GDPR E POLITICHE PRIVACY

La protezione dei dati personali trattati dalla nostra Società costituisce un impegno importante. Il Regolamento UE/2016/679 “Regolamento in materia di protezione dei dati personali” (GDPR) rappresenta, infatti, uno strumento per valutare costantemente l’impatto dei processi aziendali sui dati personali organizzando le attività svolte dalla società ai principi di trasparenza e correttezza, nel rispetto dei diritti e delle libertà fondamentali di tutti gli interessati, siano essi dipendenti, collaboratori, clienti o fornitori. 

L’ azienda ha così predisposto un “modello organizzativo privacy” (MOP) che qui si descrive nelle sue linee generali.

•  SOGGETTI

TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento è DRAINING WAY S.r.l. in persona del legale rappresentante pro tempore con sede legale in 03040 – AUSONIA (FR), Via Taverna Cinquanta snc. 

C.F. e P. Iva 05053620265

PEC drainingway@legalmail.it   

E-mail commerciale@drainingwaylegalmail.it 

Sito internet https://www.drainingway.com  

Il Titolare, per il tipo di attività svolta, non è tenuto a non nominare un Responsabile per la protezione dei dati personali (DPO) ai sensi dell’art. 37 del Reg. 679/16.

INCARICATI DEL TRATTAMENTO

Il MOP prevede che ciascun dipendente e/o collaboratore del TITOLARE tratti solamente i dati indispensabili per svolgere le proprie mansioni, in funzione dell’organizzazione interna e soprattutto delle finalità indicate e proposte all’interessato (principio cd di “limitazione della finalità e minimizzazione dei dati”, art. 5 comma 1 lett. B e C del Reg. 679/16). Pertanto, è stata predisposta una segmentazione dei trattamenti, per aree omogenee di “Incaricati del trattamento”, limitando i dipendenti/collaboratori ad un ambito specifico di trattamento circoscritto alla propria area di azione. A tal fine, by design, anche il sistema informativo è costituito a “compartimenti stagni”. Il dipendente/collaboratore potrà accedere dalla propria postazione informatica solo ai dati indispensabili per svolgere le proprie mansioni. La designazione alle specifiche aree di trattamento avviene per il tramite del Registro dei Trattamenti, documento interno che individua puntualmente l’ambito di trattamento e conferisce l’autorizzazione in merito agli addetti preposti all’area medesima. Il dipendente/collaboratore ha altresì ricevuto un regolamento interno sull’uso degli strumenti informatici e delle regole di condotta, anche etiche, su tutte le informazioni alle quali accede in virtù della sua specifica mansione.

Per garantire in maniera efficace l’adeguamento ai principi in materia di trattamento dei dati personali, il Titolare coinvolge i propri dipendenti e /o collaboratori in sessioni formative e di aggiornamento in materia.

AMMINISTRATORI DI SISTEMA

Il Titolare per gestire la propria attività utilizza sistemi informatici. Per tale ragione i soggetti con privilegi di “amministratore” sono stati scelti tra fornitori di servizi informatici qualificati, con particolare attenzione alla professionalità non solo tecnica ma anche del rispetto e della protezione dei dati, e a tal fine nominati Responsabili Esterni ai sensi dell’art. 28 del Reg. UE/679/16.

RESPONSABILI ESTERNI DEL TRATTAMENTO (art. 28 Reg. UE/679/16)

In linea di principio il Titolare gestisce internamente quasi tutte le attività di trattamento. I casi di affidamento in outsourcing a terzi di alcune attività che implicano un trattamento di dati sono opportunamente indicati nel Registro dei trattamenti e nelle informative che sono state predisposte. Inoltre, il rapporto con il soggetto terzo è formalizzato sotto il profilo privacy e regolato da un atto di nomina a “Responsabile Esterno del Trattamento” secondo quanto previsto dall’art. 28 del Reg. UE/679/16.

•  ANALISI DEL RISCHIO E MISURE DI SICUREZZA PER PREVENIRE I RISCHI PRIVACY

Secondo i principi della c.d. “accountability” (responsabilizzazione art. 24 Reg. UE/679/16) è compito del Titolare predisporre un sistema di misure – organizzative, fisiche, giuridiche, tecniche ed informatiche – volte a prevenire il rischio di violazione dei diritti e delle libertà personali degli interessati. A tal fine è necessario effettuare un’accurata analisi dei rischi, in funzione dei trattamenti, degli strumenti utilizzati, della tipologia e della mole di dati trattati, provvedendo ad aggiornarla nel tempo se sopravvengono nuove attività di trattamento.

