Dettagli del soggetto della privacy

Un soggetto della privacy è l'elemento permanente e riutilizzabile valutato dal proprio ufficio — un programma, un sistema, un'iniziativa, un accordo di condivisione dei dati, una modifica di processo o l'adozione di una tecnologia — condiviso tra tutte le valutazioni e gli incidenti che lo riguardano. Il pannello dei dettagli del soggetto è il luogo in cui si gestiscono l'identità del soggetto e il relativo Registro delle attività di trattamento (ROPA) ai sensi dell'articolo 30 del GDPR, si collegano i suoi controlli e (dove applicabile) il suo registro IA/ADM, si monitora il suo profilo di conformità e si esamina la cronologia delle sue valutazioni e dei suoi incidenti. Il pannello è completamente modificabile quando viene aperto dalla directory Soggetti della privacy e controlli, mentre è di sola lettura quando vi si accede dall'interno di una valutazione. Comprende otto schede, nell'ordine: Dettagli, Responsabili del trattamento / fornitori, Controlli, Registro IA/ADM (solo per i soggetti il cui tipo è contrassegnato come ADM), Profilo di conformità, Escalation degli incidenti, Cronologia valutazioni e Cronologia incidenti.

Apertura di un soggetto

Aprire un soggetto dalla directory Soggetti della privacy e controlli (facendo clic su una scheda) per modificarlo, oppure fare clic sul nome del soggetto all'interno di una valutazione per accedervi in sola lettura. Poiché i soggetti sono record condivisi e permanenti, vengono sempre modificati dalla directory — non è possibile rinominare o riassegnare la chiave di un soggetto dall'interno di una singola valutazione.

Il blocco Identità

La scheda Dettagli si apre con due blocchi modificabili per sezione, ciascuno con la propria icona a matita. Il primo è Identità, che registra:

• Nome
• Tipo — Programma, Sistema, Iniziativa, Accordo di condivisione dei dati, Modifica di processo o Adozione tecnologica
• Stato — lo stato proprio del soggetto
• Responsabile aziendale
• Responsabile principale del programma
• Descrizione

I campi di testo libero supportano traduzioni facoltative per lingua. La barra laterale include un selettore rapido dello stato e schede riepilogative che sintetizzano le valutazioni e gli incidenti del soggetto.

Registro delle attività di trattamento (ROPA)

Il secondo blocco della scheda Dettagli è il record del Registro delle attività di trattamento (ROPA) ai sensi dell'articolo 30 del GDPR. Comprende:

• Finalità del trattamento — il motivo per cui i dati personali vengono trattati.
• Base giuridica — la base giuridica su cui si fonda il trattamento.
• Categorie di dati personali — le tipologie di dati personali coinvolti.
• Categorie di interessati — i gruppi di persone a cui si riferiscono i dati.
• Categorie di destinatari — a chi vengono comunicati i dati, con un registro delle comunicazioni per singolo destinatario.
• Responsabili del trattamento / fornitori — i responsabili effettivi del trattamento dietro l'attività, collegati dal registro dei fornitori (vedere di seguito).
• Periodo di conservazione — per quanto tempo i dati vengono conservati.
• Misure di sicurezza — le misure di protezione a tutela dei dati.
• Ubicazione dell'hosting — dove vengono ospitati i dati.
• Trasferimento internazionale — un indicatore che, se attivato, mostra un campo garanzie per il trasferimento che descrive le tutele previste per i trasferimenti transfrontalieri.

Gli elenchi categorie di dati personali, categorie di interessati e categorie di destinatari sono tassonomie configurabili definite in Impostazioni. I campi di testo libero supportano traduzioni facoltative per lingua.

