Passa ai contenuti principali

La relazione di fine anno dell'attività dell'RPD/DPO

Siamo quasi a dicembre ed è già tempo per il Responsabile della protezione dei dati (aka DPO) di ottemperare a quanto disposto dall’art. 38 paragrafo 3 del Regolamento (UE) 2016/679, ove “il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento”.

La relazione di fine anno è un momento di accountability molto importante dell'attività del DPO, l'occasione per fare un bilancio della propria attività mettendone a conoscenza il vertice gerarchico dell'organizzazione per la quale svolge il proprio servizio di supporto, per questo è essenziale che durante il corso dell'anno il DPO abbia predisposto e tenuto aggiornato un registro dettagliato dei propri interventi. Ricordiamo quali sono i compiti del Responsabile della protezione dei dati:

  • Sorvegliare l’osservanza del regolamento riguardo all’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di audit.
  • Informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal regolamento.
  • Fungere da punto di contatto per l’Autorità di controllo per questioni connesse al trattamento dei dati personali (per esempio in caso di ispezioni del Garante).
  • Fornire se richiesto un parere in merito alla valutazione d’impatto sulla protezione dei dati (DPIA)
  • Cooperare con l’Autorità di controllo.

La relazione annuale è per il DPO anche l'occasione ti mettere in evidenza luci ed ombre del proprio incarico, per esempio se non ha ottenuto la necessaria collaborazione da parte degli uffici nello svolgimento della sua attività, è questo il momento di fare il punto della situazione coinvolgendo il management apicale. In particolare dalla relazione non dovrebbero mancare i seguenti punti:

  • Un riepilogo delle richieste di pareri e dell'attività di supporto specialistico in materia di protezione dei dati personali
  • Una sintesi delle richieste di accesso, rettifica, cancellazione, reclami da parte degli interessati.
  • Informazioni relative allo svolgimento di attività formative per il personale. 
  • Informazioni relative allo svolgimento di attività di audit. 
  • Informazioni relative allo svolgimento di DPIA e relativi pareri.
  • Un elenco della documentazione prodotta nelle attività di supporto, modelli, raccomandazioni, piani formativi, etc.
  • In caso di data breach, una disamina puntuale dello svolgimento dei fatti e delle azioni intraprese.
La relazione del DPO è anche un momento di trasparenza riguardo alla propria attività che risulta essere essenziale in caso di avvicendamento del proprio ruolo con altro incaricato che in questo modo potrà conoscere il livello di compliance dell'organizzazione alla normativa vigente in materia di protezione di dati personali.


Commenti

Post popolari in questo blog

CISO e DPO: interazione e compatibilità tra due figure strategiche nella difesa dei dati

Col recepimento della NIS2 in attuazione della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di sicurezza informatica nell'Unione, sentiremo sempre più spesso parlare della figura professionale del CISO che è l'acronimo inglese di Chief Information Security Officer. In questo articolo esaminiamo il rapporto tra questa figura attinente alla sicurezza informatica e quella del Responsabile della protezione dei dati RPD conosciuto anche con l'acronimo di DPO (Data Protection Officer) come disciplinato dal Regolamento europeo sulla protezione dei dati personali (UE) 2016/679. Diciamo subito che entrambe sono figure che operano nell'ambito della sicurezza dei dati, con ruoli distinti ma complementari. Ecco una panoramica di ciascun ruolo e delle loro possibili interazioni. Ruolo del CISO: Il CISO è responsabile della sicurezza delle informazioni e dei sistemi aziendali. Si occupa della gestione dei rischi legati alla sicurezza informatica, della...

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian...

La natura del dato genetico, cosa sappiamo del data breach di 23andMe

Ormai non passa giorno che non si abbia notizia dalla stampa di settore e perfino dalle cronache cittadine di nuovi data breach, notizia recente quella della vendita nel dark web di dati di un noto istituto di analisi fiorentino e fa certo scalpore che in queste violazioni siano coinvolte organizzazioni anche ben strutturate, ma certo il data breach di 23andMe , azienda leader del settore dei test genetici fai da te, lascia davvero stupefatti soprattutto per la facilità con la quale è stato perpetrato: l'attaccante non ha dovuto scrivere neanche una riga di codice! Cosa sappiamo? In una recente comunicazione agli iscritti è l'azienda stessa a fare luce sui fatti e a dare le prime indicazioni agli utenti, leggiamo insieme la traduzione in italiano del comunicato di 23andMe: Di recente abbiamo appreso che alcune informazioni del profilo, che un cliente crea e sceglie di condividere con i propri parenti genetici nella funzione DNA Relatives, sono state accessibili da singoli acco...