QUANTI DATI PUOI TRATTARE?

Il regolamento sulla privacy, il nuovo regolamento europeo sulla privacy, già in vigore, obbligatorio dal prossimo maggio 2018, porta con sé nuovi obblighi, nuovi adempimenti, ma anche nuovi concetti e nuovi termini che forse avrebbero bisogno di spiegazioni e definizioni più concrete.

I Garanti dei singoli paesi europei hanno designato ciascuno un proprio rappresentante per costituire un gruppo di lavoro indipendente allo scopo di interpretare il regolamento.

I documenti redatti da questo gruppo forniscono i tanto desiderati chiarimenti sulle parti più spinose del Regolamento.

Ad esempio, parlando di nuovi obblighi, volendo fare chiarezza su quando bisogna effettivamente nominare un Data Protection Officier, (DPO, il Responsabile per la protezione dei dati) si introduce la nozione di trattamento di dati su larga scala per discriminare fra i casi in cui si applica tale obbligo.

Ma cosa significa su larga scala? Potremmo avere tutti in testa il concetto di molti dati, molti interessati, ma quanti? Come regolarsi?

Ma quanti devono essere questi dati, quante devono essere le categorie di dati e quanti interessati devono essere coinvolti perché io, azienda, debba nominare un DPO?

A parte che nominare un DPO è pratica sempre consigliata (e se vuoi il team PROVACY, che cura questo blog, ha un’offerta di consulenza specializzata sui processi per gestire il trattamento dei dati, sulla funzione del DPO e sull’implementazione di un sistema di trattamento dei dati che ti faccia stare al sicuro da eventuali rischi connessi e da sanzioni), sulla base del lavoro di interpretazione eseguito dal gruppo di lavoro sopra richiamato, ci sentiamo di fornirti queste brevi ma, finalmente comprensibili, indicazioni:

1) Il concetto di trattamento su Larga scala non si attribuisce ad un singolo medico, avvocato o operatore sanitario;

2) è attribuibile ad una struttura come un ospedale

3) il numero di soggetti interessati dal trattamento, dev’essere valutato in termini assoluti o espressi in percentuale della popolazione di riferimento (teniamo sempre conto che sono esclusi il numero di clienti di un avvocato o di un medico e sono considerati “su larga scala” il numero di dati trattati da un’ospedale);

4) considerare il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento;

5) considerare la durata, ovvero la persistenza, dell’attività di trattamento; “per quanto temo conserverai i dati”, per intenderci;

6) la portata geografica dell’attività di trattamento, ossia, sempre pensando ad un ospedale, pensiamo ad una portata provinciale o regionale dei dati trattati.

Ecco infine alcuni esempi da considerare trattamenti su larga scala, sempre direttamente elencati dal gruppo di lavoro:

⁃ l’elaborazione dei dati dei pazienti di un ospedale, come già detto,

⁃ il trattamento dei dati di viaggio dei soggetti che utilizzano un sistema di trasporto pubblico di una città (ad esempio il monitoraggio attraverso carte di viaggio),

⁃ l’elaborazione in tempo reale dei dati di geo-localizzazione della clientela per fini statistici,

⁃ il trattamento dei dati dei clienti da parte di una banca o di un’assicurazione,

⁃ il trattamento dei dati personali per la pubblicità comportamentale (cookies di profilazione, quindi occhio se fai internet marketing, se utilizzi i social media  per acquisire clienti, ecc…)

⁃ il trattamento dei dati da parte dei fornitori di servizi telefonici e/o internet (contenuti, traffico, posizione…).

Per qualunque altra interpretazione o consulenza rinnoviamo la disponibilità del team PROVACY, per progettare i tuoi processi a prova di privacy, a consigliarti e coadiuvarti per mantenere la tua operatività al riparo da interruzioni ed evitare fastidiose sanzioni.