Source: https://digitalstore.tim.it/servizi/ge-dpr
Timestamp: 2018-09-26 07:29:52+00:00
Document Index: 172377357

Matched Legal Cases: ['art. 30', 'art. 29', 'art. 30', 'art. 17', 'art. 20', 'art. 35', 'art. 33']

GE DPR | Survey Management per GDPR | TIM Digital Store
Powered by GESEL Srl
La piattaforma progettata per supportare la transizione verso il GDPR
Uno strumento performante di survey management che riduce i tempi di evasione e le possibilità di errore delle attività necessarie ai sensi della nuova normativa privacy. Attraverso una dettagliata analisi, permette ai Titolari del trattamento di adempiere all’obbligo di documentazione dei trattamenti dei dati effettuati (c.d. Registro Unico dei Trattamenti, art. 30 GDPR), grazie al censimento effettuato su tutti gli archivi aziendali.
Analisi completa degli Archivi
Processo Assistito
Consente l'assessment di tutte le tipologie di "Archivi" (fisico o elettronico) che trattano dati personali.
Consente un'analisi delle criticità in termini di potenziali violazioni di sicurezza.
Include una formazione iniziale e il supporto per la configurazione dei ruoli e prevede supporto remoto alla compilazione a richiesta.
Fornisce i risultati dell'assessment attraverso un documento completo scaricabile o con una dashboard on-line di sintesi.
Che cosa fa GE DPR?
GE DPR consente alle aziende di condurre un efficace DPIA (Data Protection Impact Assessment) e dunque di conformarsi al nuovo Regolamento europeo per la protezione dei dati personali. Sulla scorta della metodologia DPIA delineata dalle Linee Guida formulate dal Gruppo di Lavoro art. 29 (WP 29), guida le aziende nell’analisi dei trattamenti effettuati e nell’individuazione dei rischi ad essi connessi. In particolare, funge da strumento di controllo e di monitoraggio dei K.R.I. (Key Risk Indicator). GE DPR permette alle aziende (Titolari del trattamento) di adempiere all’obbligo di documentazione dei trattamenti dei dati effettuati (c.d. Registro Unico dei Trattamenti, art. 30 GDPR), grazie al censimento degli stessi che svolge. Infine, GE DPR verifica l’adeguamento delle aziende a tutti i nuovi ed importanti principi introdotti dal GDPR, compresi il diritto all’oblio (art. 17 GDPR) e il diritto alla portabilità dei dati (art. 20 GDPR)
GE DPR è uno strumento pensato per i Responsabili della Privacy (DPO), figura che deve essere presente in tutte le aziende in cui vengano trattati dati personali in qualsiasi tipologia di "archivio" sia fisico che elettronico. E' indirizzato anche alle aziende più articolate grazie alla possibilità di definire differenti figure "delegate" (Responsabili assessmet, Referenti Archivio, Referenti IT, etc.) ciascuno con un suo ruolo specifico nel processo di verifica della compliance al GDPR. Inoltre GE DPR è anche uno strumento utile nel processo di Security Assessment, attraverso il quale è possibile evidenziare le aree di criticità per le quali è opportuno avviare successive attività di analisi e Remediation
Nel servizio è sempre incluso il supporto iniziale fornito al Responsabile della Privacy indicato dal Cliente in fase di acquisto per:
attività di formazione (effettuata tramite call o video call)
compilazione di un documento di pre assessment per la configurazione degli utenti
E' inoltre sempre possibile aver supporto alla compilazione per eventuali chiarimenti a fronte di dubbi sui quesiti presenti nell'attività di assessment tramite trouble ticketing web
Cosa è un Archivio GE DPR?
Cosa si intende per assessment di un archivio?
Le figure coinvolte nel processo
Gli output di GE DPR
Un archivio è un qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti. In un’azienda, individuare gli archivi (fisici ed elettronici) a supporto dei trattamenti dei dati personali significa catalogare i trattamenti effettuati. Più precisamente, il concetto di archivio è strettamente connesso al concetto di trattamento dei dati, di modo che a ciascun trattamento corrisponde un determinato archivio e non il contrario.
