La presente politica descrive l'approccio organizzativo adottato da INBARTO per gestire la protezione dei dati personali nel rispetto dei principi del Regolamento generale sulla protezione dei dati (UE) 2016/679 (GDPR).
L'obiettivo è illustrare come vengono considerate le responsabilità in materia di protezione dei dati, la prevenzione dei rischi, la sicurezza delle informazioni e le procedure organizzative connesse al trattamento dei dati personali.
A differenza dell'Informativa sulla privacy e dell'Informativa sui cookie, questo documento si concentra sulle modalità di gestione della conformità, sulle misure organizzative e sulla valutazione dei rischi.
1. Responsabilità nella protezione dei dati personali
La protezione dei dati personali costituisce parte integrante della gestione delle attività svolte attraverso il sito INBARTO.
Le modalità di trattamento vengono valutate tenendo conto di diversi fattori, tra cui:
-
La natura delle attività svolte
-
Le tecnologie e gli strumenti utilizzati
-
I possibili rischi per i diritti e le libertà delle persone interessate
Le procedure di protezione dei dati vengono riesaminate quando cambiano le attività operative, gli strumenti impiegati o altre circostanze che possono influire sulla sicurezza e sulla conformità del trattamento.
Questo approccio consente di valutare l'adeguatezza delle misure adottate rispetto alle attività effettivamente svolte.
2. Protezione dei dati fin dalla progettazione
Quando vengono introdotte nuove funzionalità, tecnologie o procedure che comportano il trattamento di dati personali, le esigenze di protezione delle informazioni vengono considerate già nella fase di progettazione.
In linea con i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e privacy by default), le configurazioni vengono valutate per:
-
Limitare l'accesso ai dati personali ai soggetti che ne hanno effettivamente bisogno
-
Utilizzare soltanto le informazioni necessarie allo svolgimento delle attività previste
-
Evitare, per quanto possibile, trattamenti non necessari attraverso impostazioni predefinite adeguate
L'applicazione di questi principi dipende dalla natura delle funzionalità e dalle caratteristiche del trattamento interessato.
3. Valutazione e gestione dei rischi
Le attività che comportano il trattamento di dati personali vengono considerate in relazione ai possibili rischi per i diritti e le libertà degli interessati.
La valutazione può prendere in esame:
-
Natura e finalità del trattamento
-
Quantità di dati coinvolti
-
Tipologie di informazioni trattate
-
Tecnologie utilizzate
-
Modalità di accesso alle informazioni
-
Possibili conseguenze di un utilizzo non autorizzato dei dati
L'analisi dei rischi contribuisce a individuare le misure tecniche e organizzative appropriate alle caratteristiche delle attività svolte.
Quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, viene valutata la necessità di effettuare una valutazione d'impatto sulla protezione dei dati, secondo quanto previsto dal GDPR.
4. Valutazione d'impatto sulla protezione dei dati (DPIA)
Nei casi previsti dal GDPR, prima dell'avvio di un trattamento viene effettuata una valutazione d'impatto sulla protezione dei dati personali, denominata Data Protection Impact Assessment (DPIA).
Questa valutazione ha lo scopo di:
-
Individuare i rischi connessi al trattamento
-
Esaminare la probabilità e la gravità dei possibili effetti sui diritti degli interessati
-
Identificare le misure necessarie per ridurre i rischi
-
Valutare se il trattamento possa essere svolto in condizioni adeguate di protezione dei dati
Qualora, nonostante le misure previste, la valutazione evidenzi un rischio elevato residuo che non possa essere sufficientemente ridotto, vengono considerate le ulteriori azioni richieste dalla normativa applicabile, inclusa, quando prevista, la consultazione preventiva dell'autorità di controllo competente.
5. Gestione dei fornitori che trattano dati personali
Quando INBARTO si avvale di soggetti esterni per trattare dati personali per proprio conto, la selezione viene effettuata tenendo conto delle garanzie richieste dalla normativa applicabile.
Le attività affidate ai fornitori vengono definite in funzione delle esigenze operative e delle responsabilità attribuite.
Quando previsto dal GDPR, i rapporti con i soggetti che operano in qualità di responsabili del trattamento sono disciplinati mediante accordi o altri atti giuridicamente vincolanti conformi ai requisiti applicabili.
I soggetti autorizzati al trattamento devono:
-
Utilizzare i dati personali esclusivamente nell'ambito delle attività loro affidate
-
Trattare le informazioni secondo le istruzioni applicabili e nei limiti delle autorizzazioni ricevute
La gestione dei fornitori tiene quindi conto sia delle necessità operative sia degli obblighi relativi alla protezione dei dati.
6. Autorizzazioni e controllo degli accessi
L'accesso ai dati personali è limitato in base alle effettive necessità operative.
Le autorizzazioni vengono attribuite considerando le responsabilità e le attività assegnate ai soggetti interessati.
Quando un'autorizzazione non è più necessaria, può essere modificata o revocata.
Questa gestione è finalizzata a ridurre il rischio che informazioni personali vengano consultate, utilizzate o modificate da soggetti privi delle necessarie autorizzazioni.
7. Gestione delle violazioni dei dati personali
Gli eventi che possono compromettere la sicurezza dei dati personali vengono valutati considerando:
-
La natura dell'evento
-
L'estensione delle informazioni e delle attività coinvolte
-
Le possibili conseguenze per gli interessati
In caso di violazione dei dati personali (data breach), vengono adottate le misure necessarie per contenere l'evento e limitarne, per quanto possibile, gli effetti.
