Regole di Business - GDPR Compliance (IT)

Regole di business fondamentali del dominio della protezione dei dati personali (GDPR). Codice BR-NNN, priorità Alta/Media/Bassa. Le regole descrivono il processo di compliance e NON costituiscono pareri legali né interpretazioni vincolanti della norma.

> Nota legale: Questa sezione ha finalità descrittive e informative. Non costituisce un parere legale né un'interpretazione vincolante della norma. Consultare sempre un professionista abilitato prima di prendere decisioni operative. Fonte normativa di riferimento: GDPR Reg. (UE) 2016/679, Art. 5-6 (2016).

---

BR-001 - Ogni trattamento ha una base giuridica

Codice: BR-001 Nome: Base Giuridica del Trattamento Descrizione: Ogni Trattamento deve poggiare su una BaseLegale valida tra quelle dell'Art. 6 (consenso, contratto, obbligo legale, interesse vitale, interesse pubblico, legittimo interesse). Un trattamento senza base giuridica non è ammesso. Motivazione: La liceità è il presupposto di ogni trattamento; l'assenza di base è una violazione strutturale. Priorità: Alta Attori: TitolareTrattamento, DPO Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 6; glossary Base Giuridica.

BR-002 - Minimizzazione e limitazione della finalità

Codice: BR-002 Nome: Minimizzazione dei Dati Descrizione: I dati personali raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità (Limitazione della Finalità). Non è ammessa la raccolta "per ogni evenienza". Motivazione: La minimizzazione riduce il rischio e i danni potenziali in caso di violazione. Priorità: Alta Attori: TitolareTrattamento Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 5(1)(c); glossary Minimizzazione dei Dati.

BR-003 - Notifica della violazione entro 72 ore

Codice: BR-003 Nome: Data Breach Notification Descrizione: Una DataBreachReport che comporta un rischio per i diritti e le libertà degli interessati deve essere notificata all'Autorità di Vigilanza entro 72 ore dalla conoscenza. Se il rischio è elevato, gli interessati devono essere informati. Motivazione: La tempestività limita il danno e consente l'intervento dell'autorità. Priorità: Alta Attori: TitolareTrattamento, DPO, Autorità di Vigilanza Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 33-34; glossary Violazione dei Dati Personali.

BR-004 - Valutazione d'impatto (DPIA) per trattamenti ad alto rischio

Codice: BR-004 Nome: DPIA obbligatoria Descrizione: Quando un Trattamento può presentare un rischio elevato per i diritti e le libertà (es. profilazione su larga scala, categorie particolari), deve essere svolta una DPIA prima dell'avvio del trattamento. Motivazione: La DPIA individua e mitiga i rischi prima che il trattamento produca effetti. Priorità: Alta Attori: TitolareTrattamento, DPO Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 35; glossary DPIA.

BR-005 - Esercizio dei diritti dell'interessato

Codice: BR-005 Nome: Data Subject Rights Descrizione: Il titolare deve poter dare seguito a una DataSubjectRight (accesso, rettifica, cancellazione, portabilità, limitazione, opposizione) entro un mese, prorogabile nei casi previsti. La cancellazione deve propagarsi a tutti i data store. Motivazione: I diritti dell'interessato sono il cuore della tutela; la loro effettività richiede processi e propagazione. Priorità: Alta Attori: TitolareTrattamento, Interessato Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 15-22; glossary Richiesta di Accesso dell'Interessato, Diritto alla Cancellazione.

BR-006 - Registro dei trattamenti (RoPA)

Codice: BR-006 Nome: Record of Processing Activities Descrizione: Il titolare (e il responsabile) deve mantenere un Registro dei Trattamenti (RoPA) aggiornato che documenti finalità, categorie di dati e interessati, destinatari, trasferimenti e termini di conservazione. Motivazione: Il RoPA è lo strumento di accountability che dimostra la conformità. Priorità: Media Attori: TitolareTrattamento, DPO Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 30; glossary Registro dei Trattamenti (RoPA).

BR-007 - Trasferimenti internazionali con garanzie adeguate

Codice: BR-007 Nome: International Transfers Descrizione: Un trasferimento di dati verso un paese terzo richiede un TransferMechanism valido (decisione di adeguatezza, SCC, BCR) e, ove necessario, una valutazione d'impatto del trasferimento (TIA). Motivazione: La tutela deve seguire i dati anche oltre i confini UE. Priorità: Media Attori: TitolareTrattamento, DPO Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 44-49; glossary Clausole Contrattuali Standard (SCC), Decisione di Adeguatezza.

BR-008 - Sicurezza adeguata del trattamento

Codice: BR-008 Nome: Security of Processing Descrizione: Il titolare deve adottare misure tecniche e organizzative adeguate al rischio (es. cifratura, pseudonimizzazione, controllo accessi) per garantire integrità e riservatezza dei dati. Motivazione: La sicurezza è il presidio che previene le violazioni e ne limita gli effetti. Priorità: Alta Attori: TitolareTrattamento, ResponsabileTrattamento Tracciabilità: GDPR Reg. (UE) 2016/679 Art. 32; glossary Integrità e Riservatezza, Pseudonimizzazione.