Una solida politica di protezione dei dati protegge la tua azienda, i tuoi dipendenti e i tuoi clienti. Con Trupeer, puoi risparmiare ore di lavoro sulla stesura delle policy partendo da un modello gratuito di politica di protezione dei dati, personalizzandolo con le tue linee guida del brand e trasformando la policy in una presentazione video che dipendenti e partner possano comprendere rapidamente.

La maggior parte delle organizzazioni scarica una politica di protezione dei dati, cambia il nome dell'azienda e la archivia. Non soddisfa nessuno: né il personale che non la legge mai, né l'auditor che chiede come viene applicata, né l'autorità di regolamentazione se qualcosa va storto.

Una politica di protezione dei dati utile fa una sola cosa. Dice alle persone della tua organizzazione cosa devono e non devono fare con i dati personali, in modo sufficientemente specifico da poterlo seguire. Questo modello è strutturato attorno ai sette principi che la policy deve soddisfare, quindi ogni sezione esiste per un motivo che puoi spiegare.

Scarica il modello di politica di protezione dei dati

Gratuito, modificabile, senza filigrana. La cartella di lavoro di Excel è più importante di quanto sembri, perché una policy senza un registro di conservazione e un registro delle attività di trattamento alle spalle è una dichiarazione d'intenti piuttosto che un sistema funzionante.

Politica di protezione dei dati o informativa sulla privacy?

La confusione più comune e con le maggiori conseguenze in quest'area. Sono documenti diversi con destinatari diversi e un diverso status legale.

Se hai bisogno del documento pubblico per il tuo sito web, questo modello non è quello giusto, e pubblicare una policy interna al suo posto non soddisferà i tuoi obblighi. Hai bisogno di un'informativa sulla privacy, che descriva le tue specifiche attività di trattamento ed è solitamente preferibile redigerla con un supporto legale o un generatore affidabile.

Quasi sicuramente hai bisogno di entrambi. Questa pagina si occupa di quello interno.

Come personalizzare questo modello in Trupeer

Passaggio 1: Apri la sezione Modelli

Vai alla sezione Modelli dal menu di navigazione principale.

Passaggio 2: Seleziona e apri un modello

Fai clic su qualsiasi modello con cui desideri lavorare per aprirlo.

Passaggio 3: Espandi la visualizzazione del modello

Se necessario, espandi la visualizzazione del modello per vedere chiaramente il layout completo e i dettagli.

Passaggio 4: Modifica il modello

Fai clic su Modifica per iniziare a modificare il modello selezionato.

All'interno dell'editor, puoi:

• Aggiungere nuove sezioni

• Definire o aggiornare le regole di formattazione

• Aggiungere un logo e regolarne la posizione e le relative impostazioni

Passaggio 5: Salva il tuo modello personalizzato

Dopo aver apportato tutte le modifiche necessarie, fai clic su Salva per memorizzare il modello aggiornato come tuo personale.

Passaggio 6: Visualizza l'anteprima e perfeziona il modello

Quando desideri vedere l'aspetto del tuo modello personalizzato, apri l'Anteprima.

Dalla schermata di anteprima, puoi continuare ad apportare modifiche direttamente se necessario, assicurandoti che il modello appaia esattamente come desideri.

Con un modello di politica di protezione dei dati puoi:

• Risparmiare ore di scrittura: Evita la pagina bianca con una struttura creata appositamente per le normative sulla privacy.

• Garantire la conformità: Allineato con GDPR, CCPA, HIPAA e altre leggi sulla privacy.

• Rimanere in linea con il brand: Applica il tuo logo, i font e i colori utilizzando il kit del brand di Trupeer.

• Formare ogni dipendente: Associa la policy a presentazioni video per la sensibilizzazione sulla privacy.

• Essere sempre pronto per gli audit: Le sezioni integrate supportano SOC 2, ISO 27001 e audit sulla privacy.

• Raggiungere team globali: Traduci la policy in oltre 65 lingue con un solo clic.

  
  

Cos'è una politica di protezione dei dati

Una policy interna che stabilisce come la tua organizzazione gestisce i dati personali: chi è responsabile, cosa il personale può e non può fare, come si applicano i principi legali nella pratica e cosa succede quando qualcosa va storto.

