/2016
Ogni impresa gestisce quotidianamente notevoli quantità di dati personali per le finalità connesse alla propria attività. Grazie alla digitalizzazione, acquisire ed utilizzare tali dati è diventato semplice e veloce, soprattutto per le esigenze di comunicazione e marketing. Tali attività, tuttavia, sono considerate ad alto rischio, per gli effetti che possono avere sui diritti e le libertà degli interessati, e sono disciplinate dall’art. 2050 del codice civile, che prevede una responsabilità aggravata del titolare del trattamento in caso di contenzioso. Il Regolamento Europeo sulla protezione dei dati 679/2016 (GDPR – General Data Protection Regulation) esplicherà i propri effetti a partire dal 25 maggio 2018 ed offre un quadro di riferimento in termini di compliance per la tutela dei dati personali delle persone fisiche nell’ambito dell’Unione Europea. I Responsabili della Protezione dei Dati (DPO – Data Protection Officer) saranno al centro di questo nuovo quadro giuridico in molti ambiti, e saranno chiamati a facilitare l’osservanza delle disposizioni del Regolamento.
Quali aziende devono nominare il DPO?
In base al Regolamento, tutte le imprese pubbliche ed i soggetti privati (aziende, lavoratori autonomi e liberi professionisti) che trattano dati personali su larga scala, operando il monitoraggio regolare e sistematico degli interessati, o che utilizzano dati sensibili che consentono di identificare in modo univoco una persona.
Quali sono i requisiti del DPO?
Designato dal titolare del trattamento o dal responsabile del trattamento tra soggetti di comprovata esperienza e capacità, deve conoscere approfonditamente la normativa e le prassi nazionali ed europee in materia di protezione dei dati, avere dimestichezza con l’analisi dei rischi e le norme ISO sui sistemi di gestione delle informazioni, avere familiarità con l’ambiente in cui dovrà operare e con lo specifico settore di attività dell’organizzazione in cui andrà a svolgere il proprio compito. Dovrà inoltre possedere capacità di team leading e coordinare gli altri soggetti che avranno compiti esecutivi, come il manager IT, il responsabile delle risorse umane, le figure apicali responsabili dei singoli trattamenti.
Quali sono i compiti del Data Protection Officer (DPO)?
Il DPO dovrà sorvegliare l’osservanza del regolamento, valutando i rischi di ogni trattamento alla luce della natura dei dati, dell’ambito di applicazione, del contesto e delle finalità per cui sono stati raccolti; collaborare con il titolare/responsabile, laddove necessario, nel condurre una valutazione di impatto sulla protezione dei dati (DPIA); informare e sensibilizzare il titolare o il responsabile del trattamento, nonché i dipendenti di questi ultimi, riguardo agli obblighi derivanti dal regolamento e da altre disposizioni in materia di protezione dei dati; cooperare con il Garante e fungere da punto di contatto su ogni questione connessa al trattamento; supportare il titolare o il responsabile in ogni attività connessa al trattamento di dati personali, anche con riguardo alla tenuta del registro delle attività di trattamento.
Obiettivi e finalità del corso
Il corso si pone l’obiettivo di fornire al futuro DPO le conoscenze e competenze necessarie per supportare il titolare/responsabile del trattamento dei dati nell’osservanza delle disposizioni del Regolamento Europeo e delle altre norme che regolano il trattamento dei dati personali e di promuovere una cultura della protezione dati all’interno delle organizzazioni presso cui ricoprirà il ruolo.
Il percorso formativo permetterà di acquisire la conoscenza della normativa e delle prassi nazionali ed europee in materia di protezione dei dati, a partire dal GDPR 679/2016 e dalle direttive 680/2016 e 681/2016, incluse quelle che regolano la Pubblica Amministrazione, la capacità di analizzare i rischi connessi al trattamento e valutare quali contromisure adottare, la familiarità con le tecnologie informatiche e con le misure di sicurezza, la conoscenza della norma ISO 27001 per l’implementazione di un sistema di gestione dei dati e per la conduzione dei audit periodici.
Durata 48 ore: 3 moduli formativi da 2 giornate ognuno, per un totale di 6 giornate.
Orario 09:00-13:00 14.00-18:00
Programma didattico
Modulo 1 – 26 e 27 aprile: Teoria generale del Regolamento Europeo 679/2016
(Avv. Gianluca Pomante)
-
- Panoramica: la protezione dei dati personali e la riservatezza
- Evoluzione normativa: dalla direttiva 95/46 al GDPR 2016/679; la legge 675/1996 e il D.Lgs. 196/2003; il rapporto tra il GDPR 679/2016 e il D.Lgs. 196/2003
- I considerando e gli articoli del nuovo regolamento: come interpretarne correttamente il testo.
- Le linee guida del Wp29, del Garante Italiano e della Commissione Europea.
- Il bene giuridico tutelato; gli archivi digitali e cartacei; i flussi di informazioni e l’organizzazione interna; rapporti con le altre norme sulla sicurezza
- Principi generali del trattamento: finalità, liceità, correttezza e trasparenza; pertinenza e non eccedenza; aggiornamento e mortalità del dato; conservazione e divieto di archiviazione massiva.
