La formazione a tema privacy destinata ai dipendenti deve prevedere una durata non inferiore alle due ore per sessione; essa va programmata e aggiornata ogni anno, e al termine deve consentire ai fruitori di ottenere una certificazione. Le attività che vengono svolte devono essere tracciate, per esempio per mezzo di un test di valutazione, di un attestato di partecipazione o di una dichiarazione che provi l’esecuzione dei corsi. Il Garante della Privacy non di rado provvede a verificare il rispetto degli obblighi di formazione.
I corsi sulla privacy si possono svolgere in presenza o in modalità online, tramite delle piattaforme di e-learning ad hoc. La struttura ideale per la formazione di base è composta da una introduzione dedicata al regolamento per la protezione dei dati personali, con l’analisi del concetto di dato personale. Si esaminano, poi, le minacce informatiche e le misure di prevenzione che è possibile adottare per contrastarle. La formazione dovrebbe fare riferimento, inoltre, alle garanzie e ai principi indicati dal Gdpr, alla relazione fra il titolare dei dati e il responsabile e alle sanzioni che l’Autorità Garante può comminare alle imprese che violano le norme riguardanti la protezione dei dati personali.
Un obbligo da non sottovalutare
La formazione dei collaboratori e dei dipendenti sul tema della privacy in molti casi viene considerata un vero e proprio fastidio, in modo particolare nelle piccole e medie imprese, come se si trattasse di un ostacolo rispetto al corretto svolgimento delle attività in azienda. Il titolare di un’impresa di solito chiede ai consulenti se questa formazione è realmente necessaria e, soprattutto, qual è la sua durata. Il discorso è, almeno in parte, diverso nelle organizzazioni di dimensioni maggiori, là dove si riscontra una consapevolezza più elevata rispetto all’esigenza della formazione e alle misure di prevenzione da adottare per evitare che un trattamento non appropriato dei dati personali possa dare origine a conseguenze nefaste.
L’istruzione sul tema della privacy
Il Gdpr usa i termini formazione e istruzione come se si trattasse di sinonimi, ma in realtà ci sono differenze di cui è bene essere consapevoli. Quando si cita l’istruzione si fa riferimento al fatto che il titolare di un’organizzazione – non solo un’impresa, ma anche una scuola, una pubblica amministrazione, uno studio da consulente del lavoro, e così via – opera in modo da mettere a disposizione indicazioni specifiche riguardanti il trattamento in sicurezza dei dati personali per tutti coloro che agiscono sotto la sua autorità, inclusi i fornitori di servizi e i collaboratori a partita Iva. È indispensabile documentare le istruzioni che vengono fornite, così che possa essere accertato l’assolvimento delle richieste di legge. È la sottoscrizione di un contratto che genera l’autorità del titolare. La norma indica, poi, che coloro che hanno accesso a dati personali devono essere istruiti dal titolare; in caso contrario, i dati in questione non potranno essere trattati. Qualora tale prescrizione venga violata, può sopravvenire una richiesta di risarcimento a fronte del danno che è stato provocato.
E la formazione?
Nel Gdpr, il termine formazione viene menzionato cinque volte: esso indicata una tipologia di attività che è destinata al personale. La formazione è una delle misure di sicurezza che dal punto di vista organizzativo è necessario mettere in atto al fine di assicurare la disponibilità, l’integrità e la riservatezza dei dati personali che vengono trattati nella quotidianità. La formazione dei collaboratori e dei dipendenti sul tema della privacy – è bene metterlo in evidenza – rappresenta per gli imprenditori un obbligo, in quanto è previsto dalla normativa in maniera esplicita. Le attività di formazione, secondo i suggerimenti forniti dall’Autorità Garante per la Protezione dei dati personali, dovrebbero prevedere una distinzione tra la formazione di base e i percorsi per specialisti. La formazione di coloro che si trovano a trattare i dati personali deve essere affidata al Dpo, nel caso in cui tale figura sia stata nominata; in caso contrario, il titolare può fare riferimento a strutture e consulenti specializzati.
I corsi specialistici
I corsi di formazione specialistici offrono l’opportunità di esaminare e studiare le informazioni necessarie in una specifica giurisprudenza di settore. Vale la pena di citare, infine, la formazione per figure apicali, che si rivolge ai quadri e ai dirigenti.