La sua funzione è duplice. Dice alle tue persone come comportarsi e dimostra la responsabilizzazione (accountability), che ai sensi del GDPR non è facoltativa. Essere in grado di dimostrare di aver considerato e documentato il proprio approccio è di per sé un requisito di conformità, indipendente dal fatto che le pratiche siano buone o meno.

I sette principi e cosa richiede ciascuno di essi

L'articolo 5 del GDPR stabilisce sette principi. Ogni sezione di una buona politica di protezione dei dati esiste per soddisfare uno di essi, e strutturare la policy in questo modo la rende difendibile.

Liceità, correttezza e trasparenza

I dati personali devono essere trattati in modo lecito, corretto e in un modo che le persone si aspetterebbero e comprenderebbero.

Cosa deve contenere la policy. Una dichiarazione che ogni trattamento richiede una base giuridica, l'elenco delle basi su cui la tua organizzazione si affida e per cosa, l'obbligo di fornire informative sulla privacy al momento della raccolta e una regola secondo cui il personale non deve utilizzare i dati personali per scopi di cui le persone non sono state informate.

Dove si riscontrano errori. Raccogliere dati per uno scopo e utilizzarli silenziosamente per un altro. Fare marketing a persone che hanno fornito il loro indirizzo solo per la consegna è l'esempio classico.

Limitazione della finalità

I dati raccolti per uno scopo specifico non devono essere utilizzati per scopi incompatibili.

Cosa deve contenere la policy. Una regola secondo cui i nuovi utilizzi dei dati esistenti devono essere valutati prima che avvengano, indicando il responsabile designato per tale valutazione. In pratica, questa è la sezione che impedisce a un team ben intenzionato di creare qualcosa con dati che non dovrebbe utilizzare.

Minimizzazione dei dati

Raccogliere ciò di cui si ha bisogno e niente di più.

Cosa deve contenere la policy. L'obbligo di verificare che moduli e sistemi non contengano campi non necessari e una regola contro la raccolta speculativa di dati solo perché potrebbero essere utili in seguito. Questo principio si applica in fase di progettazione, quindi la policy dovrebbe richiedere che venga preso in considerazione quando si introducono nuovi processi o sistemi.

Esattezza

I dati personali devono essere esatti e, se necessario, aggiornati.

Cosa deve contenere la policy. Come le persone possono correggere i propri dati, come le correzioni si propagano agli altri sistemi e con quale frequenza vengono esaminati i record principali. Il punto di propagazione è importante, perché la maggior parte delle organizzazioni aggiorna solo il record per cui qualcuno ha reclamato, lasciandone tre copie altrove.

Limitazione della conservazione

Non conservare i dati personali più a lungo di quanto sia necessario.

Cosa deve contenere la policy. Un riferimento al piano di conservazione, che dovrebbe essere un documento separato perché cambia più spesso della policy. Inoltre, una regola sulla cancellazione sicura e l'obbligo che backup e archivi siano coperti anziché essere silenziosamente esentati.

Questo è il principio in cui le organizzazioni falliscono più spesso, perché conservare tutto è più facile che decidere cosa cancellare.

Integrità e riservatezza

I dati personali devono essere protetti, sia dall'accesso non autorizzato che dalla perdita accidentale.

Cosa deve contenere la policy. Accesso basato sul principio del "bisogno di sapere" (need-to-know), regole sui dispositivi e sui supporti rimovibili, requisiti di crittografia, regole per il lavoro da casa e da remoto, cosa può e non può essere inviato via email e come i dati vengono condivisi con terze parti. Oltre all'obbligo che i fornitori che trattano i dati per tuo conto siano vincolati da un contratto scritto.

Responsabilizzazione (Accountability)

Devi essere in grado di dimostrare la conformità, non solo di raggiungerla.

Cosa deve contenere la policy. Ruoli e responsabilità nominati, l'obbligo di tenere un registro delle attività di trattamento, quando è necessaria una valutazione d'impatto sulla protezione dei dati (DPIA), i requisiti di formazione e il ciclo di revisione della policy stessa.

