Source: https://marcellocolaianniblog.wordpress.com/category/9001/
Timestamp: 2020-07-12 09:20:36+00:00
Document Index: 58978323

Matched Legal Cases: ['§ 5', 'art. 13', 'art. 11', 'art. 11', 'art. 5', 'art. 5', '§ 2', 'art. 11', 'art. 28', 'art. 4', 'art. 24', 'art. 35']

9001 – Marcello Colaianni Blog
Categoria: 9001
La funzione CONTROLLO DI QUALITA’ per le società di revisione fra ISO 9001 e Regolamento CONSOB
Pubblicato 9 luglio 2020 9 luglio 2020 da marcellocolaianni62
Le società di revisione certificate ISO 9001, per i Sistemi di gestione della qualità, devono porre un’attenta distinzione con riferimento alla funzione controllo di qualità soggetta ad una specifica regolamentazione.
Il § 5.3: Ruoli, responsabilità e autorità nell’organizzazione contempla la funzione in discorso all’insegna della consapevolezza di una cultura per la qualità che non deve essere circoscritta al solo Responsabile del sistema di gestione qualità ovvero del Rappresentante della direzione per la qualità ma diffusa a tutti i livelli e funzioni dell’intera organizzazione.
Ciò premesso, la distinzione fra i ruoli pertinenti a cui devono essere assegnate specifiche responsabilità e autorità in ambito ISO e quelli i cui compiti sono richiamati dal suddetto regolamento assume particolare rilevanza in termini di chiarezza e trasparenza di compiti e mansioni, per l’organizzazione medesima, per l’organismo di certificazione ed i suoi auditor, per i clienti in sede di verifiche ispettive di qualificazione, per le Autorità competenti e gli organi di controllo.
I margini di manovra, per gli uni e gli altri soggetti, sono chiaramente definiti all’interno delle rispettive norme.
Nella norma ISO 9001, Sistemi di gestione per la qualità – Requisiti, si legge:
L’alta direzione deve assegnare le responsabilità e autorità per:
a) assicurare che il sistema di gestione per la qualità sia conforme ai requisiti della presente norma internazionale;
b) assicurare che i processi stiano producendo gli output attesi;
c) riferire, in particolare all’alta direzione, sulle prestazioni del sistema di gestione per la qualità e sulle opportunità di miglioramento (vedere punto 10.1);
d) assicurare la promozione della focalizzazione sul cliente nell’ambito dell’intera organizzazione;
e) assicurare che l’integrità del sistema di gestione per la qualità sia mantenuta, quando vengono pianificate e attuate modifiche al sistema stesso.
All’art. 13 del regolamento Consob, in materia di Antiriciclaggio, è disposto che:
5. Le verifiche svolte dalla funzione sono documentate e i relativi atti, ove richiesti, sono prontamente forniti alle Autorità di vigilanza di settore e alla UIF (Unità Interna Finanziaria).
6. La funzione redige inoltre una relazione annuale da sottoporre agli organi sociali, avente ad oggetto compiute informazioni sull’attività svolta e sui relativi esiti.
Siffatta distinzione, nel rispetto delle peculiarità delle singole funzioni, rivela l’importanza dell’organigramma:
 aziendale, quale rappresentazione grafica della struttura organizzativa dell’azienda,
 per la Qualità volta ad indentificare i diversi livelli e funzioni coinvolti nell’implementazione, applicazione e miglioramento continuo del Sistema di gestione,
 per l’Antiriciclaggio e Lotta al finanziamento del terrorismo quale presidio organizzativo per i soggetti obbligati al rispetto del D. Lgs. 21 novembre 2007 n. 231 e successive modifiche ed integrazioni.
 per una consulenza specifica in materia di Qualità e Antiriciclaggio,
 per un’assistenza personalizzata nell’applicazione della normativa cogente e di sistema,
 per un approccio puntuale nel raggiungimento dei tuoi obiettivi
occorrono competenze trasversali e multidisciplinari.
