Guida alla conformità al GDPR Entro

Le soluzioni e i prodotti Vanderbilt consentono ai clienti di gestire ed elaborare i dati personali in modo tale da soddisfare i requisiti del GDPR. Questa guida ha lo scopo di aiutare e supportare i nostri clienti nella valutazione della loro disponibilità ad adempiere alle proprie responsabilità e obblighi nei confronti delle nuove normative.

Panoramica

La protezione dei dati è un diritto fondamentale in base al quale ogni individuo ha il diritto alla protezione dei dati personali che lo riguardano. Il Regolamento generale sulla protezione dei dati (GDPR) è applicabile dal 25 maggio 2018 ed è progettato per dare alle persone un maggiore controllo sui propri dati personali. Esiste una serie di norme per l'intera UE, che può essere integrata in alcune aree dalla legislazione nazionale.

Il GDPR impone obblighi alle aziende o alle organizzazioni che raccolgono, utilizzano ed elaborano dati personali. Al centro del GDPR c'è l'obbligo per le organizzazioni e le aziende di essere completamente trasparenti su come utilizzano e proteggono i dati personali e di essere in grado di dimostrare la responsabilità per le proprie attività di trattamento dei dati. Tali dati devono essere trattati in modo equo per scopi specifici e sulla base del consenso della persona interessata o di qualche altra base legittima prevista dalla legge.

Sebbene Vanderbilt offra ai clienti funzionalità di prodotto flessibili e intuitive per facilitare la conformità alle nuove normative, l'organizzazione Vanderbilt non raccoglie, controlla, utilizza o elabora i dati personali presenti nei prodotti Vanderbilt on-premise. Pertanto, è ruolo e responsabilità del titolare e del responsabile del trattamento dei dati personali garantire il rispetto degli obblighi previsti dal GDPR.

In caso di dubbi o dubbi sull'identità del titolare e/o del responsabile del trattamento, in ogni caso, è necessario consultare il proprio consulente legale.

Cosa sono i dati personali?

Con il termine «dati personali» si intende qualsiasi informazione relativa a una persona vivente identificata o identificabile.

Una persona è identificabile se può essere identificata direttamente o indirettamente utilizzando un «identificatore». Il GDPR fornisce esempi di identificatori, tra cui nomi, numeri di identificazione e dati sulla posizione. Una persona può anche essere identificabile facendo riferimento a fattori specifici della sua identità, come fattori fisici, genetici o culturali.

I dati personali che sono stati resi anonimi, crittografati o pseudonimizzati ma che possono essere utilizzati per identificare nuovamente una persona rimangono dati personali e rientrano nell'ambito di applicazione del GDPR. Se i dati personali sono stati resi anonimi in modo tale che l'individuo non sia più identificabile, non sono considerati dati personali. Affinché i dati siano veramente resi anonimi, l'anonimizzazione deve essere irreversibile.

La legge protegge i dati personali indipendentemente dalla tecnologia o dal metodo utilizzato per il trattamento di tali dati: si applica sia all'elaborazione automatica che manuale. Inoltre, non importa come vengono archiviati i dati personali: in un sistema IT, tramite videosorveglianza o su supporto cartaceo; in tutti i casi, i dati personali sono soggetti ai requisiti di protezione stabiliti dal GDPR.

Cosa costituisce il trattamento dei dati?

Il trattamento copre un'ampia gamma di operazioni eseguite sui dati personali, anche con mezzi manuali o automatizzati. Comprende la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, il recupero, la consultazione, l'uso, la divulgazione mediante trasmissione, diffusione o altra messa a disposizione, l'allineamento o la combinazione, la restrizione, la cancellazione o la distruzione dei dati personali.

Il Regolamento generale sulla protezione dei dati (GDPR) si applica al trattamento dei dati personali interamente o parzialmente con mezzi automatizzati e al trattamento non automatizzato, se fa parte di un sistema di archiviazione strutturato.

Sono un titolare del trattamento o un responsabile del trattamento dei dati?

Un titolare del trattamento è una persona fisica o giuridica che controlla ed è responsabile della conservazione e dell'uso delle informazioni personali su un computer o in file manuali strutturati. Essere un titolare del trattamento comporta delle responsabilità legali, quindi dovresti sapere con chiarezza se tali responsabilità riguardano te o la tua organizzazione.

