Oodrive: quando il DPO si affida ai Privacy Champions
Il Responsabile della protezione dei dati (RPD) è l'istituzione originale che rappresenta uno degli eventi dell'entrata in vigore del RGPD, il famoso regolamento di cui tutti parlano da molti mesi, che disciplina il trattamento dei dati personali in tutta l'Unione Europea.
Il responsabile della protezione dei dati (DPO) è l'orchestratore del RGPD. In parole povere, il successore del Correspondant Informatique et Libertés o CIL, fagocitato dal RGPD, è il controllore della corretta applicazione del regolamento. Proprio come un revisore contabile è il controllore dei conti di una società.
SINTESI :
Quando il DPO svolge un ruolo centrale
La nomina di un responsabile della protezione dei dati è obbligatoria per le autorità o gli organismi pubblici e per le organizzazioni del settore privato che monitorano regolarmente e sistematicamente le persone su larga scala, in particolare attraverso la profilazione, o che trattano dati sensibili su larga scala, come i dati sanitari.
In tutti gli altri casi, il DPO è facoltativo ma raccomandato. Questa nuova istituzione informerà e consiglierà i responsabili e gli incaricati del trattamento dei dati sull'applicazione della legge sulla protezione dei dati personali e sul suo sviluppo.
Per quanto riguarda in particolare i dipendenti, il RPD assume il suo ruolo di consulente, riconosciuto dal testo comunitario. È quindi necessario che sia facilmente contattabile da tutti i dipendenti.
Questo ruolo centrale in materia di dati personali si ritrova a tutti i livelli della normativa, non solo per quanto riguarda il personale interno.
Quando si tratta di adottare il giusto approccio
Ad esempio, quando un titolare del trattamento viene a conoscenza di una violazione dei dati personali, il RGPD gli impone di informare la CNIL e anche le persone interessate dalla violazione, pena una sanzione che può arrivare fino al 2% del fatturato dell'azienda.
Nell'ambito di questa notifica, il titolare del trattamento deve comunicare i dati di contatto del DPO al CNIL e alle persone interessate dalla violazione.
Una delle sfide evidenti del RGPD è quella di trasformare i vincoli normativi in un vantaggio commerciale.
Questa trasformazione significa instillare il riflesso dei "dati personali" in tutta l'azienda e coinvolgere tutti i dipendenti.
Perché non affidarsi al DPO per questo scopo?
Quando è necessario individuare i propri Privacy Champions interni
In quest'ottica, Oodrive, un gruppo di quasi 400 dipendenti la cui attività principale è la gestione sicura dei dati sensibili nel Cloud sovrano, offrendo ai professionisti soluzioni per la condivisione, il backup e la firma elettronica, ha messo in atto una prassi originale.
Il DPO nominato internamente da Oodrive, che non è altro che il CISO del Gruppo, ha nominato dei Privacy Champions all'interno dell'organizzazione e tra i suoi dipendenti.
A tal fine, il DPO ha chiesto ai responsabili di ciascun dipartimento di individuare i candidati idonei, non solo per la loro conoscenza approfondita dei rispettivi processi aziendali, ma anche per la loro capacità di fungere da relè e la loro legittimazione nei confronti dei colleghi.
Questi candidati si sono dimostrati altamente motivati, in linea con le missioni e i valori di Oodrive.
Quando gli angeli custodi della protezione della privacy spiegano le ali
È su questi Privacy Champions che il DPO, il "direttore d'orchestra" per l'attuazione del GDPR, farà affidamento.
A loro è stato dedicato un corso di sensibilizzazione di mezza giornata, tenuto da due avvocati specializzati, che si è concluso con un quiz di 20 domande su tutti gli argomenti trattati dal Regolamento e che ha costituito un'autovalutazione.
Una volta tornati al loro posto, coordinano il loro lavoro attraverso un regolare Privacy Circle e vengono regolarmente informati sugli sviluppi del processo di conformità al RGPD dell'azienda, al quale contribuiscono concretamente.
Quando la conformità di un'azienda decolla senza problemi
In ogni dipartimento, i Privacy Champions sono il primo punto di contatto dei colleghi per qualsiasi domanda relativa al RGPD, in coordinamento con il DPO.
In qualità di stakeholder di ciascuna linea di business, compilano il registro delle operazioni di trattamento dei dati personali e, se necessario, coordinano la PIA (Privacy Impact Assessment).
Come possiamo vedere, il RGPD rappresenta anche un'opportunità per alcune aziende di rivedere alcune strutture organizzative e di sfruttare al meglio i talenti a vantaggio dell'organizzazione e dei suoi clienti.
L'iniziativa originale di Oodrive è chiaramente in linea con questo obiettivo.
Articolo co-autore di :
- Olivier Iteanu, Cabinet Iteanu Avocats;
- François-Xavier Vincent, Group CISO & DPO Oodrive.
Articolo tradotto dal francese