Visita il mio sito http://www.colaianniconsulting.it e contattami, insieme faremo la differenza.
Qualified ISO 37001 Auditor
Categorie 231, 9001, anti-money laundering, AntiMoneyLaundering, ANTIRICICLAGGIO, Auditor, Colaianni, colaianni consulting, CONSOB, D. Lgs. 125/2019, D. Lgs. 231/2007, gruppo di imprese, Organigramma per la Qualità, Organizzazione aziendale, professionisti, reati 231, sistema di gestione per la qualità, sistemi di controllo interno, società di revisione, UNI ISO 45001
Pubblicato 1 luglio 2020 9 luglio 2020 da marcellocolaianni62
Le società di revisione certificate ISO 9001, per i Sistemi di gestione per la qualità, devono porre un’attenta distinzione con riferimento alla funzione controllo di qualità soggetta ad una specifica regolamentazione.
Il paragrafo 5.3 della 9001: Ruoli, responsabilità e autorità nell’organizzazione contempla la funzione in discorso all’insegna della consapevolezza di una cultura per la qualità che non deve essere circoscritta al solo Responsabile del sistema di gestione ovvero del Rappresentante della direzione per la qualità, ma diffusa a tutti i livelli e funzioni dell’intera organizzazione.
Ciò premesso, la distinzione – fra i ruoli pertinenti a cui devono essere assegnate specifiche responsabilità e autorità in ambito ISO e quelli i cui compiti sono richiamati dal suddetto regolamento – assume particolare rilevanza in termini di chiarezza e trasparenza di compiti e mansioni per l’organizzazione medesima, per l’organismo di certificazione ed i suoi auditor, per i clienti in sede di verifiche ispettive di qualificazione, per gli organi di controllo e le Autorità competenti.
assicurare che il sistema di gestione per la qualità sia conforme ai requisiti della presente norma internazionale;
assicurare che i processi stiano producendo gli output attesi;
riferire, in particolare all’alta direzione, sulle prestazioni del sistema di gestione per la qualità e sulle opportunità di miglioramento
assicurare la promozione della focalizzazione sul cliente nell’ambito dell’intera organizzazione;
assicurare che l’integrità del sistema di gestione per la qualità sia mantenuta, quando vengono pianificate e attuate modifiche al sistema stesso.
La funzione di controllo di qualità, nell’ambito dei relativi programmi di monitoraggio, verifica l’osservanza delle disposizioni normative e delle procedure interne in materia di prevenzione e gestione dei rischi di riciclaggio e di finanziamento del terrorismo.
In tale ambito, la funzione, tra l’altro, verifica:
Gli interventi sono oggetto di pianificazione per consentire che le prestazioni professionali siano sottoposte a verifica in un congruo arco di tempo e che le iniziative siano più frequenti con riferimento agli incarichi caratterizzati da maggiore esposizione ai rischi di riciclaggio e di finanziamento del terrorismo.
La funzione di controllo di qualità svolge altresì interventi di follow-up al fine di assicurarsi dell’avvenuta adozione degli interventi correttivi delle carenze e irregolarità riscontrate e della loro idoneità ad evitare analoghe situazioni nel futuro.
Le verifiche svolte dalla funzione sono documentate e i relativi atti, ove richiesti, sono prontamente forniti alle Autorità di vigilanza di settore e alla UIF (Unità Interna Finanziaria).
La funzione redige inoltre una relazione annuale da sottoporre agli organi sociali, avente ad oggetto compiute informazioni sull’attività svolta e sui relativi esiti.
aziendale, quale rappresentazione grafica della struttura organizzativa dell’azienda,
per la Qualità, volto ad indentificare i diversi livelli e funzioni coinvolti nell’implementazione, applicazione e miglioramento continuo del Sistema di gestione,
per l’Antiriciclaggio e Lotta al finanziamento del terrorismo, quale presidio organizzativo per i soggetti obbligati al rispetto del D. Lgs. 21 novembre 2007 n. 231 e successive modifiche ed integrazioni.