A titolo puramente esemplificativo, se un’azienda possiede un applicativo in cloud che gestisce sia i dati relativi alla fatturazione dei fornitori che i dati relativi ai dipendenti, saremo in presenza di due archivi. Infatti l’applicativo è uno, ma i trattamenti che vengono effettuati tramite lo stesso sono due. Una volta censiti i trattamenti effettuati in ogni particolare archivio, GE DPR permette di valutare la conformità degli stessi a quanto richiesto dal nuovo Regolamento europeo e di individuare le eventuali azioni correttive.
GE DPR prevede quattro tipologie di archivi:
Archivio cartaceo, ossia una banca dati elaborata in modo manuale su supporti cartacei
Archivio informatico centrale, ossia una banca dati accessibile tramite strumenti elettronici, organizzata in Data Base gestiti centralmente
Archivio informatico locale, ossia una banca dati accessibile tramite strumenti elettronici, organizzata in Data Base gestiti localmente
Share, ossia una banca dati che può consistere anche in semplici cartelle di lavoro (condivise o non) contenenti almeno un file, create localmente sulla postazione di lavoro del dipendente o su un server interno alla struttura
Il processo di assessment permette di analizzare in particolare le modalità, le necessità e la proporzionalità del trattamento dei dati valutando i rischi per i diritti e le libertà delle persone fisiche. L’assessment degli Archivi della soluzione GE DPR consente alle Aziende di poter valutare la conformità al GDPR. Nel caso dovessero emergere delle esigenze di adeguamento dovute a non conformità Gesel potrà proporre soluzioni di Remediation opzionali non inclusi nei profili proposti. Nella soluzione GE DPR l'assessment di ogni singolo Archivio risulta logicamente diviso in due distinte fasi di compilazione:
"Survey" Questionario obbligatorio che identificando in dettaglio le tipologie di archivio e le connesse modalità di trattamento dei dati permette di individuare tutti quei trattamenti che sono oggetto di DPIA ( Data Protection Impact Assessment) in ambito GDPR
“Questionario" Permette di effettuare un Security Assessment identificando in dettaglio le modalità di accesso agli archivi e tutti gli aspetti connessi
La soluzione GE DPR, per gli utilizzatori, prevede i seguenti profili di default:
1) Responsabile della Privacy (DPO) (figura obbligatoria): può creare un nuovo archivio, compilare survey, compilare questionario, delegare responsabile assesment, delegare responsabile archivio
2) Responsabile dell’Assessment (figura facoltativa): può creare un nuovo archivio, compilare survey, compilare questionario, delegare responsabile archivio
3) Referente Archivio (figura facoltativa): può compilare survey, compilare questionario, delegare responsabile IT
4) Referente IT (figura facoltativa): può compilare questionario, delegare utente guest
5) Utente guest (figura facoltativa): può rispondere a singoli quesiti del questionario solo su invito tramite email
La soluzione GE DPR prevede la possibilità di verificare in qualsiasi momento i risultati dell'assessment, evidenziando eventuali non conformità, tramite due modalità:
EXPORT ARCHIVIO DOCUMENTO (formato XLS). Questo documento che può essere scaricato in locale tramite apposita funzione risulta formato da due fogli distinti:
FOGLIO "SURVEY": Viene riportato l'elenco del trattamento dei dati. Su questo elenco vengono evidenziati quei trattamenti che in ambito GDPR risultano oggetto di DPIA (Data Protection Impact Assessment) e che devono essere obbligatoriamente meglio analizzati onde evitare eventuali azioni sanzionatorie come previsto dal GDPR
FOGLIO QUESTIONARIO: Vengono riportate le risultanze del Security Assessment. Su questo elenco vengono evidenziate le eventuali criticità in termini di sicurezza che vanno successivamente meglio analizzate; pur non comportando azioni sanzionatorie forniscono un quadro sintetico utile ad una eventuale attività di Remediation non inclusa nella soluzione GE DPR
2. CONSULTAZIONE ON LINE tramite apposita fuzionalità "MASTER IPM DASHBOARD": Tale form, a seguito della compilazione della Survey e Questionario, permette di consultare esclusivamente i trattamenti che in ambito GDPR risultano oggetto di DPIA (Data Protection Impact Assessment) e che devono essere obbligatoriamente meglio analizzati onde evitare eventuali azioni sanzionatorie come previsto dal GDPR
Su ogni profilo è possibile attivare ulteriori "archivi" da inserire nell'assessment e ulteriori "utenti" da coinvolgere nel processo.