La responsabilizzazione è il motivo per cui i registri di supporto sono importanti. Una policy senza registro dei trattamenti, senza piano di conservazione e senza registro di formazione dimostra ben poco.

La struttura del modello di policy

Basi giuridiche per il trattamento

Ogni attività di trattamento ne richiede una. Ce ne sono sei ai sensi del GDPR e il personale dovrebbe sapere su quali si affida la tua organizzazione.

Due punti pratici che vale la pena inserire nella policy. Il consenso è spesso la scelta più debole, perché può essere revocato e deve essere fornito liberamente, quindi è una base inadeguata per qualsiasi cosa tu debba fare comunque. E il legittimo interesse richiede una valutazione di bilanciamento documentata, non una semplice affermazione dell'esistenza del proprio interesse.

Diritti dell'interessato

Il GDPR prevede otto diritti e la tua policy dovrebbe indicare come ciascuno di essi viene gestito e da chi.

Il diritto all'informazione. Il diritto di accesso, comunemente chiamato richiesta di accesso dell'interessato (DSAR). Il diritto di rettifica. Il diritto alla cancellazione. Il diritto di limitazione di trattamento. Il diritto alla portabilità dei dati. Il diritto di opposizione. E i diritti relativi al processo decisionale automatizzato e alla profilazione.

La parte pratica è la procedura. Le richieste possono arrivare attraverso qualsiasi canale, a qualsiasi membro del personale, con qualsiasi formulazione, e la persona non deve utilizzare la terminologia legale corretta o persino menzionare la protezione dei dati. Pertanto, la policy deve indicare a ogni dipendente di riconoscere e inoltrare immediatamente una richiesta anziché cercare di gestirla da solo.

Il termine per la risposta è di un mese, estendibile di altri due mesi per richieste complesse o numerose, a condizione di informare la persona entro il primo mese. Tale termine inizia a decorrere quando la richiesta giunge in un punto qualsiasi dell'organizzazione, non quando raggiunge la persona giusta, motivo per cui la regola del riconoscimento è così importante.

Risposta alle violazioni

La sezione che ha più probabilità di essere messa alla prova e la meno probabile di essere letta in anticipo.

Riconoscere una violazione. Le violazioni dei dati personali non sono solo attacchi informatici. Vi rientrano anche un'email inviata al destinatario errato, un computer smarrito, un documento lasciato sul treno, una cartella condivisa configurata male o l'accesso concesso alla persona sbagliata.

Segnalazione interna. Immediata, a un ruolo designato, senza filtri. La policy deve specificare esplicitamente che la segnalazione di una violazione causata da se stessi non sarà punita, perché una cultura del nascondimento è la cosa più costosa che una policy sulle violazioni possa creare.

Valutazione e notifica. Qualora sia probabile che una violazione presenti un rischio per i diritti e le libertà delle persone, deve essere segnalata all'autorità di controllo entro 72 ore dal momento in cui se ne viene a conoscenza. Se il rischio è elevato, anche le persone interessate devono essere informate senza ingiustificato ritardo. Entrambe le valutazioni dovrebbero essere effettuate da un ruolo designato, non da chi ha scoperto la violazione.

Il registro delle violazioni. Ogni violazione deve essere registrata, comprese quelle che decidi di non segnalare, insieme alle motivazioni di tale decisione. Mantenere questo registro è di per sé un obbligo.

Registri delle attività di trattamento e conservazione

Registri delle attività di trattamento. Un registro di quali dati personali detieni, perché, con chi sono condivisi, per quanto tempo li conservi e come sono protetti. L'articolo 30 richiede questo, con una deroga limitata per le organizzazioni con meno di 250 dipendenti che non si applica se il trattamento non è occasionale, include categorie particolari di dati o presenta un rischio per le persone. La maggior parte delle organizzazioni che pensano di essere esentate in realtà non lo sono.

Piano di conservazione. Un documento separato che elenca i tipi di dati, i periodi di conservazione e la giustificazione per ciascuno. Tienilo separato dalla policy perché cambia molto più spesso e fai riferimento ad esso anziché integrarlo direttamente.

