Conformità al GDPR

Il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea (UE), in vigore dal 25 maggio 2018, rafforza la sicurezza delle informazioni personali dei cittadini e dei residenti dei paesi dell'UE, nonché di Norvegia, Islanda e Liechtenstein. Lo standard unificato coprirà anche i cittadini e i residenti del Regno Unito dopo il 25 maggio 2018.BrexitÈ difficile immaginare un'azienda o un settore che offre beni o servizi in Europa che non sia interessato da questi dettagliati requisiti sulla protezione dei dati personali.

A nome di Graebel, accolgo con favore le nuove normative. Sono rigorose ma ragionevoli e coerenti con lo spirito di sicurezza e trasparenza con cui abbiamo gestito le informazioni personali in passato, non solo in Europa ma in tutto il mondo.

I requisiti

In generale, il GDPR si basa sui precedenti standard sulla privacy dell'UE, ovvero la Direttiva sulla protezione dei dati del 1995. Amplia e chiarisce tali requisiti in ambiti quali:

• Ambito Territoriale – Si applicherà a tutte le organizzazioni che hanno accesso alle informazioni personali dei residenti di questi paesi, indipendentemente dal luogo in cui ha sede l'azienda.
• sanzioni – La nuova struttura delle sanzioni è graduata e con un tetto massimo. Le sanzioni massime sono più elevate rispetto al passato.
• Consenso – I moduli di consenso devono essere chiari e concisi, con un minimo di “legalese”
• Diritti degli individui:
  • Notifica di violazione – Devono essere avvisati entro 72 ore dalla scoperta di una violazione delle loro informazioni
  • Diritto di accesso – Possono richiedere informazioni sui propri dati personali conservati dall'organizzazione
  • “Diritto all’oblio” – Possono richiedere all'organizzazione di cancellare le proprie informazioni personali
  • Portabilità dei dati – Possono recuperare le proprie informazioni e condividerle con un’altra entità
• Privacy di design – La sicurezza delle informazioni personali deve essere una componente della progettazione iniziale di tutti i sistemi che utilizzano o contengono tali dati.
• Responsabili della protezione dei dati – Le organizzazioni devono nominare un responsabile della protezione dei dati se le loro attività di trattamento dei dati personali superano una determinata soglia.

Per ulteriori informazioni su questi argomenti, è possibile andare direttamente alla fonte e consultare il materiale dell'UE, incluso un utile sommario dei requisiti.

GDPR e mobilità

In qualità di Relocation Management Company (RMC), ci vengono affidate quotidianamente informazioni di identificazione personale di base per i trasferiti e gli assegnatari. E in caso di immigrazione e altre funzioni, potremmo richiedere e conservare informazioni personali ancora più sensibili, relative ad esempio a cittadinanza, sesso, stato civile e persino luogo di nascita. Proteggere queste informazioni è fondamentale.

I nostri obblighi GDPR si estendono a ciascuna delle aziende partner e dei fornitori di servizi con cui condividiamo queste informazioni mentre lavorano per conto dei nostri clienti. Questo è uno dei motivi per cui valutiamo attentamente i nostri partner di servizi globali – le aziende che gestiscono servizi di trasloco specifici, dalla gestione dei beni per la casa all'immigrazione e al supporto fiscale. Non solo dobbiamo assicurarci che si prendano cura dei nostri clienti in modo eccellente, ma dobbiamo anche verificare che dispongano di sistemi adeguati per proteggere le informazioni personali riservate.

L'Associazione Europea per la Ricollocazione (EuRA) ha pubblicato un'ampia revisione della disposizioni fondamentali del GDPR dal punto di vista del settore della mobilità.

Graebel è pronto

A seguito dell'adozione del GDPR nell'aprile 2016, Graebel ha creato un team di valutazione interfunzionale e ha avviato il processo di aggiornamento delle proprie politiche e procedure per integrare i nuovi requisiti. Da allora, abbiamo intrapreso le seguenti azioni, che saranno completate entro il 25 maggio:

• Ha mantenuto una terza parte (TrustArc) per eseguire una valutazione prioritaria delle lacune al fine di identificare i passi necessari da intraprendere
• Ha condotto un inventario dei dati e mappe dei processi aziendali per soddisfare l'articolo 30 del GDPR
• Sono state identificate tutte le applicazioni esterne che raccolgono dati e sono state quindi create le relative informative sulla privacy.
• Abbiamo documentato i nostri processi come Titolare del trattamento e Responsabile del trattamento dei dati per soddisfare l'articolo 30.1 del GDPR
• Sviluppato codice personalizzato per i nostri avvisi sui cookie/processo di consenso
• Convalidata la nostra politica di conservazione dei record per allinearla agli articoli 5/25 del GDPR
• Abbiamo aggiornato il nostro piano di risposta agli incidenti per garantire che siano in atto processi di notifica per individui e autorità in conformità con gli articoli 32/33 del GDPR
• Ha sviluppato un processo e un piano per le valutazioni di impatto sulla privacy dei dati per affrontare l'articolo 6.4 del GDPR
• Abbiamo aggiornato i contratti con clienti e fornitori per soddisfare l'articolo 30 del GDPR
• Sviluppo di corsi di formazione per i dipendenti per preparare i team alle loro specifiche responsabilità relative ai requisiti del GDPR
• Creazione di processi interni per supportare gli elementi dei diritti individuali del GDPR relativi agli articoli 15/17/20
• Abbiamo sviluppato un piano di test annuale del nostro programma di conformità al GDPR, che include la notifica delle violazioni.

Ci congratuliamo ancora una volta con i paesi dell'UE per l'attenta elaborazione di queste nuove normative. Certo, prepararsi a questo è stato un duro lavoro per noi e per gli altri RMC. Ma i nostri processi ne traggono beneficio, poiché i requisiti si basano su un approccio altamente difendibile alla tutela della privacy individuale.

Ecco il mondo che verrà!