Formazione GDPR per il personale: istruzioni, prove e percorsi per settore
Il GDPR non elenca un corso obbligatorio, ma chiede che chi tratta dati personali lo faccia su istruzione del titolare. Formare il personale è il modo per dare quelle istruzioni e poterlo provare.
Cosa chiede la norma
- Chi agisce sotto l'autorità del titolare tratta i dati solo su sua istruzione (art. 29 GDPR e art. 32, par. 4).
- Nel Codice privacy italiano le persone autorizzate ricevono istruzioni specifiche (art. 2-quaterdecies d.lgs. 196/2003).
- Il responsabile della protezione dei dati sorveglia anche la sensibilizzazione e la formazione del personale (art. 39, par. 1, lett. b).
Percorsi per settore
- GDPR generale: principi, basi giuridiche, diritti degli interessati, ruoli e violazioni dei dati.
- Pubblica amministrazione: compito di interesse pubblico, trasparenza senza esporre dati, personale e concorsi, PEC e cloud.
- Sanità: accessi alla cartella clinica, comunicazioni con i pazienti, continuità clinica, dispositivi medici connessi.
Il principio di responsabilizzazione
- Il titolare deve essere in grado di dimostrare il rispetto del regolamento (art. 5, par. 2).
- Un registro della formazione con date ed esiti è una delle prove più semplici da produrre.
I corsi (13 moduli)
Percorsi: GDPR · Generale, GDPR nella PA, Sanità · GDPR e sicurezza clinica.
- I principi del GDPR: le regole che valgono per tuttoGDPR · Principi, 12 minuti
- Basi giuridiche e informativa: quando puoi trattare un datoGDPR · Basi giuridiche, 14 minuti
- I diritti delle persone: come rispondere senza sbagliareGDPR · Diritti degli interessati, 13 minuti
- Ruoli, registri e data breach: chi fa cosaGDPR · Responsabilità e incidenti, 15 minuti
- Nella PA la base è il compito pubblico, non il consensoGDPR nella PA · Basi giuridiche, 14 minuti
- Trasparenza e privacy: pubblicare senza esporreGDPR nella PA · Trasparenza, 14 minuti
- Dipendenti, concorsi e dati giudiziariGDPR nella PA · Personale, 14 minuti
- Sicurezza e incidenti nella PA: misure, PEC, cloud, notificaGDPR nella PA · Sicurezza, 15 minuti
- GDPR in sanità: dati dei clienti senza rischiGDPR · Settore sanitario, 15 minuti
- La cartella del paziente: chi può vedere cosaSanità · Accessi ai dati clinici, 13 minuti
- Parlare con i pazienti: canali giusti, referti e telefonateSanità · Comunicazioni, 12 minuti
- Ransomware in reparto: la clinica deve continuare a curareSanità · Continuità clinica, 15 minuti
- Dispositivi medici connessi e rete ospedalieraSanità · Dispositivi e rete, 13 minuti
Domande frequenti
La formazione GDPR è obbligatoria per i dipendenti?
Il GDPR non nomina un corso obbligatorio, ma chiede che il personale tratti i dati solo su istruzione del titolare (art. 29 e art. 32, par. 4) e che il titolare possa dimostrarlo (art. 5, par. 2). La formazione documentata è il modo pratico per farlo.
Che differenza c'è tra la formazione GDPR per la PA e per le aziende?
Nella PA la base giuridica tipica è il compito di interesse pubblico, non il consenso, e pesano gli obblighi di trasparenza e pubblicazione. Il percorso PA tratta questi temi in modo specifico.
Entro quanto si notifica una violazione dei dati personali?
Al Garante entro 72 ore da quando se ne è venuti a conoscenza, salvo che sia improbabile un rischio per le persone (art. 33 GDPR).