Una recente sentenza di un tribunale italiano contro un’azienda con dipendenti ha evidenziato come l’assenza di regole e procedure interne, oppure regole e procedure obsolete e non allineate con la prassi lavorativa quotidiana possono esporre il titolare del trattamento a rischi concreti di data breach e/o a contenziosi con dipendenti e clienti. Sul piano normativo possono essere contestati sia il mancato rispetto della privacy by design e by default (art. 25 GDPR), sia il mancato rispetto dell’art. 32 (Sicurezza del trattamento – accountability); da questi articoli, che richiamano principi piuttosto generali, si dipartono tutti gli adempimenti che dovrebbero essere posti in essere, dal disciplinare interno per l’utilizzo della posta elettronica e Internet, alle lettere di incarico per gli autorizzati (con le relative prescrizioni da rispettare), alla formazione degli autorizzati, alle procedure pratiche (spesso necessarie anche per ottemperare al D. Lgs. 104/22 sul “lavoro trasparente”) che spesso incrociano sia lo statuto dei Lavoratori (es. impianti di videosorveglianza, trattamento dati di geolocalizzazione ecc.), sia la norma che ha istituito i crediti di imposta per industria 4.0, 5.0 e similari, richiedendo in alcuni casi anche delle valutazioni di impatto (DPIA) ex art. 35.
Emerge quindi un quadro complesso, che deve essere necessariamente coordinato e governato dal titolare del trattamento, da DPO (se nominato) con il supporto del referente privacy interno e del settore IT.
Per un’analisi sullo stato attuale della compliance azienda e/o per approfondimento sui contenuti dell’articolo, Vi invitiamo a consultare i nostri uffici.
Altri articoli
