CASE STUDY – Normativa GDPR/Privacy
Il contesto
Un agente ci ha contattati perché, negli anni, aveva gestito l’area della normativa GDPR/Privacy in modo non organizzato, con evidenti carenze a livello di rispetto della normativa:
- Negli anni aveva redatto ed utilizzato specimen diversi di informativa privacy in veste di titolare del trattamento: alcuni facevano riferimento alla normativa antecedente a quella in vigore ed altri risultavano aggiornati solo in parte al Reg. UE GDPR. Il portafoglio Clienti era quindi gestito con informative non omogenee, alcune delle quali non conformi.
- Non tutti i consensi al trattamento dei dati da parte dei clienti venivano raccolti con un modulo firmato. Quindi non veniva adottato un protocollo uniforme e non sempre si poteva conservare la copia sottoscritta come prova.
- I fornitori esterni che gestivano dati per conto dell’agenzia (ad esempio commercialista e consulenti informatici) non erano mai stati nominati formalmente come “responsabili esterni del trattamento”. Quindi, in caso di problema, non ci sarebbe stata chiarezza sulle responsabilità.
- Non era presente un registro dei trattamenti aggiornato, il documento obbligatorio che per il GDPR deve elencare tutti i trattamenti dei dati svolti in azienda (clienti, collaboratori, fornitori, marketing, ecc.).
Il problema principale era evidente: in caso di richiesta di esercizio dei diritti da parte di un cliente o di un controllo da parte delle Compagnie mandanti (che nel corso delle audit richiedono anche i protocolli di normativa GDPR adottati), la società non sarebbe stata in grado di fornire procedure e documentazione completi e coerenti. Il rischio si presentava come elevato, sia in termini di reclami che di potenziali sanzioni.
Il nostro intervento
1. Audit iniziale
Abbiamo raccolto e analizzato tutti i protocolli esistenti: informativa privacy clienti e moduli di consenso, policy e procedure interne, registro dei trattamenti.
Durante l’audit sono emerse duplicazioni, versioni differenti di specimen privacy e protocolli operativi mancanti.
2. Nomine a responsabile e incaricato al trattamento
Abbiamo predisposto le lettere di nomina in veste di responsabili del trattamento per i collaboratori che si occupano di distribuzione assicurativa e per i fornitori che trattavano dati per conto dell’agenzia (ad esempio: servizi cloud, società per la gestione tributaria e del lavoro). Abbiamo inoltre predisposto le nomine per i dipendenti, in qualità di autorizzati/incaricati al trattamento, così da chiarire ruoli e responsabilità quotidiane.
3. Procedure interne e gestione operativa
Abbiamo definito procedure pratiche da seguire in caso di:
- violazione dei dati (data breach)
- richieste di esercizio dei diritti da parte degli interessati (accesso, rettifica, cancellazione, portabilità, ecc.)
Queste procedure hanno dato un percorso chiaro da seguire, riducendo tempi di reazione e incertezze.
4. Registro dei trattamenti
Abbiamo ridefinito ed impostato a nuovo il registro dei trattamenti, personalizzato per la tipologia del cliente.
- Abbiamo censito tutti i trattamenti (gestione clienti, gestione collaboratori, rapporti con compagnie, utilizzo dati per iniziative di marketing, amministrazione interna).
- Per ogni trattamento abbiamo definito finalità, base giuridica, categorie di dati, tempi di conservazione, misure di sicurezza adottate.
- Il registro è stato strutturato come strumento operativo, non solo come adempimento formale, così da poterlo aggiornare agevolmente in futuro.
- Abbiamo descritto i diversi trattamenti in modo chiaro e trasparente.
5. Formazione interna
Abbiamo organizzato un incontro formativo per spiegare agli addetti interni ed ai collaboratori esterni:
- quali sono gli obblighi concreti di chi gestisce i dati
- come riconoscere e gestire una richiesta di esercizio dei diritti da parte di un cliente
- quali comportamenti quotidiani riducono il rischio di violazioni (password, accessi, archiviazione documenti)
Risultati ottenuti
Il cliente oggi dispone di protocolli e processi documentali ordinati e coerenti: registro aggiornato, informative privacy chiare ed uniformi, consensi informativa raccolti in modo organizzato, nomine formalizzate.
In caso di controllo o di richiesta da parte di un cliente, la società è pronta a fornire subito risposte complete e corrette.
Il personale interno ha acquisito consapevolezza teorica e pratica.
Il rischio di reclami e potenziali sanzioni è stato drasticamente ridotto grazie a protocolli chiari e a procedure uniformi.
