Modello Organizzativo Privacy di TZ&A Studio Associato
Introduzione
La protezione dei dati personali rappresenta per TZ&A Studio Associato (di seguito “TZ&A”) un impegno fondamentale.
L’entrata in vigore del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati (GDPR), ha rappresentato un’ulteriore opportunità per rafforzare l’impegno della Società verso i principi di trasparenza, correttezza e tutela dei dati personali.
TZ&A opera nel rispetto dei diritti e delle libertà fondamentali degli interessati, siano essi dipendenti, collaboratori, clienti, fornitori o soggetti che entrano in contatto con la Società per ricevere informazioni o usufruire dei servizi offerti.
A tal fine è stato implementato un Modello Organizzativo Privacy (MOP), finalizzato a censire, analizzare e gestire in modo strutturato tutti i trattamenti di dati personali, garantendo adeguati livelli di sicurezza, conformità normativa e trasparenza.
In questa sezione del sito sono inoltre disponibili le informazioni relative ai diritti degli interessati e alle modalità attraverso cui tali diritti possono essere esercitati nei confronti del Titolare del trattamento.
Indice
Modello Organizzativo Privacy GDPR
1.1 – Soggetti
TITOLARE DEL TRATTAMENTO
Il Titolare del trattamento è:
TZ&A Studio Associato (di seguito anche “TITOLARE”)
Via della Rotonda, 60, 36100 Vicenza (VI)
Tel. +39 04443 24282
Email: info@studiotza.it
P. IVA e Codice Fiscale: 02158800249
RESPONSABILE DELLA PROTEZIONE DEI DATI
TZ&A Studio Associato ha nominato, individuandolo all’interno della propria organizzazione, il Responsabile della Protezione dei Dati (di seguito anche “RPD” o “DPO”), così come previsto dall’art. 37 del Regolamento (UE) 2016/679.
Il DPO è domiciliato presso il TITOLARE e può essere contattato per qualsiasi esigenza correlata al trattamento dei dati personali degli interessati.
Email: dpo@studiotza.it
TEAM PRIVACY
Il TITOLARE ha ritenuto opportuno nominare un Team Privacy interno composto da soggetti con competenze organizzative, tecniche e informatiche. Il Team Privacy svolge una funzione di supporto alle attività del TITOLARE e del DPO.
SOGGETTI AUTORIZZATI AL TRATTAMENTO (art. 29 GDPR)
Il Modello Organizzativo Privacy prevede che ciascun dipendente o collaboratore tratti esclusivamente i dati necessari allo svolgimento delle proprie mansioni, in conformità ai principi di limitazione della finalità e minimizzazione dei dati previsti dall’art. 5 del GDPR.
È stata pertanto definita una segmentazione dei trattamenti per aree omogenee di autorizzazione, attribuendo a ciascun soggetto uno specifico ambito di trattamento. Tutti i soggetti autorizzati ricevono istruzioni puntuali dal TITOLARE e operano nel rispetto delle procedure interne.
Anche il sistema informativo è stato progettato secondo il principio dei compartimenti separati, consentendo l’accesso esclusivamente ai dati necessari per lo svolgimento delle attività assegnate.
Le autorizzazioni vengono attribuite sulla base di un’attenta analisi dell’organizzazione aziendale e dei flussi informativi interni ed esterni, formalizzati in una specifica matrice delle autorizzazioni.
I dipendenti e collaboratori ricevono inoltre un regolamento interno relativo all’utilizzo degli strumenti informatici e alle regole di condotta, comprese quelle etiche, applicabili alle informazioni trattate.
Per garantire il continuo adeguamento alla normativa, il TITOLARE promuove attività periodiche di formazione e aggiornamento rivolte ai soggetti che trattano dati personali.
AMMINISTRATORI DI SISTEMA (INTERNI ED ESTERNI)
Il TITOLARE utilizza sistemi informatici per organizzare e gestire le proprie attività. Per questo motivo, la sicurezza dei dati, la progettazione dei software e le modalità di utilizzo degli strumenti informatici rappresentano aspetti centrali dell’organizzazione.
I soggetti interni con privilegi di amministrazione sono formalmente nominati e adeguatamente formati. Analogamente, le società esterne che accedono a dati aziendali vengono nominate Responsabili del Trattamento e/o Amministratori di Sistema Esterni ai sensi dell’art. 28 del GDPR.
I fornitori di servizi informatici sono selezionati con particolare attenzione alla loro affidabilità, competenza professionale e capacità di garantire adeguati livelli di protezione dei dati personali, privilegiando ove possibile organizzazioni certificate.
RESPONSABILI DEL TRATTAMENTO (art. 28 GDPR)
In linea generale, il TITOLARE gestisce internamente la maggior parte delle attività di trattamento dei dati personali. Eventuali attività affidate a soggetti esterni sono indicate nelle specifiche informative privacy.
In tali casi, il rapporto con il soggetto terzo viene disciplinato mediante un apposito accordo di nomina a Responsabile del Trattamento ai sensi dell’art. 28 del GDPR.
Il TITOLARE si avvale esclusivamente di soggetti che presentano adeguate garanzie in termini di competenza, affidabilità e adozione di misure tecniche e organizzative idonee a garantire la tutela dei diritti e delle libertà degli interessati.
1.2 – Analisi del Rischio e Misure per Prevenire i Rischi Privacy
Secondo il principio di accountability (responsabilizzazione), il TITOLARE è tenuto ad adottare misure organizzative, fisiche, giuridiche, tecniche e informatiche idonee a prevenire il rischio di violazione dei diritti e delle libertà degli interessati.
