L'articolo 35 del GDPR richiede lo svolgimento di una DPIA prima di effettuare trattamenti che possono comportare un rischio elevato per i diritti e le libertà delle persone fisiche. Tra i casi che rendono obbligatoria una DPIA rientrano:

• la profilazione sistematica e su larga scala utilizzata per assumere decisioni con effetti giuridici o analogamente significativi;
  
  
• il trattamento su larga scala di categorie particolari di dati personali;
  
  
• il monitoraggio sistematico di aree accessibili al pubblico.

OneTrust integra la valutazione dei criteri di obbligatorietà della DPIA direttamente nel processo di valutazione della privacy, confrontando le attività di trattamento proposte con i requisiti dell'articolo 35 e con gli elenchi dei rischi pubblicati dalle autorità di protezione dei dati. Quando viene raggiunta una soglia di rischio rilevante, la DPIA viene avviata automaticamente, precompilata con le informazioni già disponibili sul trattamento e inoltrata al DPO per la revisione.

L'articolo 30, paragrafo 1, del GDPR richiede ai titolari del trattamento di mantenere un registro scritto delle attività di trattamento che includa:

• il nome e il recapito del titolare del trattamento e del DPO;
  
  
• le finalità del trattamento;
  
  
• una descrizione delle categorie di interessati e dei dati personali trattati;
  
  
• le categorie di destinatari dei dati personali;
  
  
• i dettagli degli eventuali trasferimenti verso Paesi terzi e le relative garanzie adottate;
  
  
• i periodi di conservazione previsti;
  
  
• una descrizione generale delle misure tecniche e organizzative di sicurezza.

L'articolo 30, paragrafo 2, impone un obbligo analogo ai responsabili del trattamento. In entrambi i casi, il registro deve essere messo a disposizione dell'autorità di controllo su richiesta.

OneTrust genera e conserva automaticamente questo registro, raccogliendo informazioni provenienti da valutazioni, integrazioni di sistema e importazioni massive di dati. Quando cambiano attività di trattamento, sistemi, fornitori o flussi di dati, il RoPA viene aggiornato dinamicamente, evitando la necessità di revisioni manuali e garantendo una documentazione sempre allineata alla realtà operativa.

Il registro delle attività di trattamento è un documento legale formale previsto dall'articolo 30: si tratta di una dichiarazione strutturata che illustra le modalità di trattamento dei dati personali e che viene conservata ai fini delle ispezioni normative. L'inventario dei dati è il processo operativo volto a individuare e catalogare la presenza dei dati personali nei vari sistemi, applicazioni e fornitori. Una mappa dei dati visualizza i flussi e la provenienza dei dati all'interno dell'organizzazione.

Pur avendo finalità diverse, questi tre elementi devono rimanere allineati. Qualsiasi modifica nell'inventario dei dati, come l'introduzione di un nuovo sistema, di un nuovo fornitore o un cambiamento nei periodi di conservazione, dovrebbe attivare un aggiornamento del RoPA. OneTrust collega l'inventario dei trattamenti ai flussi di lavoro di valutazione e alle integrazioni con i sistemi aziendali, consentendo alle modifiche individuate durante le attività di mappatura dei dati di aggiornare automaticamente il RoPA dinamico, invece di restare isolate in un foglio di calcolo che rischia rapidamente di diventare obsoleto.

Dalla gestione dei registri richiesti dall'articolo 30 all'evasione delle richieste degli interessati, OneTrust collega tutti gli obblighi previsti dal GDPR in un unico programma di responsabilizzazione, che il DPO può dimostrare e difendere e che l'Autorità garante può verificare in modo efficace.

Il GDPR non equivale al CCPA, alla LGPD o ad altre normative nazionali sulla privacy, ma queste condividono principi fondamentali quali i diritti degli interessati, la limitazione delle finalità, la minimizzazione dei dati, la responsabilizzazione e la trasparenza. Costruire un programma conforme al GDPR rappresenta una solida base per la conformità multi-giurisdizionale, poiché il regolamento europeo impone spesso requisiti più rigorosi rispetto ad altri quadri in ambiti chiave della governance e della protezione dei dati.

OneTrust supporta la mappatura della conformità tra più normative, consentendo alle organizzazioni di documentare dove un singolo controllo soddisfa simultaneamente gli obblighi previsti da GDPR, CCPA e LGPD e dove, invece, sono necessarie configurazioni specifiche per una determinata giurisdizione.

La conformità al GDPR non è statica. Il regolamento è stato infatti integrato nel tempo da linee guida dell'EDPB, decisioni di applicazione delle autorità nazionali per la protezione dei dati, decisioni di adeguatezza e dall'evoluzione delle priorità di vigilanza delle singole autorità di controllo. Le organizzazioni che operano in più Stati membri dell'UE devono inoltre confrontarsi con differenze nel modo in cui le varie DPA interpretano e applicano i requisiti del GDPR.

In pratica, ciò significa che i team responsabili della conformità devono disporre di un meccanismo per: monitorare le linee guida dell'EDPB non appena vengono pubblicate, tenere traccia delle decisioni delle autorità nazionali rilevanti per le proprie attività di trattamento, aggiornare policy e controlli interni quando cambiano gli orientamenti normativi e comunicare tali aggiornamenti ai team incaricati dell'implementazione.

OneTrust collega il tuo programma privacy a una libreria normativa costantemente aggiornata, consentendo di individuare le modifiche agli orientamenti di applicazione direttamente nel contesto delle policy e dei controlli già esistenti.

L'articolo 5, paragrafo 2, attribuisce l'onere della raccolta di evidenze al titolare del trattamento: quest'ultimo non solo deve rispettare i principi in materia di protezione dei dati di cui all'articolo 5, paragrafo 1, ma deve anche essere in grado di dimostrarne il rispetto su richiesta. L'articolo 24 impone ai titolari del trattamento di adottare misure tecniche e organizzative adeguate e di essere in grado di dimostrare che il trattamento è effettuato in conformità al regolamento.

In pratica, le autorità di controllo interpretano la ''responsabilizzazione dimostrabile'' attraverso una serie coerente di requisiti: un inventario documentato dei trattamenti che rifletta la realtà operativa, valutazioni d'impatto sulla protezione dei dati (DPIA) scritte per i trattamenti ad alto rischio, con evidenze che i rischi siano stati valutati e le decisioni registrate, registri dei consensi che mostrino la cronologia delle transazioni di ciascun individuo e il meccanismo utilizzato, registri delle richieste degli interessati che riportino la ricezione, l'inoltro, la risposta e i tempi, accordi con i responsabili del trattamento e prove di una supervisione continua e registrazioni di eventuali incidenti di sicurezza e delle azioni intraprese.

Lo standard di responsabilizzazione richiede evidenze mantenute nel tempo, non documentazione ricostruita dopo un reclamo. Le autorità verificano che registri e controlli siano stati aggiornati e conservati in modo continuo nell'ambito del programma di conformità. OneTrust crea e mantiene la documentazione necessaria in tutte queste aree, inclusi RoPA, DPIA, registrazioni del consenso, registri delle DSAR, valutazioni dei fornitori e registri degli incidenti, garantendo che le evidenze siano già disponibili quando vengono richieste, anziché dover essere raccolte e predisposte solo in seguito a una richiesta.