Quando la normativa lo richiede, la violazione viene notificata all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui se ne è venuti a conoscenza, salvo i casi in cui il GDPR non preveda l'obbligo di notifica.
Se la notifica avviene oltre tale termine, viene fornita la motivazione del ritardo secondo quanto previsto dalla legge.
Quando una violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche, gli interessati vengono informati senza ingiustificato ritardo, nei casi e secondo le condizioni stabilite dal GDPR.
8. Documentazione e registrazione delle attività di trattamento
La gestione della conformità comprende, quando richiesto dalla normativa, la conservazione delle informazioni e dei documenti necessari a dimostrare l'adozione delle misure previste dal GDPR.
Gli obblighi di documentazione vengono valutati in funzione della natura e delle dimensioni delle attività svolte, nonché delle caratteristiche dei trattamenti effettuati.
La documentazione può riguardare:
-
Le attività di trattamento dei dati personali
-
Le misure tecniche e organizzative adottate
-
Le valutazioni dei rischi
-
Le autorizzazioni di accesso ai dati
-
Le misure e gli interventi relativi alla protezione delle informazioni
La conservazione di tali documenti contribuisce alla verifica delle procedure adottate e alla gestione delle responsabilità connesse al trattamento dei dati personali.
9. Consapevolezza e formazione sulla protezione dei dati
I soggetti autorizzati ad accedere ai dati personali devono conoscere le responsabilità associate al loro utilizzo e rispettare i limiti delle autorizzazioni ricevute.
In base alle mansioni svolte, le attività di sensibilizzazione e formazione possono riguardare:
-
La riservatezza delle informazioni personali
-
Le corrette modalità di accesso e utilizzo dei dati
-
La gestione delle richieste presentate dagli interessati
-
Le procedure da seguire in presenza di incidenti di sicurezza o sospette violazioni dei dati
L'autorizzazione ad accedere a determinate informazioni non consente di utilizzarle per finalità diverse da quelle previste dalle attività assegnate.
10. Responsabile della protezione dei dati (DPO)
Il GDPR prevede, in determinate circostanze, la designazione di un Responsabile della protezione dei dati, denominato Data Protection Officer (DPO).
INBARTO valuta la necessità di tale designazione in relazione alle caratteristiche delle attività di trattamento effettivamente svolte.
La valutazione tiene conto, in particolare, di:
-
Natura dei trattamenti
-
Ambito delle attività
-
Finalità del trattamento
-
Dimensioni e scala delle operazioni
Quando ricorrono le condizioni stabilite dalla normativa, viene effettuata la designazione del DPO secondo i requisiti applicabili.
La presente politica descrive i criteri utilizzati per valutare tale obbligo e non costituisce una dichiarazione di avvenuta nomina di un DPO.
11. Collaborazione con le autorità di controllo
INBARTO collabora con le autorità competenti in materia di protezione dei dati personali quando previsto dalla normativa applicabile.
Per le attività soggette alla disciplina italiana sulla protezione dei dati personali, l'autorità nazionale competente è il Garante per la protezione dei dati personali.
La collaborazione può comprendere:
-
La gestione delle richieste provenienti dalle autorità competenti
-
La cooperazione nell'ambito di verifiche e controlli
-
La gestione delle comunicazioni previste dalla legge
Le attività di collaborazione vengono svolte nel rispetto delle responsabilità e degli obblighi stabiliti dal GDPR e dalle disposizioni applicabili.
12. Verifica periodica delle misure di conformità
Le procedure relative alla protezione dei dati personali vengono riesaminate quando intervengono cambiamenti significativi nelle attività operative, nei sistemi utilizzati, nei rischi individuati o nella normativa applicabile.
Le verifiche possono interessare:
-
L'efficacia delle misure di protezione adottate
-
La gestione delle autorizzazioni di accesso
-
Le procedure organizzative
-
I rischi già individuati e quelli eventualmente emersi
Quando necessario, vengono apportati adeguamenti alle procedure e alle misure utilizzate, tenendo conto delle caratteristiche delle attività effettivamente svolte.
L'obiettivo è mantenere un livello di protezione coerente con la natura dei trattamenti e con i rischi per i diritti e le libertà degli interessati.
13. Aggiornamenti della politica GDPR
La presente politica può essere aggiornata per tenere conto di cambiamenti che riguardano:
-
L'evoluzione della normativa sulla protezione dei dati
-
Le tecnologie utilizzate
-
Le procedure organizzative
-
Le modalità di gestione delle attività di trattamento dei dati personali
Le eventuali modifiche vengono valutate in funzione della loro rilevanza per la gestione della conformità.
Quando necessario, vengono integrate nella politica per mantenere un quadro organizzativo coerente con le attività svolte e con gli obblighi applicabili in materia di protezione dei dati personali.
14. Contatti per questioni relative al GDPR
Per domande sulla presente politica, richieste di chiarimento sulle procedure di conformità o questioni relative alla gestione della protezione dei dati personali, è possibile contattare INBARTO attraverso i seguenti recapiti.
Nome del negozio: INBARTO
Indirizzo di contatto: 8133 Rhode Island Cir S, Minneapolis, MN 55438, Stati Uniti
Telefono: +1 (952) 638-4729
Email: orderhelp@inbarto.com
Mercato servito: Italia
Le richieste vengono esaminate in base alla loro natura e gestite nel rispetto delle disposizioni applicabili in materia di protezione dei dati personali.