Per perseguire tale obiettivo viene svolta una costante attività di analisi e valutazione dei rischi, tenendo conto dei trattamenti effettuati, degli strumenti utilizzati, della tipologia dei dati trattati e del relativo volume.
REGISTRO DEI TRATTAMENTI (art. 30 GDPR) E VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI (art. 35 GDPR)
Il Modello Organizzativo Privacy prevede un’attenta e continua analisi dei rischi connessi al trattamento dei dati personali. Tali attività vengono monitorate e documentate attraverso il Registro dei Trattamenti previsto dall’art. 30, comma 1, del GDPR.
Sulla base delle valutazioni effettuate, il TITOLARE ritiene che le attività attualmente svolte non presentino rischi tali da richiedere una specifica Valutazione d’Impatto sulla Protezione dei Dati (DPIA) ai sensi dell’art. 35 del GDPR.
L’analisi dei rischi informatici, delle infrastrutture hardware e software aziendali e delle misure di sicurezza adottate è stata condotta sia dall’Amministratore di Sistema mediante strumenti di verifica e checklist dedicate, sia da una società esterna specializzata in cybersecurity che ha eseguito attività di audit e test di sicurezza approfonditi.
Gli esiti delle verifiche hanno consentito di rafforzare ulteriormente le misure di protezione contro attacchi informatici e minacce cyber, attraverso interventi proporzionati al livello di rischio individuato e orientati alla tutela dei diritti e delle libertà degli interessati.
Trasparenza e Diritti dell'Interessato
2.1 – Diritti in Materia di Protezione dei Dati Personali
Il TITOLARE ritiene fondamentale informare gli interessati in merito ai diritti riconosciuti dalla normativa in materia di protezione dei dati personali.
Diritto di essere informato (trasparenza nel trattamento dei dati)
L’interessato ha il diritto di conoscere le modalità con cui il TITOLARE tratta i propri dati personali, le finalità perseguite e tutte le ulteriori informazioni previste dall’art. 13 del GDPR.
A tal fine, il TITOLARE ha predisposto specifici processi organizzativi che consentono il rilascio di informative personalizzate in base alla categoria di appartenenza dell’interessato, quali dipendenti, collaboratori, clienti o fornitori.
Le informative possono essere richieste in qualsiasi momento rivolgendosi direttamente al TITOLARE.
Diritto di revoca del consenso (art. 7 GDPR)
L’interessato ha il diritto di revocare in qualsiasi momento il consenso prestato per i trattamenti che si fondano su tale base giuridica. La revoca non pregiudica la liceità dei trattamenti effettuati prima della stessa.
Diritto di accesso ai dati (art. 15 GDPR)
L’interessato ha il diritto di ottenere informazioni in merito alle finalità del trattamento, alle categorie di dati trattati, ai destinatari dei dati, al periodo di conservazione previsto, ai diritti esercitabili, all’origine dei dati e all’eventuale esistenza di processi decisionali automatizzati, inclusa la profilazione.
È inoltre possibile richiedere una copia dei dati personali oggetto di trattamento.
Diritto di rettifica (art. 16 GDPR)
L’interessato ha il diritto di ottenere la rettifica dei dati personali inesatti e l’integrazione di quelli incompleti.
Diritto alla cancellazione o diritto all’oblio (art. 17 GDPR)
L’interessato può richiedere la cancellazione dei dati personali nei casi previsti dalla normativa, ad esempio quando i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti, quando il consenso viene revocato o quando il trattamento risulta illecito.
Tale diritto può subire limitazioni qualora la conservazione dei dati sia necessaria per adempiere obblighi di legge, per finalità di interesse pubblico, per attività di ricerca o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Diritto alla limitazione del trattamento (art. 18 GDPR)
L’interessato ha il diritto di ottenere la limitazione del trattamento nei casi previsti dal GDPR, tra cui la contestazione dell’esattezza dei dati, il trattamento illecito o la necessità di conservazione dei dati per finalità di tutela giudiziaria.
Diritto alla portabilità dei dati (art. 20 GDPR)
L’interessato ha il diritto di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico e, ove tecnicamente possibile, di trasmetterli a un altro titolare del trattamento.
Tale diritto è esercitabile quando il trattamento si basa sul consenso o su un contratto ed è effettuato mediante strumenti automatizzati.
Diritto di opposizione (art. 21 GDPR)
L’interessato può opporsi in qualsiasi momento, in tutto o in parte, al trattamento dei propri dati personali quando questo sia basato sul legittimo interesse del TITOLARE o sia effettuato per finalità di marketing diretto.
Diritto di proporre reclamo all’Autorità Garante (art. 77 GDPR)
Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento dei propri dati personali violi la normativa vigente ha il diritto di proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali o all’autorità di controllo competente dello Stato membro in cui risiede abitualmente, lavora o nel quale si è verificata la presunta violazione.
2.2 – Esercizio dei Diritti
2.3 – Modulistica ed Informative
Modulo per l’esercizio dei diritti dell’Interessato
Di seguito è disponibile un modello da utilizzare per l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali.
Il modulo, una volta compilato e sottoscritto, potrà essere trasmesso al TITOLARE utilizzando i recapiti indicati nelle sezioni precedenti.
Modello da scaricare, stampare e compilare specificando il diritto che si intende esercitare:
Informative sul trattamento dei dati personali