Pillola 5

Regole chiare e responsabilizzazione dei dipendenti

Tutti i componenti dell’organizzazione devono comprendere il valore della protezione dei dati personali e devono conoscere le regole secondo le quali devono essere trattate le informazioni personali nell’espletamento delle mansioni assegnate.

La redazione di un documento di politica, oppure la predisposizione di un regolamento aziendale o di un disciplinare che illustrino con chiarezza le regole sono strumenti efficaci per diffondere la cultura e trasmettere le istruzioni al personale.

Qualora l’organizzazione decidesse di diffondere le istruzioni in merito al trattamento dei dati personali per mezzo di un documento apposito, questo potrà essere reso disponibile sulla intranet aziendale in una apposita sezione e dovrà essere aggiornato ogniqualvolta sia necessario per recepire aggiornamenti normativi o cambiamenti nei processi. La presa visione e l’accettazione di questo contenuto può essere richiesta a tutti i dipendenti (in forma digitale o mediante apposizione di firma sulla versione cartacea) in modo che l’organizzazione possa tracciare e documentare l’avvenuta trasmissione delle istruzioni.

Informazione e formazione

Informare e formare dipendenti e collaboratori è un preciso dovere dei soggetti che hanno la responsabilità del trattamento. In previsione dell’entrata in vigore del Regolamento Europeo, l’organizzazione dovrà predisporre seminari o workshop interni con l’obiettivo di diffondere al suo interno la conoscenza della normativa e di spiegare quali misure tecniche e/o organizzative intende implementare per il rispetto delle prescrizioni di legge.

A regime, è opportuno che il tema sia ripreso e riportato all’attenzione di tutti con cadenza almeno annuale, per mantenere e rinforzare la cultura della protezione dei dati.

Tutti i nuovi assunti che svolgono operazioni di trattamento di dati personali devono ricevere istruzioni precise e visionare le politiche interne relative.

In caso di mansioni particolarmente delicate – per la natura e la sensibilità dei dati con i quali gli addetti entrano in contatto – l’organizzazione deve valutare l’opportunità di predisporre sessioni formative ad hoc per mitigare i rischi eventualmente connessi alle specifiche operazioni di trattamento svolte (trattamento di dati sanitari, operatori di call centre, addetti alle risorse umane… ).

La partecipazione di collaboratori e dipendenti alle attività di formazione deve essere documentata e conservata dall’organizzazione.