- Dati sensibili, dati giudiziari, dati biometrici, dati genetici, dati particolari
- I diritti dell’interessato
- L’informativa ed il consenso al trattamento
- Disciplina delle clausole contrattuali
- Il diritto all’oblio; rapporti con il diritto di cronaca e la trasparenza amministrativa
- Il principio di “accountability”: l’individuazione dei compiti e delle responsabilità;
- Il Titolare e i soggetti autorizzati al trattamento
- L’amministratore di sistema
- Il Responsabile del trattamento
- Il Responsabile della protezione dei dati (DPO)
- Data protection by design e data protection by default
- I registri dei trattamenti e gli adempimenti del titolare e dei responsabili
- L’analisi dei rischi e la valutazione d’impatto del trattamento (DPIA)
- Le misure di sicurezza fisiche, logiche ed organizzative
- Pseudonimizzazione e cifratura dei dati
- Il data breach: la gestione degli incidenti informatici
- La sicurezza dei dispositivi mobili
- L’archiviazione sostitutiva
- Il rapporto di lavoro ed i controlli a distanza
- Indagini difensive e videosorveglianza
- Le sanzioni e la responsabilità aggravata del titolare del trattamento
- L’Autorità Garante e i rapporti con i colleghi Europei: il WP29 e le linee guida
- Compiti e poteri del Garante italiano
- Il contenzioso amministrativo e giudiziario
- I casi di scuola, i provvedimenti generali del Garante, le sentenze della Corte di Cassazione
Modulo 2 – 28 aprile e 3 maggio: la gestione delle informazioni e dei dati in azienda applicando la ISO 27001 (Ing. Gianluca De Vincentiis)
- Le certificazioni, gli audit e i codici di condotta
- La norma ISO 27001 applicata al trattamento dei dati personali
- Il sistema di gestione dei dati personali secondo la norma BS 10012:2017
- Il ciclo di deming
- La riunione preliminare di direzione; l’audit preliminare
- L’analisi dei rischi e la valutazione d’impatto del trattamento
- Le misure di sicurezza fisiche, logiche ed organizzative (check list e criteri di valutazione)
- L’individuazione delle non conformità
- Le azioni di miglioramento
- La relazione di fine attività
- Esercitazione pratica sulla conduzione di un audit in azienda.
Modulo 3 – 4 e 5 maggio: Gli adempimenti per la Pubblica Amministrazione (Dott. Corrado Giustozzi)
- Il trattamento dei dati nella Pubblica Amministrazione;
- Statistiche sulla sicurezza informatica;
- Cybersecurity e Cyberintelligence, analizzare il passato per orientare gli investimenti futuri;
- Le misure di sicurezza e la Circolare 18 aprile 2017, n. 2 (“Misure minime di sicurezza ICT per le pubbliche amministrazioni”; Direttiva del Presidente del Consiglio dei ministri 1° agosto 2015)
- La direttiva NIS 2016/1148 (Network and Information System);
- Il trattamento dei dati in sanità (il dossier sanitario ed il fascicolo sanitario elettronico);
- Il provvedimento del Garante per la protezione dei dati personali n. 331 del 4.6.2015;
- Le direttive 2016/680 e 2016/681: trattamenti effettuati dalle autorità competenti, a fini di prevenzione, indagine, accertamento e perseguimento di reati, esecuzione di sanzioni penali, salvaguardia e prevenzione di minacce alla sicurezza pubblica; trattamento dei dati abbinati al codice di prenotazione PNR e delle informazioni relative al viaggio aereo extra UE di ciascun passeggero (estensione ai voli intra UE);
Metodologie didattiche
Il percorso formativo prevede l’adozione di metodologie didattiche attive con il diretto coinvolgimento dei discenti mediante esercitazioni pratiche, lavori di gruppo e casi studio.
Corpo docente
Avv. Gianluca Pomante
Avvocato Cassazionista esperto nella corretta gestione dei dati personali e della web reputation, nelle condotte di rilevanza penale in ambito informatico e in molte altre criticità legate al digitale.
Dott. Corrado Giustozzi
Informatico, giornalista e scrittore, divulgatore specializzato negli ambiti della sicurezza informatica, della tutela dei dati personali, della crittografia e della criminalità informatica.
Ing. Gianluca De Vincentiis
Consulente esperto di sicurezza informatica e certificazioni ISO
Destinatari
Il corso è rivolto a consulenti e professionisti che intendono ottemperare alle prescrizioni che riguardano il loro ambito di attività o che vogliono erogare servizi di consulenza nel settore della data protection, a funzionari e dirigenti, pubblici e privati, sistemisti IT, responsabili risorse umane, amministrazione, contabilità, che devono applicare nelle loro organizzazioni le norme poste a tutela dei trattamenti di dati personali.
Requisiti dei partecipanti
Diplomati e laureati. E’ consigliata una formazione giuridica o tecnica.
Modalità di partecipazione
I moduli possono essere acquistati anche singolarmente, qualora l’allievo sia interessato solo ad una parte del percorso di formazione.
Crediti
RICONOSCIMENTODEI CREDITI PER GLI AVVOCATI ISCRITTI ALL’ORDINE DI ASCOLI PICENO
il Consiglio dell’Ordine degli Avvocati di Ascoli Piceno, riunito nella seduta di venerdì 20 Aprile 2018, ha deliberato il riconoscimento di 12 crediti formativi per l’intero percorso di 48 ore.
Pertanto, solo gli avvocati che frequenteranno tutti e tre i moduli, per un totale di 48 ore, otterranno dall’Ordine 12 crediti formativi.
Info e iscrizioni
per info sui costi del corso e sulle modalità d’iscrizione richiedi informazioni alla Segreteria organizzativa: tel. 0736/45084 Mob. 333.2094180 – 339.2184071
E.mail taniafioravanti@attivasolution.it – m.lauracicchi@attivasolution.it
AttivaSolution 