Qualora, diversamente, la funzione in commento, intesa in termini isoniani, rientrasse nell’ambito del Management Systems Department piuttosto che di una specifica funzione Qualità, il rischio di confusione dei compiti delle due figure verrebbe meno.
In questo caso, infatti, sarebbero più agevolmente distinguibili i diversi ruoli e compiti dei soggetti che, da differenti prospettive, si occupano di “controllo di qualità”.
per una consulenza specifica in materia di Qualità e Antiriciclaggio,
per un’assistenza personalizzata nell’applicazione della normativa cogente e di sistema,
per un approccio puntuale nel raggiungimento dei tuoi obiettivi,
Categorie 231, 9001, AML/CFT, anti-money laundering, anticorruzione, AntiMoneyLaundering, ANTIRICICLAGGIO, Auditor, BANCA D'ITALIA, CFT, Colaianni, colaianni consulting, Collegio sindacale, combating the financing of terrorism, comitato di sorveglianza, Comitato per il Controlllo Interno, CONSOB, Consulente, Consulenza, corporate, Corruzione, D. Lgs. 125/2019, D. Lgs. 231/2001, D. Lgs. 231/2007, IVASS, Lotta al finanziamento del terrorismo, Marcello Colaianni, MOG, OdV, Organigramma aziendale, Organigramma per l'antiriciclaggio, Organigramma per la Qualità, Organismo di Vigilanza, reati 231, sistema di gestione per la qualità, sistemi di controllo interno
L’istituto della Certificazione in Svizzera alla luce del GDPR e della Legge federale sulla protezione dei dati (LPD).
Pubblicato 19 giugno 2019 17 luglio 2019 da marcellocolaianni62
La Svizzera non è Stato membro dell’Unione Europea cionondimeno l’osservanza del Regolamento UE 679/2016 (GDPR) trova applicazione anche qui, sia pur in determinate circostanze. In particolare nelle ipotesi in cui le attività di trattamento:
siano riconducibili alla filiale dell’impresa svizzera che si trovi all’interno dell’Unione europea;
riguardino l’offerta di beni o la prestazione di servizi agli interessati che si trovino nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato;
riguardino il monitoraggio del comportamento degli interessati nella misura in cui tale comportamento ha luogo all’interno dell’Unione;
siano riconducibili all’impresa svizzera che assume il ruolo di Responsabile del trattamento, per un’impresa europea, nello svolgimento delle attività di cui al punto “2.”
Per quanto in premessa, in sede di applicazione del GDPR, le imprese svizzere possono essere interessate alla certificazione per la protezione dei dati personali con riferimento alle proprie attività di trattamento.
Certificazione già contemplata dalla Legge federale sulla Protezione dei Dati – LPD (235.1 del 19/6/1992) che, all’art. 11: Procedura di certificazione, dispone:
<<Per migliorare la protezione e la sicurezza dei dati, i fornitori di sistemi e di programmi di trattamento dei dati, nonché le persone private o gli organi federali che trattano dati personali possono sottoporre i loro sistemi, le loro procedure e la loro organizzazione a una valutazione da parte di organismi di certificazione riconosciuti e indipendenti>>.
<<Il Consiglio federale emana disposizioni sul riconoscimento delle procedure di certificazione e sull’introduzione di un marchio di qualità inerente alla protezione dei dati. Esso tiene conto del diritto internazionale e delle norme tecniche riconosciute a livello internazionale>>.
Ma è la lettura del Messaggio – concernente la revisione della legge federale sulla protezione dei dati (LPD) e il decreto federale concernente l’adesione della Svizzera al Protocollo aggiuntivo dell’8 novembre 2001 alla Convenzione per la protezione delle persone in relazione all’elaborazione automatica dei dati a carattere personale concernente le autorità di controllo e i flussi internazionali di dati – del 19 febbraio 2003 a fornire utili ed ulteriori specificazioni:
2.10 – Art. 11: Procedura di certificazione
Devono essere sviluppate sia procedure di certificazione di processi operativi rilevanti per la protezione di dati o di strutture organizzative (audit in materia di protezione di dati) sia la valutazione di sistemi o programmi informatici – cioè di prodotti – per quanto riguarda l’osservanza di standard in materia di protezione di dati.
