Art. 24 — Responsabilità del titolare del trattamento
Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.
L'adesione ai codici di condotta di cui all'articolo 40 o a un meccanismo di certificazione di cui all'articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.
Spiegazione
Chi decide perché e come trattare dati personali deve organizzare il lavoro in modo da rispettare le regole e poterlo dimostrare. Le misure devono essere adeguate al tipo di dati, alle attività svolte e ai rischi per le persone; vanno riviste quando cambiano le circostanze o non sono più sufficienti. In base alle attività, può essere necessario adottare anche politiche interne sulla protezione dei dati. Aderire a un codice di condotta o ottenere una certificazione può aiutare a dimostrare il rispetto degli obblighi, ma non lo garantisce da solo.
Perché esiste questa norma
La norma tutela i diritti e le libertà delle persone, imponendo a chi tratta i loro dati di prevenire i rischi e di assumersi la responsabilità delle proprie scelte. Richiede inoltre che il rispetto delle regole sia concreto e dimostrabile, non soltanto dichiarato.
Domande frequenti
Un negozio che raccoglie dati dei clienti deve adottare misure particolari?
Sì. Deve scegliere misure adeguate alle proprie attività e ai rischi, per esempio limitando l’accesso ai dati e organizzandone la gestione in modo sicuro, e deve poter dimostrare di averlo fatto.
Le misure di protezione dei dati vanno controllate anche dopo essere state adottate?
Sì. Il titolare deve riesaminarle e aggiornarle quando necessario, per esempio se cambiano le attività, i dati trattati o i rischi.
Ogni piccola attività deve avere una politica scritta sulla protezione dei dati?
Non necessariamente. L’adozione di politiche interne è richiesta quando è proporzionata alle attività di trattamento svolte.
Se un’azienda ottiene una certificazione, significa che non può più violare le regole?
No. La certificazione può contribuire a dimostrare il rispetto degli obblighi, ma non li sostituisce e non esonera l’azienda dalle proprie responsabilità.
Se affido i dati dei clienti a un fornitore esterno, chi deve assicurarsi che siano gestiti correttamente?
Il titolare resta responsabile di organizzare il trattamento in modo conforme e di poterlo dimostrare. Affidarsi a un fornitore non elimina questo obbligo.