Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Per utilizzare una decisione di adeguatezza non basta che il fornitore sia noto o dichiari genericamente di aderire al DPF. La verifica riguarda l’entità destinataria, lo stato dell’adesione e l’ambito dei dati e delle attività interessate.
La situazione.
Scenario illustrativo fittizio. Una PMI valuta una piattaforma statunitense per organizzare appuntamenti con clienti. Il commerciale indica che «il gruppo è certificato DPF». Il contratto è però intestato a una società diversa da quella citata nella presentazione, e l’elenco dei subfornitori contiene ulteriori operatori con sedi in altri paesi.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Il nome dell’entità contrattuale deve essere confrontato con quello del destinatario effettivo dei dati.
- 02
La certificazione deve essere attiva e pertinente alle categorie di dati oggetto del servizio.
- 03
I flussi verso ulteriori destinatari non si esauriscono nella verifica del primo fornitore statunitense.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La pagina della Commissione sulle decisioni di adeguatezza distingue gli Stati Uniti dalle giurisdizioni coperte senza un elenco di organizzazioni partecipanti: il riferimento statunitense riguarda le organizzazioni commerciali aderenti al quadro previsto. Occorre consultare le fonti ufficiali aggiornate, verificando anche il permanere della decisione e le condizioni della partecipazione alla data dell’attivazione.
Questa verifica non sostituisce quella sul servizio nel suo complesso. Il trattamento deve avere una base giuridica, informazioni corrette e misure adeguate; se il fornitore opera come responsabile serve l’accordo previsto dall’articolo 28 GDPR. Le comunicazioni successive e gli altri paesi coinvolti richiedono una mappa coerente. Un documento che cita il DPF senza descrivere chi riceve i dati lascia irrisolto proprio il fatto più importante.
Cosa fare, in pratica.
- 01
Individuare le entità che contrattano, erogano il servizio e ricevono i dati, facendo correggere eventuali ambiguità fra marchio commerciale e società giuridica.
- 02
Controllare nelle fonti ufficiali lo stato dell’adesione del destinatario e l’ambito pertinente, conservando evidenza datata della verifica e non una sola schermata pubblicitaria.
- 03
Ricostruire assistenza e subfornitori, chiedendo come vengono disciplinati i trasferimenti ulteriori e quali responsabilità conserva il fornitore principale.
- 04
Verificare accordo di trattamento, categorie di dati, impostazioni di conservazione e possibilità di esportare e cancellare le informazioni alla fine del rapporto.
- 05
Prevedere un controllo al cambiamento delle condizioni o dello stato dell’organizzazione, stabilendo cosa fare se il presupposto utilizzato non sia più applicabile.
L’errore da evitare.
Confondere il logo DPF del gruppo con una copertura automatica di qualsiasi società collegata, prodotto o destinatario successivo.
Tre verifiche da portare con te.
- Entità destinataria confrontata con la fonte ufficiale.
- Ambito e stato dell’adesione verificati con data.
- Flussi ulteriori e cambiamenti presidiati.
L’adeguatezza va collegata a un trasferimento identificato. Il marchio del servizio e il nome del destinatario non sono sempre la stessa cosa.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.