Source: https://www.storaristudiolegale.it/blog/gdpr-e-backup-dei-dati-personali
Timestamp: 2019-09-17 06:34:46+00:00

Document:
GDPR e backup dei dati personali - Storari Studio Legale
Autore Avv. Martina Vivirito Pellegrino | Categoria: Attualità, Diritto | Commenti: 0
Il GDPR affronta indirettamente il tema della gestione dei sistemi di backup, dettando alcuni principi ai quali titolari e responsabili del trattamento dei dati devono attenersi.
1. Al momento della raccolta dei dati personali il titolare è tenuto a fornire all’interessato informazioni circa “il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo” (articolo 13, § 2, GDPR).
Quest’obbligo è correlato al principio di minimizzazione dei dati (articolo 5, § 1, lettera c) e di limitazione della conservazione (articolo 5, § 1, lettera e), GDPR).
Il periodo di conservazione può dipendere da prescrizioni di legge (ad esempio: 72 mesi per gli operatori telefonici – articolo 24, legge n. 167/2017), da indicazioni del Garante per la protezione dei dati personali (ad esempio: 15 anni per un’agenzia immobiliare che effettui attività di marketing e di profilazione – provvedimento del 30 giugno 2016) o può essere suggerito da linee guida determinate da organismi di categoria (ad esempio: Consiglio Nazionale Forense per gli avvocati).
2. Fin dalla progettazione – privacy by design – e per impostazione predefinita dei sistemi di raccolta e trattamento dei dati – privacy by default – il titolare e il responsabile del trattamento devono adottare “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative” (articolo 32, § 1, GDPR).
I punti b) e c) implicano l’adozione di misure tecniche capaci di assicurare su base permanente la sicurezza e la resilienza dei servizi di trattamento, nonché il ripristino tempestivo della disponibilità e dell’accesso dei dati personali; in altre parole, titolare e responsabile del trattamento devono poter contare su un efficiente sistema di backup.
3. Occorre, inoltre, verificare che ogni fase del trattamento dei dati avvenga nel rispetto del GDPR e dei diritti degli interessati: bisognerà valutare dunque anche la correttezza delle procedure di recupero dei dati e l’esito ultimo del backup.
Il titolare e il responsabile del trattamento dovranno valutare se il trattamento dei dati recuperati possa ancora considerarsi lecito e corretto ai sensi del GDPR successivamente al ripristino – ciò, in particolare, se nel frattempo l’interessato abbia esercitato uno o più diritti in relazione ai propri dati trattati (ad esempio: diritto di rettifica o di cancellazione del dato; di limitazione o di opposizione al trattamento), così da garantirne l’attualità.
In ogni caso, (anche) le procedure di backup devono allinearsi agli obblighi specificati dal citato articolo 32 del GDPR e garantire che il trattamento dei dati avvenga in conformità all’informativa fornita ai sensi degli articoli 13 e 14 del GDPR e nel rispetto dei diritti dell’interessato.
Sempre in tema di privacy e GDPR:
PRIVACY E GDPR NEGLI STUDI PROFESSIONALI (E LEGALI) – PARTE 2 – DPO E VALUTAZIONE D'IMPATTO
PRIVACY E GDPR NEGLI STUDI PROFESSIONALI (E LEGALI) – PARTE 1 – RUOLI PRINCIPALI
La privacy costituisce uno dei settori principali dell'attività dello studio. Per contattare lo studio, fare click qui.
Adozione e strumenti di tutela del minore – 2 – servizi sociali
Cosa accade dopo la segnalazione di un minore a rischio? Come operano i servizi…
Adozione e strumenti di tutela del minore – 1 – introduzione
Cosa sono l’adozione e l’affidamento? Come si attivano i relativi procedimenti?…

References: § 2
 § 1
 § 1
 articolo 24
 § 1
 articolo 32