Responsabili del trattamento / fornitori

La scheda Responsabili del trattamento / fornitori collega i fornitori dal registro dei fornitori per indicare i responsabili effettivi del trattamento dietro questa attività di trattamento. Ogni collegamento può avere un proprio ruolo in questo trattamento (responsabile del trattamento, sub-responsabile, titolare, contitolare o fornitore di servizi — passare il mouse su un ruolo per la relativa definizione) oppure ereditare il ruolo assegnato al fornitore nel registro, oltre a una nota facoltativa. I fornitori collegati vengono visualizzati come righe "Nome — ruolo" qui e nell'esportazione ROPA, in modo che il registro dell'articolo 30 indichi i responsabili reali del trattamento per ciascuna attività, anziché solo le categorie.

Controlli

La scheda Controlli collega a questo soggetto i controlli provenienti dalla Libreria dei controlli condivisa (Impostazioni → Libreria dei controlli — misure di privacy, sicurezza e organizzative, precaricate dai pacchetti). Ogni collegamento ha una propria designazione:

• Obbligatorio
• Consigliato
• Implementato
• Non applicabile — richiede una motivazione del perché non si applica

Un controllo Obbligatorio non ancora Implementato viene mostrato come un chip di lacuna di avviso nell'intestazione del soggetto, in modo che un controllo in sospeso sia visibile a colpo d'occhio senza dover aprire la scheda. I collegamenti Implementato e Obbligatorio vengono visualizzati anche nella riga delle misure di sicurezza dell'esportazione ROPA, cosicché il registro dell'articolo 30 rifletta tutele reali e collegate anziché testo libero.

Registro IA/ADM

La scheda Registro IA/ADM compare solo per i soggetti il cui tipo è contrassegnato come sistema di decisione automatizzata (ADM). Registra:

• Responsabile tecnico e responsabile privacy
• Finalità prevista
• Modello o servizio IA utilizzato
• Stato di implementazione
• Modalità di acquisizione
• Livello di coinvolgimento umano
• Classificazione del rischio — una tassonomia precaricata dai pacchetti: l'insieme generico a quattro livelli, oltre alle classi previste dalla legge fornite dai propri pacchetti giurisdizionali
• Un inventario delle fonti di dati, con un indicatore di presenza di informazioni personali per ciascuna fonte

La data di approvazione è derivata, non digitata — corrisponde sempre alla data di approvazione della valutazione più recente In vigore per questo soggetto, cosicché il registro non può mai mostrare un'approvazione che non risalga a una valutazione effettiva.

Profilo di conformità

La scheda Profilo di conformità valuta automaticamente i requisiti dei propri pacchetti giurisdizionali rispetto a questo soggetto:

• Una valutazione richiesta risulta Soddisfatta non appena è In vigore.
• Un controllo obbligatorio risulta Soddisfatto non appena è collegato come Implementato (vedere Controlli, sopra).
• Gli elementi di documentazione e comunicazione vengono spuntati man mano che si completano, con un documento probatorio facoltativo allegato a ciascuno.

I requisiti contrassegnati come Prima della produzione vengono mostrati come tali finché il soggetto non viene distribuito; una volta distribuito, quelli ancora non soddisfatti diventano normali lacune di conformità.

Escalation degli incidenti

La scheda Escalation degli incidenti registra un contatto di escalation facoltativo e un piano di escalation concordato in anticipo per questo soggetto. Quando un incidente viene collegato al soggetto, il piano viene mostrato automaticamente — come banner nell'incidente aperto e nella finestra di segnalazione dell'incidente nel momento in cui il soggetto viene selezionato — in modo che chi risponde sappia chi contattare senza doverlo cercare. Vedere Creazione degli incidenti.

Cronologia valutazioni

La scheda Cronologia valutazioni elenca tutte le valutazioni mai eseguite su questo soggetto. Utilizzare Nuova valutazione per avviare una nuova valutazione sullo stesso soggetto — il soggetto viene precompilato e bloccato nella finestra di creazione. Vedere Creazione delle valutazioni.

Cronologia incidenti

La scheda Cronologia incidenti elenca gli incidenti collegati a questo soggetto. Utilizzare Crea incidente (richiede l'autorizzazione per la segnalazione degli incidenti) per aprire la finestra di segnalazione con questo soggetto già collegato al nuovo incidente. Vedere Creazione degli incidenti.