REGISTRO DEI TRATTAMENTI (art. 30 comma 1 Reg. UE/679/16) E ANALISI DELL’IMPATTO

Il Registro dei trattamenti del MOP è uno strumento operativo che contiene elementi ulteriori rispetto a quelli previsti dall’art. 30 del Reg. UE/679/16, in quanto consente di effettuare una prima analisi dei rischi per i diritti e la libertà degli interessati, collegate a ciascun trattamento (PRE DPIA). Analizzata l’attività di trattamento svolta dal Titolare, si ritiene che ad oggi non vi siano attività a rischio tale da necessitare una specifica valutazione di impatto ai sensi dell’art. 35 Reg. 679/16 (DPIA).

L’analisi su rischi informatici e sulle infrastrutture hardware e software aziendali e sulle misure informatiche di adeguamento è stata realizzata da un soggetto esterno specializzato. I risultati sono evidenziati nel Registro dei trattamenti.
Le misure – organizzative, fisiche, giuridiche, tecniche ed informatiche – programmate ed attuate per abbattere i rischi “privacy” dell’interessato sono state esposte nel Registro dei trattamenti nella parte dedicata.

•  DIRITTI IN MATERIA DI PROTEZIONE DEI DATI PERSONALI

Il Titolare, anche in questa sede, ritiene fondamentale informare gli interessati dell’esistenza di alcuni diritti in materia di protezione dei dati personali. A tale fine, il Titolare ha predisposto apposite Informative create “ad hoc” a seconda della categoria di interessati a cui l’interessato appartiene (dipendente, cliente, fornitore ecc.). Questo documento permette di informare adeguatamente tutti i soggetti cui i dati si riferiscono su come venga effettuato il trattamento da parte del Titolare. Il modello di informativa potrà essere richiesto con apposita domanda a quest’ultimo. 

In ogni caso, l’interessato ha:

• Diritto di ESSERE INFORMATO (trasparenza nel trattamento dei dati)

su come il Titolare tratta i suoi dati personali, per quali finalità e su altre informazioni previste dall’ art. 13 del Reg. 679/16. 

• Diritto di ESSERE INFORMATO (trasparenza nel trattamento dei dati)

su come il Titolare tratta i suoi dati personali, per quali finalità e su altre informazioni previste dall’ art. 13 del Reg. 679/16. 

• Diritto di revoca del consenso (art. 13)

in qualsiasi momento, per tutti quei trattamenti il cui presupposto di legittimità è costituito da una sua manifestazione di consenso. La revoca del consenso non pregiudica la liceità del trattamento fino a quel momento attuato.

• Diritto di accesso ai dati (art. 15)

L’interessato può richiedere a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; e) l’esistenza del diritto dell’interessato di chiedere al Titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; f) il diritto di proporre reclamo a un’autorità di controllo; g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine; h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato. Inoltre, ha il diritto di richiedere una copia dei dati personali oggetto di trattamento.

• Diritto di rettifica (art. 16)

dei dati personali inesatti che lo riguardano e di ottenere l’integrazione dei dati personali incompleti.

• Diritto all’oblio (art. 17)

ossia di ottenere dal Titolare del trattamento la cancellazione dei dati personali che la riguardano se i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati, se revoca il consenso, se non sussiste alcun motivo legittimo prevalente per procedere al trattamento di profilazione, se i dati sono stati trattati illecitamente, se vi è un obbligo legale di cancellarli; se i dati sono relativi a servizi web resi a minori senza il relativo consenso. La cancellazione può avvenire salvo che sia prevalente il diritto alla libertà di espressione e di informazione, che siano conservati per l’adempimento di un obbligo di legge o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri, per motivi di interesse pubblico nel settore della sanità, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

• Diritto alla limitazione del trattamento (art. 18)

ossia di ottenere dal Titolare del trattamento la limitazione del trattamento quando ha contestato l’esattezza dei dati personali (per il periodo necessario al Titolare del trattamento per verificare l’esattezza di tali dati personali) o se il trattamento sia illecito, ma l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo o se le sono necessari per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria, mentre al Titolare non sono più necessari.

• Diritto alla portabilità (art. 20)

L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano fornitici ed ha il diritto di trasmetterli a un altro se il trattamento si sia basato sul consenso, sul contratto e se il trattamento sia effettuato con mezzi automatizzati, salvo che il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri e che tale trasmissione non leda il diritto di terzi.

• Diritto di rivolgersi all’autorità Garante per la protezione dei dati personali (art. 77).

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, se l’interessato ritiene che il trattamento che lo riguarda violi il Regolamento in materia di protezione dei dati personali, ha il diritto di proporre reclamo ad un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.

•  ESERCIZIO DEI DIRITTI

Per l’esercizio effettivo dei suoi diritti, l’interessato può chiedere informazioni al Titolare, oppure compilare adeguatamente la modulistica di accesso che le mettiamo a disposizione qui sotto.

•  LINK MODULISTICA

Si riporta di seguito una bozza di documento da compilare per l’esercizio concreto dei diritti dell’interessato. Il modulo potrà essere così inviato al Titolare, agli indirizzi sopra riportati, ai sensi della normativa vigente.