Parlare di privacy in azienda porta inevitabilmente a paragoni. Esistono due discipline normative che costituiscono l’ossatura della privacy aziendale: il General Data Protection Regulation n.1. 679/2016 e il Decreto Legislativo. 231/2001 in materia di responsabilità degli enti derivante da reati commessi da dipendenti o soggetti apicali.
Infatti le imprese e gli enti adottano un modello di amministrazione e controllo adeguato a perseguire l’obiettivo di un bilanciamento dei poteri e di un’accurata distinzione delle funzioni. Si ritiene che l’adozione del Modello 231, unitamente all’emanazione di un codice etico, costituisca un valido strumento di sensibilizzazione dei dipendenti della società e degli altri stakeholder (clienti, fornitori, collaboratori a vario titolo), affinché essi, nello svolgimento delle proprie attività, adottino comportamenti corretti e lineari per la gestione dei dati personali, tali da prevenire il rischio di commissione dei reati previsti dal Decreto 231/2001. Pertanto, le misure che verranno adottate per proteggere i dati personali unite al Modello 231 consentono di avere un approccio proattivo per anticipare i problemi e facilitare processi sempre più efficienti, riducendo le sovrapposizioni.
Similitudini tra modello organizzativo 231 e trattamento dei dati personali
Esistono diverse similitudini tra Modello 231 e il trattamento dei dati personali. Ecco qui, i punti più importanti:
- Il Codice etico potrebbe considerare anche la protezione dei dati personali come elemento di principio cui attenersi;
- Il sistema sanzionatorio richiamato dal Codice Etico dovrebbe considerare anche le sanzioni per il mancato rispetto delle misure per la protezione dei dati personali.
- La procedura per i rapporti con la Pubblica Amministrazione, tipica del Modello Dlgs 231/2001, dovrebbe contemplare anche aspetti relativi ai rapporti con l’Autorità Garante della protezione dei dati;
- La procedura relativa alle verifiche da parte della Pubblica Amministrazione dovrebbe considerare anche le verifiche da parte dell’Autorità Garante della protezione dei dati;
- La procedura Whistleblowing dovrebbe considerare anche gli aspetti relativi alla protezione dei dati dei soggetti sia segnalanti che segnalati;
- La procedura relativa al Data Breach potrebbe considerare anche la segnalazione dell’evento all’Organismo di Vigilanza.
Il modello organizzativo 231 per la gestione dei dati personali
Quando si tratta di privacy, è importante tenere a mente un concetto fondamentale: il panorama è vasto, con molteplici normative da affrontare. Ogni attività di un’azienda ha un impatto su diversi aspetti normativi che devono essere conosciuti e compresi affinché siano conformi alle normative.
A questo proposito, l’adozione del Modello 231 rappresenta la migliore soluzione per le aziende di evitare il rischio di reato. Possederlo non è un obbligo di legge, ma ogni ente, società o associazione, anche priva di personalità giuridica, dovrebbe adottarlo perché ogni società ha la potenzialità di commettere reati. Una volta adottato il modello 231, le aziende devono agire su due fronti: la formazione del personale e la definizione dei sistemi di controllo. Occorre, infatti, istituire un sistema di monitoraggio per il rispetto delle regole che l’azienda si pone, anche attraverso la nomina di organismi (Organismo di Vigilanza) preposti a tale verifica.
Il Modello Organizzativo 231 prevede azioni disciplinari in caso di violazione delle disposizioni in esso contenute (e del Codice Etico di cui è parte). Inoltre, è fondamentale formare il personale che opera all’interno dell’ente al fine di diffondere una vera e propria “cultura 231” o una “cultura privacy” e rendere effettiva l’adozione delle regole e dei controlli.
Le figure soggettive del GDPR e la responsabilità nel trattamento dei dati personali
Se da un lato il modello 231 assicura la tracciabilità e la trasparenza dei processi aziendali e la mappatura dei rischi derivanti da reati presupposto attraverso apposite procedure, dall’altro il GDPR richiede una serie di figure soggettive che rispondano ai titolari del trattamento, a cui siete affidati Responsabilità e obblighi in materia di trattamento dei dati personali (Regolamento UE 2016/679).
Il Regolamento UE 2016/679, infatti, la prima attività che richiede è quella di mappatura dei trattamenti, che è di fondamentale importanza perché permette da un lato di avere una visione completa dei processi operativi coinvolti, e d’altra parte, ti dà un’idea di cosa viene fatto effettivamente con i dati raccolti. L’articolo 30, comma 1, del GDPR prevede l’adozione di un registro dei titolari contenente le seguenti informazioni:
- nome e dati del titolare;
- finalità del trattamento;
- categorie di interessati;
- categorie di dati personali.
Inoltre, il registro contiene informazioni sui termini per la cancellazione di varie tipologie di dati, nonché istruzioni sulle misure di sicurezza tecniche e organizzative. Il comma 2 dell’articolo parla invece di registro del responsabile. Il registro contiene:
- il nome e i dati di uno o più responsabili,
- il nome e i recapiti di ciascun titolare del trattamento;
- le categorie di trattamenti svolti per conto di ciascun titolare;
- una descrizione delle misure di sicurezza tecniche e organizzative.
Le misure di sicurezza nel trattamento dei dati personali: analogie con il sistema 231
Con l’articolo 25 del GDPR viene definita la privacy by design al comma 1 (protezione dei dati fin dalla progettazione del sistema) e la privacy by default (protezione dei dati per impostazione predefinita), e il comma 2 si riferisce a tutte quelle “misure tecniche e organizzative adeguate, in modo da attuare efficacemente i principi di protezione dei dati e da garantire nel trattamento i requisiti del Regolamento e la tutela dei diritti degli interessati”.
Ugualmente, il decreto legislativo 231/2001 (Articolo 6 comma 2 lett. B) stabilisce che gli enti devono “prevedere specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire”.
Tali modelli organizzativi privacy, tenendo conto dei rischi a cui le aziende che richiedono il trattamento dei dati personali vanno incontro, risultano quindi fondamentali. Infatti, garantire la prevenzione dell’eventuale responsabilità dell’azienda derivante da reati commessi in suo vantaggio e/o interesse è essenziale per il benessere della tua attività. Per approfondire questi e altri temi e per parlare con il personale di Bluen. Ottieni ora una consulenza personalizzata: contattaci.