Se tu o la tua organizzazione controllate e siete responsabili dei dati personali in loro possesso, ad esempio decidete quali informazioni personali verranno conservate e a che uso verranno destinate, allora voi o la vostra organizzazione siete titolari del trattamento dei dati.

Esempi di casi in cui il responsabile del trattamento dei dati è una persona fisica includono medici generici, farmacisti, politici e ditte individuali, in cui queste persone conservano informazioni personali sui loro pazienti, clienti, elettori ecc.

Se tu o la tua organizzazione detieni i dati personali, ma un altro individuo o organizzazione decide ed è responsabile di ciò che accade ai dati, allora quell'altro individuo o organizzazione è il titolare del trattamento e tu o la tua organizzazione siete un «responsabile del trattamento dei dati».

Esempi di responsabili del trattamento dei dati includono società di gestione delle retribuzioni, contabili e società di ricerche di mercato, che potrebbero detenere o elaborare informazioni personali per conto di qualcun altro.

Cos'è il consenso ai dati e devo prenderlo in considerazione?

Per trattare legalmente i dati personali, le organizzazioni e le aziende devono identificare e documentare la base legale per farlo sin dall'inizio. Alcuni dei modi legali per trattare i dati includono:

• Consenso dell'individuo: Il consenso è appropriato se agli individui viene offerta una scelta e un controllo reali su come vengono utilizzati i loro dati.
• Interessi vitali: Il trattamento è necessario per proteggere gli interessi vitali dell'individuo, ad esempio se è necessario proteggere la vita di qualcuno.
• Conformità che ha un obbligo legale: I dati possono essere trattati se, ad esempio, sono richiesti dalla legge dell'UE per uno scopo particolare.
• Un contratto con l'individuo: Il trattamento è necessario per l'esecuzione di un contratto con un individuo, ad esempio per fornire beni o servizi richiesti

In caso di dubbi sull'acquisizione di un consenso sufficiente per il trattamento dei dati personali, è necessario consultare il proprio consulente legale.

Cos'è un contratto per il trattamento dei dati e devo prenderlo in considerazione?

Se detieni o elabori (inserisci, modifichi, gestisci) dati personali (processore di dati) per conto del tuo cliente (titolare del trattamento), avrai bisogno di un contratto di elaborazione dei dati. Consigliamo di richiedere una consulenza legale per garantire al meglio che il contratto preveda adeguate misure di sicurezza e altre misure di protezione dei dati. Inoltre, consigliamo ai clienti di disporre di una lista di controllo sulla gestione dei dati e sulla consegna del sistema di sicurezza.

Conosci il tuo ruolo e la tua responsabilità

È chiaro che la legge sta cambiando in GDPR e questo deve essere preso in considerazione nella pianificazione del sistema di sicurezza. È necessario identificare e risolvere le aree che possono causare problemi di conformità ai sensi del GDPR. Ai sensi del GDPR, le persone hanno il diritto di ricevere informazioni chiare sull'uso dei propri dati.

Il primo passo pratico è identificare il tuo ruolo e la tua responsabilità rispetto al GDPR. Sei un titolare del trattamento o un elaboratore di dati o entrambi? In caso di dubbi o dubbi sull'identità del titolare e/o del responsabile del trattamento, in ogni caso, è necessario consultare il proprio consulente legale.

Il secondo passo è diventare responsabili. Considera tutti i dati personali che gestisci quando lavori con il sistema di sicurezza ed esaminali sotto i seguenti titoli:

• Quali dati personali vengono memorizzati?
• Qual è la base giuridica su cui si basa il trattamento dei dati personali?
• Dove vengono archiviati i dati?
• Come vengono protetti i dati?
• Per quanto tempo vengono conservati i dati?
• Qual è la politica per la gestione delle singole richieste di accesso ai dati?
• Qual è la procedura se qualcuno chiede di essere rimosso dal sistema?
• Chi ha accesso ai dati?
• I dati personali vengono trasferiti al di fuori del SEE?

Entro e GDPR

Le seguenti informazioni descrivono in che modo il sistema Vanderbilt Entro V6.7 può essere utilizzato per facilitare la conformità al GDPR.

Quali dati personali vengono memorizzati?

