Una delle idee fondamentali introdotte dal GDPR è la responsabilizzazione, normalmente indicata con il termine inglese accountability. Non è sufficiente dichiarare di rispettare la normativa: il titolare deve adottare misure appropriate e deve poter dimostrare concretamente come la protezione dei dati viene gestita all'interno dell'organizzazione.
Il Garante descrive l'accountability come un approccio proattivo attraverso cui titolari e responsabili adottano misure concrete finalizzate all'applicazione del Regolamento. Questo significa costruire un sistema nel quale siano definiti ruoli, responsabilità, procedure, autorizzazioni, misure tecniche, misure organizzative, controlli, gestione degli incidenti, formazione e aggiornamento.
La formazione del personale diventa una componente naturale del sistema di accountability aziendale.
Esiste un corso GDPR obbligatorio?
Il GDPR non stabilisce un unico "corso privacy obbligatorio" con durata, programma e scadenza uguali per tutte le aziende. Non esiste, ad esempio, un corso nazionale standard di 4, 8 o 12 ore come avviene in alcuni ambiti della sicurezza sul lavoro.
Il Regolamento stabilisce però che le persone che operano sotto l'autorità del titolare o del responsabile e hanno accesso ai dati personali devono trattarli sulla base delle istruzioni ricevute. Inoltre, quando è presente un Responsabile della Protezione dei Dati, tra i suoi compiti di sorveglianza rientrano espressamente la sensibilizzazione e la formazione del personale che partecipa ai trattamenti.
La formazione deve essere costruita considerando: ruolo + dati trattati + attività svolte + rischi. Non partendo semplicemente da un numero prestabilito di ore.