Dal che emerge che ciò di cui si sta parlando è una certificazione di prodotti, processi e servizi fondata sulla norma UNI CEI EN ISO/IEC 17065: Valutazione della conformità – Requisiti per organismi che certificano prodotti, processi e servizi.
La procedura di valutazione deve portare, una volta stabilito che le norme legali e tecniche del ramo sono osservate, al conferimento di un marchio di qualità inerente alla protezione di dati. Questo riconoscimento può essere utilizzato dalle ditte di certificazione per scopi pubblicitari e portato a conoscenza del pubblico. Le autorità e ditte certificate sono escluse dall’obbligo di notifica della loro raccolta di dati di cui all’articolo 11a, se hanno comunicato il risultato della valutazione all’Incaricato della protezione dei dati. Questo alleggerimento ha lo scopo di incentivare.
Il conseguimento della certificazione consente quindi ampia pubblicità circa l’assicurazione sull’idoneità, correttezza ed adeguatezza delle proprie attività di trattamento e disimpegna le ditte certificate dall’obbligo di notifica.
Gli organismi che svolgono questa procedura di certificazione devono essere indipendenti, dal punto di vista soprattutto organizzativo ma anche tecnico, dai privati o dalle autorità da valutare. Il riconoscimento di questi organismi dovrà essere regolato dal Consiglio federale nell’ordinanza. È anche immaginabile che gli organismi di certificazione debbano disporre di un accreditamento.
Inoltre l’Incaricato deve verificare se le procedure di valutazione e il conferimento del marchio di qualità sono compatibili con il diritto vigente. Egli può intervenire mediante gli strumenti previsti dalla LPD (raccomandazione, proposta alla commissione della protezione dei dati).
Ora, pur considerato che in Svizzera è in elaborazione uno standard per procedure uniformi in materia di certificazioni inerenti alla protezione di dati, può essere utile sapere che esiste già, sul mercato, un meccanismo di certificazione conforme al GDPR, accreditato Accredia, e promosso dalla Commissione europea: l’International Scheme for Data Protection ISDP 10003:2018.
Il ricorso ad un siffatto meccanismo di certificazione che, di per sé, fornisce già una molteplicità di assicurazioni e garanzie, può essere strumento chiarificatore dello stato dell’arte in Svizzera e, forse, valido suggerimento per gli obiettivi che la Confederazione elvetica vuole raggiungere.
Qui, infatti, il riferimento alla certificazione si fonda:
sull’art. 11 della Legge federale sulla protezione dei dati,
sull’Ordinanza sulle certificazioni in materia di protezione dei dati (OCPD) che, aggiornato al 1° novembre 2016, richiama le norme UNI EN ISO 9001: Sistemi di gestione per la qualità – Requisiti e UNI CEI ISO/IEC 27001: Tecnologie informatiche – Tecniche per la sicurezza – Sistemi di gestione per la sicurezza delle informazioni – Requisiti ed altre ordinanze.
Inoltre, nel documento riepilogativo circa lo stato della certificazione di prodotti e servizi si legge: “Dalla discussione è emerso che per il mercato svizzero una certificazione di prodotti informatici (hardware, software o sistemi per l’elaborazione automatizzata dei dati) è improponibile per ragioni giuridiche, tecniche e finanziarie. Diversi partecipanti al gruppo di lavoro hanno però chiesto di introdurre una certificazione dei servizi”.
L’art. 5 della suddetta ordinanza (RS 235.13), tuttavia, fa riferimento alla Certificazione dei prodotti e più precisamente alla certificazione dei prodotti destinati in prevalenza al trattamento di dati personali o generanti, al momento del loro impiego, dati personali, in particolare relativi all’utente rilevando l’effettiva mancanza circa la normazione di una certificazione dei servizi.