Entrambi si trovano nella cartella di lavoro di Excel inclusa in questo modello, insieme al registro delle violazioni.

La serie di documenti più ampia

Una politica di protezione dei dati raramente vive da sola. La maggior parte delle organizzazioni ha bisogno di diversi di questi documenti:

Se ne hai solo uno di questi, l'informativa sulla privacy è quella che deve essere pubblicata per legge. Se ne hai solo due, aggiungi questa policy.

La versione per le piccole imprese

Le organizzazioni più piccole hanno bisogno di una policy più breve, non di un approccio più leggero. Gli obblighi non si riducono, ma la documentazione dovrebbe essere proporzionata.

Mantieni: ambito, responsabilità, i principi in termini semplici, regole di sicurezza, riconoscimento delle richieste degli interessati, segnalazione delle violazioni e conservazione. Taglia: strutture di governance elaborate, riferimenti a comitati e qualsiasi descrizione di ruoli che non hai. Indica una persona reale come responsabile anziché inventare una funzione di protezione dei dati.

Da quattro a sei pagine di solito sono sufficienti. Una policy di venti pagine in un'azienda di dieci persone non verrà letta, il che la rende peggiore di una più breve che viene effettivamente letta.

Formare il personale sulla policy

Una policy che nessuno ha letto non dimostra nulla.

Fai formazione al momento dell'assunzione e annualmente, tieni traccia di chi è stato formato e quando, e concentrati sulle quattro cose che causano effettivamente le violazioni: riconoscere una richiesta dell'interessato, non inviare dati via email alla persona sbagliata, non salvare dati personali in luoghi non approvati e segnalare immediatamente un incidente.

La formazione basata su scenari funziona meglio della recitazione dei principi. La maggior parte delle violazioni deriva da errori banali piuttosto che dall'ignoranza della legge.

Come scrivere la tua politica di protezione dei dati

1. Scopri quali dati possiedi effettivamente prima di scrivere qualsiasi cosa. Il registro delle attività di trattamento viene prima nella pratica, anche se vi si fa riferimento più avanti nella policy.

2. Identifica la tua base giuridica per ogni attività e documenta la valutazione di bilanciamento dove ti affidi al legittimo interesse.

3. Usa la struttura del modello e scrivi in un linguaggio semplice, poiché il pubblico è il tuo personale e non un'autorità di regolamentazione.

4. Rendi le regole specifiche. "Gestire i dati in modo sicuro" non è applicabile. "Non memorizzare dati personali su dispositivi personali o account cloud non approvati" lo è.

5. Crea il piano di conservazione separatamente e fai riferimento ad esso.

6. Scrivi la procedura di violazione prima di averne bisogno, con un ruolo designato e una regola di segnalazione che non preveda colpe.

7. Falla esaminare da uno specialista della protezione dei dati o da un consulente legale, in particolare se tratti categorie particolari di dati, operi in più giurisdizioni o prendi decisioni automatizzate.

8. Approva, distribuisci con preavviso e raccogli la presa d'atto.

9. Fai formazione e registra le sessioni svolte.

10. Imposta una data di revisione, annualmente e dopo ogni modifica sostanziale.

Revisione della policy

Di norma annualmente. Immediatamente quando introduci un nuovo sistema o un'attività di trattamento, quando inizi a operare in una nuova giurisdizione, dopo qualsiasi violazione, quando cambia la legge sulla protezione dei dati o quando la persona responsabile lascia l'azienda.

Registra ogni revisione nella cronologia delle versioni, comprese quelle che non hanno comportato modifiche, poiché dimostrare di averla esaminata fa parte dello scopo.

Note legali

Questo modello e le indicazioni contenute in questa pagina sono forniti a scopo informativo generale e non costituiscono consulenza legale. La legge sulla protezione dei dati varia a seconda della giurisdizione e i requisiti differiscono tra il GDPR dell'UE, il GDPR del Regno Unito e i regimi come il CCPA e il CPRA negli Stati Uniti. Gli obblighi variano notevolmente anche a seconda di quali dati tratti, su quale scala e in quali settori.