E' inoltre possibile richiedere:
ulteriore attività di formazione (in aggiunta al supporto iniziale), al costo di 100€ per ogni 3 ore di supporto on-line
consulenza legale, al costo di 60 € per ogni ora di supporto on-line
L'Assistenza Tecnica della soluzione applicativa GE DPR avviene tramite il Portale dedicato (*):
http://geticket.gruppogesel.com
I Ticket verranno presi in carico entro le 24H nei giorni feriali dalle ore 9:00 alle 13:00 e dalle 14:00 alle 18:00 (esclusi pre-festivi e festivi).
*L’accesso al Portale di Assistenza avviene tramite le credenziali fornite al momento dell’attivazione del servizio
Attivazione fino ad un Archivio, attivazione fino a 5 Utenti, supporto alla compilazione su GE DPR fino a 1 archivio, mantenimento piattaforma GE DPR on-line e servizio di start-up
/mese	+ UT € 240,00
Attivazione fino a 3 Archivi, attivazione fino a 5 Utenti, supporto alla compilazione su GE DPR fino a 3 Archivi, mantenimento piattaforma GE DPR on-line e servizio di start-up
/mese	+ UT € 540,00
Attivazione fino a 5 archivi, attivazione fino a 10 Utenti, supporto alla compilazione su GE DPR fino a 5 Archivi, mantenimento piattaforma GE DPR on-line e servizio di start-up
Questo profilo non è disponibile on-line ma solo attraverso rete commerciale TIM
/mese	+ UT € 800,00
Il Regolamento Generale sulla Protezione dei Dati (GDPR, General Data Protection Regulation- Regolamento UE 2016/679) è un Regolamento con il quale la Commissione Europea ha inteso rafforzare e omogeneizzare la protezione dei dati all’interno dell’Unione Europea. Dopo quattro anni di dibattiti e trattative, il Regolamento è entrato in vigore il 25 maggio 2016 ed inizierà ad avere efficacia il 25 maggio 2018. Le disposizioni ivi contenute devono essere rispettate sia dalle aziende (Titolari del trattamento dei dati) con sede nell’Unione Europea, sia da quelle con sede al di fuori della Unione Europea che elaborano dati dei cittadini di uno Stato membro, a prescindere dal luogo in cui si trovano i server o le banche dati.
GDPR: cosa rischiano le aziende?
In ambito privacy le aziende sono individuate come Titolari del trattamento, ossia determinano le finalità e i mezzi del trattamento stesso. Il Regolamento pone al centro della disciplina il principio di “accountability” (responsabilizzazione) dei Titolari del trattamento.
Pertanto, le aziende hanno l’onere di porre in essere una serie di adempimenti, che rendano i principi posti dal nuovo Regolamento verificabili nei fatti. Le violazioni delle disposizioni del GDPR possono comportare severe sanzioni, con un importo fino a 20 milioni di euro o fino al quattro per cento del fatturato mondiale annuale, se superiore. È quindi necessario, per le aziende, un nuovo approccio nella gestione della protezione dei dati, al fine di poter dimostrare la compliance al Regolamento ed evitare di incorrere in pesanti sanzioni.
GDPR: quali sono i principi a cui adeguarsi?