Orbene, un piccolo richiamo alle norme ISO torna utile.
Nell’alveo delle norme ISO di Valutazione della conformità si riconoscono:
la norma ISO 17020:2012: Requisiti per il funzionamento di vari tipi di organismi che eseguono ispezioni;
la norma ISO 17021:2012: Requisiti per gli organismi che forniscono audit e certificazione di sistemi di gestione;
la norma ISO 17024:2012: Requisiti generali per organismi che eseguono la certificazione delle persone;
la norma ISO 17025:2018: Requisiti generali per la competenza dei laboratori di prova e di taratura e
la norma ISO 17065:2012: Requisiti per organismi che certificano prodotti, processi e servizi.
È proprio quest’ultima, la ISO 17065, a fare al nostro caso.
La norma in discorso, infatti, non è quella fondante su cui si basano gli organismi per la certificazione di un sistema di gestione aziendale ma è quella di accreditamento degli organismi che certificano processi, prodotti e servizi.
É quella richiamata nel GDPR, il regolamento 679/2016, a cui le imprese svizzere devono adeguarsi in presenza delle considerazioni in premessa; è la norma:
per la certificazione dei prodotti di cui all’art. 5 dell’ordinanza di RS 235.13,
per la certificazione di processi operativi rilevanti per la protezione di dati (v- § 2.10 – Art. 11: Procedura di certificazione Messaggio del 19/2/2003 di revisione della LPD).
fatto salvo il rispetto delle leggi della Confederazione elvetica, cantonali nonché, in presenza di presupposti, del Regolamento UE 679/2016:
la certificazione di prodotti, processi e servizi, di cui alla normativa richiamata, viene soddisfatta se effettuata da un organismo di certificazione accreditato in conformità alla ISO 17065. A questi presupposti è sicuramente allineato lo schema ISDP 10003 di Inveo Srl.
la certificazione di sistemi, procedure e dell’organizzazione dei fornitori e delle persone private, di cui all’art. 11 della LPD, se non soddisfatta come sopra, deve necessariamente avvenire in conformità a una o più norme fondate sulla ISO 17021 ovvero sulla norma di accreditamento degli organismi che forniscono certificazioni di sistemi di gestione.
In questo caso, però, è utile che le direttive emanate dall’incaricato – sui requisiti minimi che un sistema di gestione della protezione dei dati deve adempiere – non si limitino a richiamare la ISO 9001 e la ISO 27001 estendendosi, per esempio, alla linea guida BS 10012:2017: Data protection – Specification for a personal information management system e alla ISO 27552 dal titolo “Security techniques – Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management – Requirements and guidelines” che, pur rientrando fra le norme della famiglia ISO 27000 riguardanti la sicurezza delle informazioni sembra estendere il proprio campo di applicazione agli aspetti inerenti la gestione dei dati personali.
Categorie 17021, 17065, 20000-1, 22301, 231, 27001, 9001, attività pericolosa, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, ISDP 10003:2018 Scheme, Legge federale della Protezione dei Dati, LPD, Manager privacy, Marcello, Marcello Colaianni, MOG, normativa cogente, normativa volontaria, onere della prova, Organizzazione, Privacy, Qualità, reati 231, Reg. UE 679/2016, Regolamento UE, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, Specialista privacy, UNI ISO 31000, Valutatore Privacy
GDPR versus ISO 27001
Pubblicato 17 ottobre 2018 19 ottobre 2018 da marcellocolaianni62
È ormai noto a tutti che la certificazione di un sistema di gestione della sicurezza delle informazioni (SGSI) non è valida quale evidenza circa la conformità dell’organizzazione alla normativa per la Data Protection.
Al contrario si può affermare che, pur soddisfatti gli altri requisiti, laddove non si abbia riscontro circa le dovute assicurazioni in merito alla privacy ed alla protezione dei dati personali, la certificazione del SGSI non è garantita.
