Non esiste un termine fisso, ma esiste una stima realistica
Il regolamento sul passaporto del prodotto digitale non stabilisce un termine entro il quale dovete controllare se i dati nel passaporto rientrano nell'ambito del RGPD. Questa valutazione è una fase autonoma che voi, eventualmente insieme a un legale o a un responsabile della protezione dei dati, affrontate parallelamente alla costruzione del passaporto. In pratica, ciò va da pochi giorni per un profilo semplice senza dati identificabili, fino a qualche settimana quando non è chiaro quali campi contengono una persona di contatto, un numero di serie o un indirizzo di consegna di una persona fisica.
Ciò che soprattutto determina i tempi di elaborazione non è la valutazione stessa, ma la domanda che la precede: sapete esattamente quali dati compariranno nel passaporto e da chi provengono. Le aziende che hanno già redatto questo inventario per altri scopi completano la valutazione più rapidamente rispetto alle aziende che lo fanno per la prima volta.
In cosa consiste esattamente la valutazione RGPD di un passaporto del prodotto
Il passaporto del prodotto in alluminio contiene principalmente dati tecnici e di materiale: lega, origine, metodo di lavorazione, informazioni sul riciclaggio. Di per sé, questi non sono dati personali. La valutazione diventa rilevante nel momento in cui vengono aggiunti dati identificabili di una persona fisica, ad esempio il nome di una persona di contatto presso un piccolo fornitore, un lavoratore autonomo che opera come produttore, o un numero di serie collegabile a un dipendente specifico che lo ha creato.
La valutazione consiste solitamente in tre parti: verificare quali campi vengono effettivamente compilati nel passaporto, valutare se contengono dati personali, e documentare su quale base legale vengono elaborati tali dati, se applicabile. Maggiori informazioni su cosa esattamente finisce nel passaporto e come i dati vengono trattati, le trovate nella pagina su come trattiamo la privacy e i dati.
Dove i tempi di elaborazione si fermano in pratica
Tre colli di bottiglia tornano con maggiore frequenza. In primo luogo: nessuno nell'azienda sa esattamente quali dati il fornitore di software o il soggetto che compila il passaporto richiede effettivamente. Senza questa panoramica, la valutazione non può iniziare. In secondo luogo: la questione di chi possa o debba eseguire la valutazione rimane interna all'azienda, perché non è stato designato un responsabile della protezione dei dati specifico oppure il responsabile amministrativo e il reparto IT si rinviano a vicenda. In terzo luogo: nelle aziende che lavorano con più fornitori o subappaltatori, ci vuole più tempo per determinare per ogni soggetto se vengono trasferiti dati personali e su quale base ciò avviene.
Il ritardo raramente risiede nella valutazione stessa, ma nella preparazione ad essa. Una valutazione RGPD che viene condotta su un set di dati incompleto deve comunque essere ripetuta in seguito.
Chi coinvolgete praticamente
All'interno di un'azienda di piccole e medie dimensioni, questa di solito non è una funzione che esiste separatamente; il responsabile amministrativo, il responsabile delle risorse umane o il direttore assume il coordinamento. Per la valutazione sostanziale è necessaria competenza giuridica, interna o esterna. Per domande sul trattamento dei dati dei dipendenti coinvolti nel passaporto, partecipano anche la rappresentanza dei lavoratori, soprattutto se emergono nuove registrazioni o collegamenti. Inoltre, il fornitore di software è un interlocutore costante: questo soggetto determina in parte quali campi vengono registrati tecnicamente e dove vengono archiviati i dati.
Una panoramica di tutto ciò che comporta e in quale ordine, la trovate nella banca delle conoscenze con argomenti elaborati per ogni situazione. Per ogni argomento è indicato anche il riferimento nel testo ufficiale, in modo che possiate verificare esattamente da dove proviene un obbligo.
Come ottenere una stima per la vostra situazione specifica
Poiché la durata dipende fortemente da quanti dati ha già organizzato, una linea guida generale ha poco valore. Un primo passo pratico è verificare quali dati la sua azienda registra già su fornitori, contatti e dipendenti, e se questi dati finiscono anche nel pasaporto. Con poche domande ottenere un'indicazione di dove si trova la sua azienda, mostra quanta preparazione è ancora necessaria prima che una valutazione GDPR possa iniziare utilmente.
Per la questione se il suo pasaporto specifico contiene dati personali e quale base giuridica vi corrisponde, la valutazione da parte di un legale o, in caso di dubbi, dall'Autorità per la protezione dei dati rimane il punto di contatto appropriato. Questo articolo descrive il processo in senso generale e non sostituisce quel consiglio.
Infine
La durata di una valutazione GDPR per il pasaporto del prodotto in alluminio non è un numero fisso, ma il risultato di quanto bene i suoi dati sono già organizzati prima di iniziare. Se vuole sapere quali passaggi rimangono ancora aperti per la sua azienda, consulti le domande frequenti sul pasaporto del prodotto o esegua la scansione rapida gratuita per vedere dove si trova adesso.