Quando trattiamo i dati personali rispettiamo numerosi principi per proteggere i diritti fondamentali e le libertà delle persone ai sensi delle BCR. Ogni entità, durante il trattamento dei dati personali, deve conformarsi ai seguenti principi:
Principio 1: liceità
Quando si raccolgono, utilizzano e trattano i dati personali occorre agire su basi giuridiche documentate. Tali basi giuridiche sono elencate in modo non esaustivo. Ne sono esempi:
- il trattamento è necessario per l’esecuzione di un contratto con la persona, come nel caso di contratti di assunzione e di vendita
- la persona ha fornito il proprio consenso
- gli interessi legittimi di Fresenius sono superiori rispetto alle conseguenze negative per le persone
- la necessità di adempiere a obblighi legali, quali leggi sulle imposte, requisiti di vigilanza o requisiti di buona pratica.
Categorie speciali di informazioni, quali dati relativi alla salute, necessitano di basi giuridiche addizionali.
Nel caso in cui la normativa locale prevedesse disposizioni aggiuntive o divergenti rispetto alle BCR, questa deve essere rispettata (ciò può valere, ad esempio, per i dati relativi ai dipendenti).
Principio 2: Trasparenza e correttezza
Gestire i dati personali in modo corretto e trasparente. Informare le persone preventivamente o al momento della raccolta e dell’uso dei dati personali relativamente a quanto segue:
- chi è responsabile e come può essere contattato
- quali sono i dati raccolti
- come vengono raccolti i dati
- perché ci servono i dati (finalità)
- con quali organizzazioni sono condivisi i dati
- se i dati saranno condivisi con altri Paesi
- per quanto tempo i dati saranno conservati
- la base giuridica della raccolta e dell’utilizzo dei dati e la spiegazione di ciò (principio 1)
- se le persone sono profilate
- se prendiamo decisioni con strumenti automatici
- se i dati devono essere forniti e cosa accade se non sono forniti
- le informazioni per contattare il DPO e l’autorità
- i diritti in capo alle persone.
Tutte queste informazioni devono essere fornite in forma comprensibile e facilmente accessibile utilizzando un linguaggio semplice e chiaro.
Principio 3: Limitazione delle finalità
Utilizzare i dati personali solamente per le finalità specificate, esplicite e legittime per le quali sono raccolti. Non ne è consentito un uso ulteriore, a meno che tale utilizzo sia in linea con la finalità originaria e/o siano intraprese misure aggiuntive.
Le finalità di altri trattamenti che, in genere, sono ritenuti in linea con la finalità originaria sono le seguenti:
- archiviazione
- audit interno
- indagini
Il DPA/LDPA fornirà una consulenza appropriata rispetto alla possibilità di modificare il cambio della finalità. Qualora sia possibile modificare la finalità, le persone dovranno essere informate di tali cambiamenti.
Principio 4: Minimizzazione dei dati
Raccogliere e utilizzare i dati personali solamente nella misura necessaria per la finalità definita comunicata alla persona. Ciò significa garantire che i dati personali siano pertinenti e non eccessivi rispetto alla finalità.
Principio 5: Accuratezza
Conservare i dati personali in modo accurato e aggiornato. Devono essere implementate procedure che consentano la cancellazione, correzione o l’aggiornamento senza indugi dei dati imprecisi.
Principio 6: Limitazione nella conservazione
Non conservare i dati personali più a lungo del necessario per la finalità della raccolta fatti salvi obblighi di legge. In tali casi l’accesso ad essi deve essere ristretto. Cancellare o anonimizzare i dati personali, quando non vi siano più i motivi giuridici o la finalità.
Principio 7: Sicurezza, integrità e riservatezza
Assumere i provvedimenti di natura tecnica e organizzativa appropriati per proteggere i dati personali da distruzioni, perdite, modifiche, divulgazioni o accesso ad essi (ad es. tramite l’elaborazione di modelli appropriati su ruoli & diritti, attività di backup, ripristino e criptaggio).
Quando si implementano tali misure devono essere considerati i rischi per le persone. La sicurezza dei sistemi informatici deve essere valutata alla luce di questi rischi nel momento della loro installazione e manutenzione.
Documentare e segnalare ogni violazione della sicurezza dalla quale potrebbe risultare un rischio per le persone interessate all’organizzazione per la protezione dei dati. Tali violazioni, a seconda della situazione, devono essere inoltre notificate all’autorità di vigilanza, alle persone e ad altre organizzazioni.
Principio 8: Responsabilizzazione
Essere in grado di dimostrare di agire in conformità alle BCR. Ciò può essere ottenuto creando e continuando a mantenere un’idonea documentazione, che comprende:
- la registrazione delle attività di trattamento
- le misure tecniche e organizzative assunte per conformarsi ai principi di protezione dei dati e affrontare i rischi
- le valutazioni dei rischi e dei controlli inerenti alla protezione dei dati
Coinvolgimento dei responsabili del trattamento
Coinvolgere solamente responsabili che diano sufficienti garanzie per l’implementazione di misure tecniche e organizzative appropriate in grado di assicurare un trattamento che soddisfi i requisiti delle BCR e delle leggi locali sulla protezione dei dati. Ciò deve essere assicurato mediante un accordo di protezione dei dati tra l’entità interessata e il responsabile.
(A seguire) Trasferimento dei dati personali
Implementare misure che possano salvaguardare in modo adeguato i trasferimenti di dati personali verso altre organizzazioni situate all’esterno dello SEE in conformità alle presenti BCR. Ciò può essere ottenuto concordando clausole contrattuali standard così come adottate dalla Commissione europea con altre organizzazioni.