Formazione GDPR
Il D.Lgs. 196/2003, già nella prima versione prevedeva l'obbligo formativo del personale (Incaricati, oggi rinominati Soggetti Autorizzati) per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.
La formazione deve essere programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.
Per il Regolamento Europeo 2016/679 (GDPR) la formazione costituisce un prerequisito per potere operare all’interno delle organizzazioni, imprese e pubbliche amministrazioni.
Essa dovrebbe presentare un taglio interdisciplinare (con sessioni sia informatiche sia giuridiche sia sui profili organizzativi dell’Ente o Società) e pratico (come si evince dal termine “istruito” previsto agli articoli 29 e 32 del GDPR) e riguardare tutti i soggetti.
La formazione deve illustrare i rischi generali e specifici dei trattamenti di dati, le misure organizzative, tecniche ed informatiche adottate, nonché le responsabilità e le sanzioni.
L’obbligo formativo non deve essere in alcun modo sottovalutato da parte delle pubbliche amministrazioni e delle imprese: infatti in caso di mancata erogazione della formazione scattano ai sensi dell’articolo 83 del GDPR rilevanti sanzioni amministrative pecuniarie.
L’adempimento degli obblighi formativi è oggetto anche di accertamenti ispettivi da parte dell’Autorità Garante privacy, della Polizia Postale e della Guardia di Finanza.
In numerosi casi il Garante in sede ispettiva ha richiesto di acquisire il piano di formazione con relativa documentazione ed ha analizzato la formazione erogata ai soggetti che effettuano trattamenti in relazione all’accesso, alla consultazione delle banche dati, le policy aziendali (per esempio in materia di videosorveglianza e password).