Fai esaminare la tua policy da un consulente qualificato per la protezione dei dati o da un legale prima di adottarla, in particolare se tratti dati di categorie particolari, dati di minori o se operi a livello internazionale.

Best practice

• Tieni la policy interna e l'informativa sulla privacy pubblica come documenti separati.

• Scrivi regole che il personale possa effettivamente seguire, in termini specifici.

• Tieni il piano di conservazione fuori dalla policy in modo che possa essere aggiornato autonomamente.

• Indica persone reali, non ruoli teorici.

• Dichiara esplicitamente che le violazioni auto-segnalate non saranno punite.

• Fai formazione sul riconoscimento delle richieste degli interessati, poiché i termini decorrono dall'arrivo della richiesta.

• Registra ogni violazione, incluse quelle non segnalate e la relativa motivazione.

• Mantieni aggiornato il registro dei trattamenti. È un obbligo e rende tutto il resto più facile.

• Mantieni la policy proporzionata all'organizzazione.

• Registra le revisioni, comprese quelle senza variazioni.

Errori comuni

• Pubblicare la policy interna come se fosse un'informativa sulla privacy.

• Una policy generica scaricata da internet modificando solo il nome dell'azienda.

• Regole troppo vaghe da seguire o da far rispettare.

• Periodi di conservazione inseriti nella policy, per cui aggiornarli richiede una nuova approvazione della stessa.

• Presumere che l'esenzione dal registro dei trattamenti per le aziende con meno di 250 dipendenti si applichi quando invece non è così.

• Affidarsi al consenso quando un'altra base giuridica sarebbe più solida.

• Rivendicare il legittimo interesse senza una valutazione di bilanciamento documentata.

• Nessuna procedura di violazione, per cui la scadenza delle 72 ore viene scoperta solo durante un incidente.

• Una cultura della colpa in caso di violazioni, che favorisce il nascondimento.

• Personale non formato a riconoscere una richiesta dell'interessato formulata in un linguaggio comune.

• Backup e archivi silenziosamente esclusi dalle regole di conservazione e cancellazione.

• Policy mai rivista, per cui descrive sistemi che non utilizzi più.

Rendi le regole facili da seguire per le persone

Apri il modello in Trupeer AI, applica il tuo kit del brand in modo che corrisponda al tuo manuale e ad altre policy e modifica direttamente qualsiasi sezione. La configurazione si trova nella guida del modello.

Il divario tra una politica di protezione dei dati e l'effettiva conformità è quasi sempre di tipo comportamentale. Il personale sa che dovrebbe gestire i dati con attenzione, ma non sa cosa significhi quando sta per condividere un foglio di calcolo, rispondere a un'email insolita o configurare un nuovo strumento.

Registra le procedure una volta e Trupeer AI produce la guida scritta e una presentazione video narrata dallo stesso materiale, così le regole per la condivisione dei file, la redazione di una risposta a una richiesta di accesso o la segnalazione di un incidente diventano cose che le persone possono guardare anziché clausole scorse frettolosamente. Traducila in oltre 65 lingue, un aspetto importante quando si chiede al personale di seguire regole con conseguenze legali. Conserva il set nella tua base di conoscenza e usalo per la formazione iniziale e annuale, con un registro di completamento da poter mostrare.

Registra. Personalizza col brand. Traduci. Usa Trupeer.

Domande frequenti

Esiste un modello gratuito di politica di protezione dei dati in Word?

Sì. Word è il formato principale, con ogni sezione redatta e segnaposto tra parentesi per i dettagli che devono essere tuoi. Download gratuito, senza registrazione, senza filigrana.

Esiste un modello gratuito di politica di protezione dei dati in PDF?

Sì, come versione ufficiale con un blocco per la firma del personale, che è ciò di cui hai bisogno se intendi fare affidamento sulla policy in un contesto disciplinare.

Esiste un modello di politica di protezione dei dati in Word per i dipendenti?

Sì. Il modello include un riepilogo per i dipendenti, una versione di due pagine che illustra cosa il personale deve e non deve fare, senza i dettagli di governance. Questa è la versione che la maggior parte delle persone dovrebbe effettivamente leggere, con la policy completa disponibile come riferimento.

Dove posso trovare un PDF della politica di protezione dei dati?