In ossequio al principio di “Privacy by design” introdotto dal GDPR, le misure di protezione dei dati devono essere pianificate con applicazioni informatiche di supporto a partire dalla progettazione dei processi aziendali. Con un approccio basato sulla valutazione del rischio, è necessario stabilire la misura di responsabilità del Titolare e/o del Responsabile del trattamento, tenendo conto della natura, della portata, del contesto e delle finalità del trattamento, nonché della probabilità e della gravità dei rischi per i diritti e le libertà degli interessati.
Lo strumento preposto all’analisi dei rischi connessi ai trattamenti e all’individuazione delle azioni correttive necessarie è stato individuato dal legislatore europeo nella Valutazione di Impatto della Protezione dei Dati (DPIA- Data Protection Impact Assessment, art. 35 GDPR). È un processo che aiuta ciascuna azienda a costruire e a dimostrare la conformità al GDPR. Con la DPIA viene fatta una valutazione del trattamento, in particolare vengono analizzati necessità e proporzionalità dello stesso e i rischi per i diritti e le libertà delle persone fisiche. Effettuata una corretta DPIA, possono essere identificate le misure più appropriate per ridurre e minimizzare i rischi in termini di impatto con gli interessati e possono essere adottate, tenuto conto dello stato dell’arte, le misura tecniche, giuridiche ed organizzative necessarie. Tale processo non avviene una tantum, bensì è permanente.
GDPR: come cambiano le misure di sicurezza?
La sicurezza informatica, intesa come l’insieme di tutte le misure e le tecniche necessarie per proteggere l’hardware, il software ed i dati dagli accessi non autorizzati e da eventuali usi illeciti, riveste nel GDPR un ruolo molto importante.
Pertanto, per mantenere la sicurezza e prevenire trattamenti che violano il GDPR, il Titolare e/o il Responsabile del trattamento devono valutare anche il c.d. “rischio informatico”. In questo concetto rientrano il rischio di danni economici (rischi diretti) e di reputazione (rischi indiretti) che possono derivare dall’uso della tecnologia.
Con il GDPR sparisce l’aggettivo “minime” in relazione alle misure di sicurezza (ex. art. 33 e Allegato B, Codice Privacy). Non vi sono più obblighi generalizzati di adozione di tali misure “minime”, ma le misure di sicurezza devono “garantire un livello di sicurezza adeguato al rischio” del trattamento. La scelta delle misure “adeguate” viene quindi demandata al Titolare/Responsabile del trattamento. La discrezionalità lasciata ai Titolari/Responsabili viene però compensata dalla responsabilizzazione (accountability) degli stessi, nei termini specificati nei precedenti paragrafi. GE DPR supporta le aziende nella scelta delle misure di sicurezza “adeguate”, così come prescritte dal nuovo Regolamento europeo.
Cosa è un archivio su GE DPR?
Un archivio è un qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti.
In un’azienda, individuare gli archivi (fisici ed elettronici) a supporto dei trattamenti dei dati personali significa catalogare i trattamenti effettuati.
Più precisamente, il concetto di archivio è strettamente connesso al concetto di trattamento dei dati, di modo che a ciascun trattamento corrisponde un determinato archivio e non il contrario.
A titolo puramente esemplificativo, se un’azienda possiede un applicativo in cloud che gestisce sia i dati relativi alla fatturazione dei fornitori che i dati relativi ai dipendenti, saremo in presenza di due archivi. Infatti, l’applicativo è uno, ma i trattamenti che vengono effettuati tramite lo stesso sono due.
Una volta censiti i trattamenti effettuati in ogni particolare archivio, GE DPR permette di valutare la conformità degli stessi a quanto richiesto dal nuovo Regolamento europeo e di individuare le eventuali azioni correttive.
Quante tipologie di archivi esistono su GE DPR?
> Archivio cartaceo, ossia una banca dati elaborata in modo manuale su supporti cartacei;
> Archivio informatico centrale, ossia una banca dati accessibile tramite strumenti elettronici, organizzata in Data Base gestiti centralmente;
> Archivio informatico locale, ossia una banca dati accessibile tramite strumenti elettronici, organizzata in Data Base gestiti localmente;
> Share, ossia una banca dati che può consistere anche in semplici cartelle di lavoro (condivise o non) contenenti almeno un file, create localmente sulla postazione di lavoro del dipendente o su un server interno alla struttura.