Lo si evince dal combinato disposto di cui all’obiettivo A.18.1.4 dell’appendice A ed al punto 6.1.3 “Trattamento del rischio relativo alla sicurezza delle informazioni” della ISO 27001.
Una lettura trasversale nei suddetti termini suggerisce quanto diventi fondamentale, oltre che opportuna, una certificazione di 3a parte di un meccanismo conforme agli articoli 42 e 43 del Regolamento UE 679.
È, in altre parole, quasi come dire che occorre verificare l’esistenza di una certificazione pro GDPR, o almeno la presenza dei presupposti di conformità al GDPR, per poter avviare l’iter per la certificazione ISO 27001 . È come, mi si permetta il parallelismo, quando le SOA devono verificare preliminarmente l’esistenza della certificazione ISO 9001 per il rilascio delle attestazioni richieste.
Se così è, appaiono evidenti le molteplici considerazioni che ne conseguono.
È conditio sine qua non che gli auditor 27001 coinvolti nell’audit, o almeno l’OdC, siano depositari di adeguate conoscenze in materia di data protection. In questo caso alcuni OdC potrebbero decidere di avvalersi, in alternativa agli esperti tecnici, di auditor che abbiano anche una certificazione secondo la norma UNI 11697. Ciò anche per dare ancora più peso e valore alla certificazione rilasciata.
Ben immaginabili possono essere le conseguenze di un siffatto ragionamento.
Si pensi ad un’organizzazione che abbia sia la certificazione ISO 27001 sia quella ex GDPR.
Quali potrebbero essere gli effetti qualora, in sede di verifica annuale, la stessa organizzazione si vedesse revocare il certificato di conformità al Regolamento? Oltre alla revoca del certificato, debitamente motivata, che l’OdC deve obbligatoriamente trasmettere al Garante privacy, c’è anche il rischio di vedersi, conseguentemente, revocare la certificazione ISO 27001 data la sopraggiunta inosservanza alla normativa privacy? E laddove l’Organismo coinvolto fosse lo stesso per entrambi gli schemi?
E cosa dire riguardo alla verifiche ispettive di 2a parte effettuate dalle aziende clienti?
Si pensi, per esempio, ad una multinazionale le cui paghe dei dipendenti sono gestite in outsourcing.
In sede di qualificazione dell’azienda appaltatrice verrà richiesto il soddisfacimento dei requisiti della ISO 27001, del Regolamento Ue e di quanto ad esso correlato, o di entrambe le normative o altro ancora come ulteriori evidenze in materia di Disaster Recovery o di Business Continuity Management? E quanto approfondite saranno queste verifiche?
Forse, “più semplicemente”, basterà fornire l’evidenza di una doppia certificazione di 3a parte?
Non spetta al sottoscritto dettare comportamenti univoci, questi competono sicuramente ad altri ma, se vogliamo essere allineati al dettato normativo – e in questa sede è significativa la relazione che viene a porsi fra norme di legge con valenza europea, oltre che nazionale, e norme di sistema con valenza internazionale, oltre che italiana – non vedo molte alternative alla suddetta interpretazione, almeno fino ad oggi.
A questo punto, come si suol dire, ai posteri l’ardua sentenza.
DPO UNI11697, Privacy Consultant e DP Auditor Certified
Categorie 20000-1, 22301, 231, 27001, 27018, 9001, Auditor, Consulente, Consulenza, corporate privacy, D. Lgs. 196/03 e smi, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione del rischio, Marcello Colaianni, OdV, Privacy, Qualità, Reg. UE 679/2016, Regolamento UE, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, Senza categoria, UNI ISO 31000, Valutatore Privacy
Il RTDP aziendale, questo sconosciuto!
Pubblicato 1 febbraio 2018 1 febbraio 2018 da marcellocolaianni62
Con l’entrata in vigore del GDPR nasce una corrente di pensiero secondo cui, ancora non ho capito su che base, il RTDP aziendale non s’ha più da nominare.