La raccolta di dati personali non è obbligatoria all'interno di Entro, sebbene abbia la capacità di memorizzare alcuni campi definibili dall'utente, che potrebbero essere utilizzati per memorizzare dati personali.

Qual è la base giuridica su cui si basa il trattamento dei dati personali?

L'inserimento dei dati e il mantenimento dei dati sono controllati dal titolare e dal responsabile del trattamento dei dati del sito. Pertanto, è responsabilità del titolare e/o del responsabile del trattamento garantire l'ottenimento della base legale per il trattamento dei dati personali.

Non ci sono procedure esplicite integrate nel software Entro per ottenere il consenso dell'utente o registrarlo.

Dove vengono archiviati i dati?

I dati vengono archiviati sia sul PC che sui controller Entro, e tutti i dati memorizzati sul PC vengono replicati sul controller. Per ogni controller del sistema esiste essenzialmente un altro backup completo del database, che può essere ripristinato sul PC. Comunicazioni IP tra PC e SR e SR -> SR è crittografato con RC4.

Come vengono protetti i dati?

Il database è in un formato personalizzato e non può essere letto dagli strumenti di analisi DB convenzionali come SQL Management Studio ecc. È possibile visualizzare il contenuto di un database tramite il software Entro solo se si dispone della combinazione corretta di numero di serie, nome di sistema e credenziali di accesso valide.

Esiste uno strumento che consente il recupero del nome del sistema/numero di serie e delle informazioni di accesso, ma l'accesso a questo è limitato. Il database stesso utilizza un protocollo di crittografia personalizzato per proteggerlo quando viene archiviato sul PC.

Per quanto tempo vengono conservati i dati?

I dati utente vengono conservati nel sistema Entro fino alla rimozione da parte dell'amministratore del sistema. È responsabilità dell'amministratore di sistema comunicare in modo trasparente il periodo di conservazione dei dati. Quando una scheda viene eliminata dal sistema, la carta diventa immediatamente non valida, tuttavia le informazioni utente associate verranno conservate nel DB Entro per altre 3 settimane, dopodiché verranno automaticamente eliminate dal database.

I dati degli eventi vengono conservati finché l'impostazione è per la conservazione degli eventi o se viene effettuata una richiesta specifica per rimuovere i dati personali dai registri degli eventi. La conservazione dei dati degli eventi viene effettuata per utente del software e, come tale, per ogni utente del software, esisterà una serie di file di eventi.

Qual è la politica per la gestione delle singole richieste di accesso ai dati?

Se viene effettuata una richiesta, è responsabilità del titolare del trattamento e/o dei responsabili del trattamento delineare la politica e fornire i dati in modo tempestivo in conformità con le normative GDPR.

È possibile filtrare gli eventi contenuti nel sistema Entro per vedere quali dati individuali sono conservati su una persona, ad esempio eventi di registro recenti o informazioni relative al suo record individuale. Questi dati possono essere esportati in un formato standard come CSV.

Qual è la procedura se qualcuno chiede di essere rimosso dal sistema?

Se viene effettuata una richiesta, è responsabilità del titolare del trattamento e/o dei responsabili del trattamento delineare la politica e rimuovere i dati in modo tempestivo in conformità con le normative GDPR.

I dati dei titolari di carta possono essere cancellati manualmente dal sistema Entro, su richiesta. Tuttavia, l'eliminazione di un titolare di carta non eliminerà gli eventi associati. Ciò verrà mantenuto per tutto il tempo in cui l'impostazione è per la conservazione degli eventi o se viene effettuata una richiesta specifica di rimozione dei dati personali dai registri degli eventi.

Chi ha accesso ai dati?

È responsabilità del titolare e/o del responsabile del trattamento rivelare chi ha accesso ai dati personali sul sistema Entro installato sul sito. Entro ha la capacità di definire diversi accessi utente al software client. Sono disponibili diversi livelli di accesso. Vanderbilt non ha accesso e/o capacità di trattare i dati personali su un sistema Entro locale.

I dati personali vengono trasferiti al di fuori del SEE?

In modalità operativa normale, i dati utente di Entro non vengono condivisi all'esterno del sistema. È responsabilità del titolare e/o del responsabile del trattamento dei dati rivelare se il sistema è configurato in modo tale da trasferire i dati al di fuori del SEE.