Qui, sia come modello vuoto che come campione compilato in modo da poter vedere una policy finita dall'inizio alla fine prima di scrivere la tua.

Cosa dovrebbe includere una politica di protezione dei dati?

Controllo del documento, ambito, definizioni, ruoli e responsabilità, come si applica ciascuno dei sette principi, basi giuridiche, categorie particolari di dati, diritti degli interessati e come vengono gestite le richieste, conservazione, regole di sicurezza, condivisione con terze parti, quando sono richieste le DPIA, risposta alle violazioni, requisiti di formazione, conseguenze della non conformità, documenti correlati e un ciclo di revisione.

Quali sono i 7 principi del GDPR?

Liceità, correttezza e trasparenza. Limitazione della finalità. Minimizzazione dei dati. Esattezza. Limitazione della conservazione. Integrità e riservatezza. Responsabilizzazione (Accountability). L'articolo 5 stabilisce i primi sei come principi relativi al trattamento, con la responsabilizzazione che richiede di dimostrarne la conformità.

Quali sono le basi giuridiche per il trattamento dei dati personali?

Consenso, contratto, obbligo legale, interessi vitali, interesse pubblico e legittimo interesse. Ogni attività di trattamento ne richiede una. Il consenso è spesso la scelta più debole perché può essere revocato, e il legittimo interesse richiede una valutazione di bilanciamento documentata piuttosto che una semplice affermazione.

Quanto tempo si ha per rispondere a una richiesta di accesso dell'interessato?

Un mese, estendibile di altri due mesi per richieste complesse o numerose, a condizione di informare l'interessato entro il primo mese. Il termine decorre dal momento in cui la richiesta giunge a chiunque all'interno dell'organizzazione, in qualsiasi forma scritta, motivo per cui formare il personale a riconoscere e inoltrare le richieste conta più della procedura stessa.

Entro quanto tempo deve essere segnalata una violazione dei dati?

Qualora sia probabile che una violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone, deve essere segnalata all'autorità di controllo entro 72 ore dal momento in cui se ne viene a conoscenza. In presenza di un rischio elevato per le persone, anche queste devono essere informate senza ingiustificato ritardo. Le violazioni che si valuta non richiedano notifica dovrebbero comunque essere registrate, indicandone i motivi.

Le piccole imprese hanno bisogno di una politica di protezione dei dati?

Sì, se trattano dati personali, cosa che fa quasi ogni attività. Gli obblighi non si riducono con il numero di dipendenti, anche se la documentazione dovrebbe essere proporzionata. Da quattro a sei pagine che indicano una persona reale come responsabile sono più utili di venti pagine che descrivono strutture di governance che non possiedi.

Ho bisogno di un Responsabile della Protezione dei Dati (DPO)?

Un DPO è obbligatorio in circostanze specifiche, incluse le autorità pubbliche e le organizzazioni le cui attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o nel trattamento su larga scala di categorie particolari di dati. Molte organizzazioni non rientrano in questi criteri ma beneficiano comunque della nomina di un responsabile. Verifica la tua posizione con uno specialista, poiché i requisiti comportano elementi di valutazione discrezionale.

Con quale frequenza deve essere rivista una politica di protezione dei dati?

Di norma annualmente, e immediatamente dopo qualsiasi violazione, introduzione di un nuovo sistema o attività di trattamento, modifica della legge, espansione in una nuova giurisdizione o partenza del responsabile. Registra ogni revisione, incluse quelle che non comportano modifiche.

Posso personalizzare questo modello di politica di protezione dei dati?

Sì, ogni versione è completamente modificabile, e dovresti farlo. Le policy generiche falliscono proprio perché non descrivono le reali pratiche di nessuno. Sostituisci i segnaposto, taglia le sezioni che non si applicano e fai esaminare il risultato da un consulente qualificato prima di adottarlo.

Modelli correlati

• Modello di policy aziendale

• Modelli di policy e procedure

• Modello di manuale del dipendente

• Modello di policy per gli acquisti IT

• Modello di SOP per l'IT

• Modello di policy sulle presenze

• Modello SOP

• Modello di base di conoscenza