Forse perché l’art. 28/679/2016, con riguardo alla sua nomina fa riferimento alla stipulazione di un contratto e, quindi, a qualunque altro atto giuridico? … e che per questo motivo suona male stipulare un contratto ad hoc nei confronti di un dipendente?
[A riguardo invito alla lettura del mio articolo: Il RTDP ed il DPO quali figure interne all’Azienda in adempimento al Reg. UE 679/2016 con riguardo al trattamento dei dati personali].
C’è, sembrerebbe, la naturale propensione a pensare, per il RTDP, esclusivamente ad un professionista esterno o ad una società di consulenza esterna, rispetto al TTDP (Titolare del Trattamento dei Dati Personali).
Se però pensiamo a tutte quelle organizzazioni che, indipendentemente dal ricorso ad un consulente, decidono di strutturarsi adeguatamente, è del tutto ragionevole che al proprio interno nominino uno o più RTDP (persone fisiche).
D’altra parte occorre ricordare che l’art. 4 definisce Responsabile del Trattamento dei Dati Personali (RTDP) la persona fisica (o giuridica, l’autorità pubblica, il servizio o altro organismo) che tratta dati personali per conto del titolare del trattamento e mi viene strano credere che, diversamente, la materia della protezione dei dati personali venga gestita e monitorata direttamente dal Rappresentante legale della società (di capitali) in tutt’altre faccende affaccendato.
Nei suddetti termini, allora, si scopre che la nomina del RTDP diventa necessaria e non più facoltativa, quanto meno per alleggerire le incombenze al TTDP.
Nomina, fra l’altro, ben più versatile di quella del RPD/DPO per la quale – a parità di altri presupposti – occorre dare idonee garanzie riguardo al rischio di possibili conflitti d’interesse.
Categorie 20000-1, 22301, 231, 27001, 27018, 9001, attività pericolosa, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate, corporate privacy, Data Protection Officer, DP Auditor, GDPR, Gestione del rischio, gruppo di imprese, IMPRESA, Inclusione, Marcello, Marcello Colaianni, Mentoring, MOG, normativa cogente, normativa volontaria, Organizzazione, Privacy, reati 231, Regolamento UE, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, SCI, sistemi di controllo interno, UNI ISO 31000
La Valutazione dei Rischi: attività preliminare ed inclusiva, della DPIA, ad osservanza dei requisiti del GDPR.
Pubblicato 14 luglio 2017 18 gennaio 2018 da marcellocolaianni62
La Valutazione dei Rischi (VdR) e la Valutazione d’Impatto (Data Protection Impact Assessment – DPIA) sono due facce della stessa medaglia previste nel Reg. 679/2016.
La VdR è un’attività sempre obbligatoria (v. art. 24/679/2016, c. 1), coinvolge tutte le Organizzazioni ed è preliminare nell’osservanza del GDPR.
Essa é caratterizzata dall’attribuzione di valori di rischio ai dati personali ed al loro trattamento per poter dimostrare di avere tutto sotto controllo e di operare con liceità, trasparenza e correttezza.
La DPIA é esplicitamente richiesta nelle ipotesi in cui i Titolari effettuano:
un trattamento di dati personali che, “prevedendo in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”;
c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico;
attività di trattamento riconducibili a tutti quei casi che saranno contemplati nell’elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi del paragrafo 1 ex art. 35.
Per la Valutazione dei Rischi, così come per la DPIA, l’adozione ed applicazione della norma UNI ISO 31000 come metodologia di “Gestione del rischio” è sicuramente un approccio estremamente valido per dare evidenza della conformità ai requisiti del GDPR.
Ciò premesso, al di là delle condizioni di obbligatorietà della DPIA, l’applicazione sistematica e preliminare della Valutazione dei rischi, aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, può considerarsi inclusiva della valutazione d’impatto e sicuramente utile per una più agevole interazione con gli Interessati e l’Autorità di controllo.
