Corso Privacy e GDPR per il Trattamento dei Dati Personali

La formazione privacy è obbligatoria per i dipendenti?

Sì. Gli artt. 29 e 32 GDPR, insieme all’art. 2-quaterdecies del D.Lgs 196/2003, impongono al titolare di garantire che le persone autorizzate al trattamento ricevano adeguate istruzioni e formazione. Il GDPR non fissa una durata minima legale: il principio di accountability ex art. 5, par. 2 richiede però al titolare di scegliere e documentare un percorso proporzionato ai rischi, tipicamente fra 4 e 8 ore con aggiornamento periodico.

Il DPO è obbligatorio per tutte le aziende?

No. L’art. 37 GDPR rende obbligatoria la designazione del Data Protection Officer per le pubbliche amministrazioni (esclusi gli organi giurisdizionali), per i titolari o responsabili la cui attività principale consiste in trattamenti che richiedono monitoraggio regolare e sistematico degli interessati su larga scala e per chi tratta su larga scala dati particolari ex art. 9 o dati relativi a condanne penali e reati. Al di fuori di questi casi la nomina è facoltativa ma spesso consigliata.

Quali sono le sanzioni previste dal GDPR?

L’art. 83 GDPR prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per le violazioni meno gravi e fino a 20 milioni di euro o al 4% del fatturato annuo mondiale per le violazioni più gravi (è applicato l’importo maggiore). Restano fermi i profili di responsabilità civile per i danni causati agli interessati ex art. 82 e le sanzioni penali previste dal Codice Privacy.

Qual è la differenza tra autorizzato, incaricato e responsabile del trattamento?

Il responsabile del trattamento (art. 28 GDPR) è un soggetto esterno che tratta i dati per conto del titolare sulla base di un contratto. Gli autorizzati al trattamento (art. 29 GDPR e art. 2-quaterdecies D.Lgs 196/2003) sono persone fisiche che operano sotto l’autorità del titolare o del responsabile seguendone le istruzioni. Il termine "incaricato" deriva dal previgente Codice Privacy: oggi corrisponde sostanzialmente alla figura dell’autorizzato.

Il corso privacy può essere svolto in e-learning?

Sì. Il GDPR non impone una modalità specifica: in coerenza con il principio di accountability, il titolare può scegliere fra aula, videoconferenza sincrona o e-learning asincrona, purché sia garantito un tracciamento delle attività, una verifica di apprendimento e il rilascio di un attestato. La piattaforma e-learning deve essere accessibile, prevedere test e consentire la conservazione delle evidenze formative.

Che cos’è il registro dei trattamenti ex art. 30 GDPR?

È il documento, in forma scritta o elettronica, che descrive le attività di trattamento svolte dal titolare e dal responsabile: finalità, categorie di interessati e di dati, destinatari, eventuali trasferimenti extra-UE, termini di cancellazione e misure di sicurezza. È obbligatorio salvo limitate esenzioni per imprese con meno di 250 dipendenti e va aggiornato in caso di nuovi trattamenti o modifiche significative.

Quanto tempo si ha per notificare un data breach al Garante?

L’art. 33 GDPR prevede la notifica al Garante entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione, salvo i casi in cui sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Nei casi di rischio elevato è prevista anche la comunicazione agli interessati ex art. 34, con linguaggio chiaro e indicazione delle misure adottate.

Ogni quanto è opportuno aggiornare la formazione sulla privacy?

Non esiste una scadenza fissata per legge, ma il principio di accountability richiede un aggiornamento periodico, indicativamente annuale, e ogni volta che intervengano modifiche significative: nuovi trattamenti, nuovi sistemi informatici, riorganizzazioni, provvedimenti rilevanti del Garante o nuove linee guida dell’EDPB.

L’attestato del Corso Privacy e GDPR è valido in tutta Italia?

Sì. Al termine del percorso e dopo il superamento della verifica finale viene rilasciato un attestato di partecipazione valido su tutto il territorio nazionale, da conservare a cura del titolare quale evidenza dell’assolvimento dell’obbligo formativo ex artt. 29 e 32 GDPR in caso di accertamento del Garante o di audit.