Il processo di assessment permette di analizzare in particolare le modalità, le necessità e la proporzionalità del trattamento dei dati valutando i rischi per i diritti e le libertà delle persone fisiche. L’assessment degli Archivi della soluzione GE DPR consente alle Aziende di poter valutare la conformità al GDPR. Nel caso dovessero emergere delle esigenze di adeguamento dovute a non conformità il Cliente dovrà adottare soluzioni di Remediation che non risultano inclusi nei profili proposti.
Nella soluzione GE DPR l'assessment di ogni singolo Archivio risulta logicamente diviso in due distinte fasi di compilazione :
1) ” Survey”
Questionario obbligatorio che identificando in dettaglio le tipologie di archivio e le connesse modalità di trattamento dei dati permette di individuare tutti quei trattamenti che sono oggetto di DPIA (Data Protection Impact Assessment) in ambito GDPR .
2) “Questionario"
Permette di effettuare un Security Assessment identificando in dettaglio le modalità di accesso agli archivi e tutti gli aspetti connessi.
Quali profili UTENTE sono previsti di default nella soluzione GE DPR?
1) Responsabile della Privacy (DPO): (figura obbligatoria)
può creare un nuovo archivio, compilare survey, compilare questionario, delegare responsabile assesment, delegare responsabile archivio
2) Responsabile dell’Assessment: (figura facoltativa),
può creare un nuovo archivio, compilare survey, compilare questionario, delegare responsabile archivio
3) Referente Archivio: (figura facoltativa)
può compilare survey, compilare questionario, delegare responsabile IT
4) Referente IT (figura facoltativa)
può compilare questionario, delegare utente guest
5) Utente guest (figura facoltativa):
può rispondere a singoli quesiti del questionario solo su invito tramite email.
L'attività di assessment dell'archivio che fasi prevede?
L’ Assesment può procedere secondole seguenti fasi:
- creazione nuovo archivio
- survey da completare
- survey completata
- questionario da completare
- questionario completato
- validato dal Responsabile Assessment (facoltativo)
- validato da Responsabile Privacy (obbligatorio).
Che tipo di output sono previsti?
1. EXPORT ARCHIVIO DOCUMENTO FORMATO XLS
Questo documento che può essere scaricato in locale tramite apposita funzione risulta formato da due fogli distinti:
- FOGLIO "SURVEY":
Viene riportato l'elenco del trattamento dei dati. Su questo elenco vengono evidenziati quei trattamenti che in ambito GDPR risultano oggetto di DPIA (Data Protection Impact Assessment) e che devono essere obbligatoriamente meglio analizzati onde evitare eventuali azioni sanzionatorie come previsto dal GDPR.
- FOGLIO QUESTIONARIO
Vengono riportate le risultanze del Security Assessment. Su questo elenco vengono evidenziate le eventuali criticità in termini di sicurezza che vanno successivamente meglio analizzate; pur non comportando azioni sanzionatorie forniscono un quadro sintetico utile ad una eventuale attività di Remediation non inclusa nella soluzione GE DPR.
2. CONSULTAZIONE ON LINE TRAMITE APPOSITA FUNZIONALITA' "MASTER IPM DASHBOARD"
Tale form, a seguito della compilazione della Survey e Questionario, permette di consultare esclusivamente i trattamenti che in ambito GDPR risultano oggetto di DPIA (Data Protection Impact Assessment) e che devono essere obbligatoriamente meglio analizzati onde evitare eventuali azioni sanzionatorie come previsto dal GDPR.
La soluzione prevede attività di remediation?
La soluzione NON PREVEDE alcuna attività del tipo:
- ANALISI DELLE NON CONFORMITA'
- ANALISI E INDIVIDUAZIONE DELLE SOLUZIONI DI REMEDIATION
- PIANO DI REMEDIATION E APPLICAZIONE
Le attività sopra citate sono da verificare e trattare a parte secondo modalità a progetto.