Categorie 20000-1, 22301, 231, 27001, 27018, 9001, Consulente, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, Marcello, Marcello Colaianni, OdV, Organizzazione, Privacy, reati 231, Regolamento UE, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, SCI, sistemi di controllo interno, UNI ISO 31000
Il RTDP ed il DPO quali figure interne all’Azienda in adempimento al Reg. UE 679/2016 con riguardo al trattamento dei dati personali
Pubblicato 3 luglio 2017 5 luglio 2017 da marcellocolaianni62
Il GDPR, ovvero il Reg. UE 679/2016, conferma la figura del Responsabile del Trattamento dei Dati Personali (RTDP) ed introduce quella nuova di Data Protection Officer (DPO), ovvero di Responsabile della Protezione dei Dati.
Come da relativa definizione, <<responsabile del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento>>, si evince che il RTDP può essere un dipendente dell’Organizzazione.
Ciò nonostante, dalla partecipazione a convegni e dal confronto con esimi colleghi, mi sento dire che la prassi sarà quella di affidare in outsourcing i compiti attribuiti a questo soggetto della Data Protection.
Non capisco il perché? Non c’è alcun ostacolo o impedimento di carattere normativo che precluda la nomina di un dipendente al ruolo di RTDP.
La contrattualizzazione ad hoc del rapporto fra il Titolare del Trattamento dei Dati Personali (TTDP) ed il RTDP non impedisce che sia un dipendente a ricoprire siffatto ruolo.
In concreto: laddove sussista già un rapporto di lavoro, il dipendente designato ed il suo datore di lavoro sottoscriveranno, a latere, un contratto apposito nel quale le parti concordano compiti e doveri del RTDP nonché un compenso ed un inquadramento proporzionato al ruolo ed alle nuove responsabilità.
Va da sé che in questa sede si dovrà tenere in debita considerazione l’esistenza dei presupposti in materia di competenze e di altre skill che ci si aspetta che un RTDP abbia, la sua collocazione nell’organigramma nonché i termini e le modalità di riconoscimento di questo compenso aggiuntivo.
Laddove, invece, venisse identificato un dipendente nominato ad hoc, il contratto in discorso andrà ad integrare quello riguardante il rapporto di lavoro dipendente.
Analogo discorso vale per il DPO per il quale è stabilito che: “Il responsabile della protezione dei dati può essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi”.
Il DPO, è vero, è in conflitto di interessi se ricopre ruoli come quelli di amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT, o altre posizioni gerarchicamente inferiori se queste ultime comportano la determinazione di finalità o mezzi del trattamento …
… A meno che si identifichi un dipendente che, in via esclusiva, svolge i compiti propri di un DPO senza sovrapposizioni di sorta.
Anche in questo caso, ben inteso, vanno debitamente considerate le competenze dure e morbide che gli sono proprie, il rapporto gerarchico con il vertice aziendale e, quindi, la sua adeguata collocazione in organigramma e, naturalmente, il riconoscimento anche economico in virtù del proprio ruolo e dei suoi compiti.
Le suddette considerazioni sono volte a chiarire gli effettivi margini di manovra per qualunque Organizzazione sebbene, operativamente, la decisione di nominare un RTDP interno possa rivelarsi non semplice per una serie di motivi.
Ciò premesso, identificate le molteplici figure della Data Protection, il ricorso ai consulenti esterni è sicuramente utile ed opportuno.
Categorie 20000-1, 22301, 231, 27001, 27018, 9001, Auditor, Consulente, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, Holding, IMPRESA, Marcello Colaianni, onere della prova, Organizzazione, Privacy, Qualità, Regolamento UE, Responsabile della Protezione dei Dati, Risk manager, RPD, RTDP
Coaching & Compliance – intervista
Pubblicato 22 giugno 2017 22 giugno 2017 da marcellocolaianni62
Categorie 18001, 20000-1, 22301, 231, 27001, 27018, 81/08 e smi, 9001, attività pericolosa, Auditor, Business Coaching, Coach, Coaching, coaching team, Colaianni, colaianni consulting, Mentoring, Organizzazione, reati 231, Senza categoria