Master di preparazione all’esame Abilitante perDATA PROTECTION
OFFICER (DPO)

GDPR, normativa europea e responsabilità · Vai alle date di quest’area

1. Analisi del GDPR (8 ore)
   • Il sistema di gestione dei rischi secondo il GDPR
   • Le finalità del GDPR
   • I destinatari del GDPR
   • Focus sulla definizione di ‘dato personale’
   • I principi ‘cardine’ del data processing
   • Le basi giuridiche
   • Il titolare, il responsabile, l’autorizzato al trattamento
   • Il DPO
   • Le tipologie di dato personale
   • La valutazione dei rischi e la DPIA
2. Il trattamento di dati ‘particolari’ (1 ora)
   • La definizione ex GDPR
   • I dati sanitari
   • I dati biometrici
   • I dati genetici
   • La disciplina del ‘consenso esplicito’
3. Alcuni significativi Provvedimenti del GPDP in materia di (2 ore)
   • Accountability
   • Archivi e banche dati
   • Assicurazioni
   • Banche credito e finanza
   • Big data e IA
   • Sanità e dati sensibili
   • Marketing e telematica
   • Tutela dei minori
   • Telemarketing e tracciamento lavoratori in smartworking
   • Condominio
   • Informazione trasparente
   • Controllo da remoto dei lavoratori
   • Cultura della privacy
4. I provvedimenti del Comitato europeo più significativi (2 ore)
   • La definizione di titolare e responsabile
   • La videosorveglianza
   • La trasparenza
   • Il trasferimento di dati personali all’estero
5. Il Digital Services Act (1 ora)
   • Le finalità e l’ambito di applicazione
   • I principi generali: (i) trasparenza; (ii) rimozioni o limitazione dei contenuti; (iii) mezzi di impugnazione
   • La moderazione dei contenuti
   • I dark patterns
   • La tracciabilità degli operatori commerciali
   • La gestione dei reclami e i meccanismi di risoluzione extra giudiziale
   • La trasparenza degli algoritmi
   • Le sanzioni
6. Il Digital Markets Act (1 ora)
   • Gli obiettivi
   • Il campo di applicazione
   • La definizione di ‘gatekeeper’
   • I servizi digitali disciplinati dalla normativa
   • L’interoperabilità dei servizi
   • Gli obblighi e i divieti dei ‘gatekeeper’
   • La gestione dei dati
   • I diritti degli utenti
   • Le sanzioni
7. Il Data Governance Act (1 ora)
   • Le finalità della normativa
   • I concetti cardine della fiducia e dell’innovazione
   • L’ambito di applicazione dei dati personali
   • Il riutilizzo di dati detenuti da enti pubblici
   • I servizi di intermediazione dei dati
   • I modelli di ‘altruismo dei dati’
   • Le misure di governance e protezione
   • Il ruolo delle autorità nazionali
8. Il GDPR e i reati informatici (2 ore)
   • L’accesso abusivo a sistema informatico o telematico (Art. 615ter cp)
   • La detenzione/diffusione di codici di accesso (art. 615 quater cp)
   • La diffusione di malware o strumenti di attacco ai fini del danneggiamento del sistema informatico (Art. 615 quinquies cp)
   • Il danneggiamento di dati, programmi o sistemi informatici (Artt. 635 bis, 635 ter, 635 quater, 635 quinquies cp)
   • La frode informatica (Art. 640 ter cp)
   • Il Phishing
   • Il furto d’identità digitale
   • La violazione di account
9. Il data processing nell’ambito del rapporto di lavoro (1 ora)
   • La base giuridica
   • Le tipologie di dati personali in ambito lavorativo
   • Gli obblighi del datore di lavoro
   • I controlli a distanza dei lavoratori
   • Il disciplinare d’uso e l’informativa
   • Focus sulla video sorveglianza
   • Focus sul GPS
   • I software di monitoraggio
10. La responsabilità civile contrattuale ed extra contrattuale (1 ora)
    • La posizione del titolare del trattamento
    • La posizione del responsabile del trattamento
    • Focus sugli aspetti contrattuali
    • Le tipologie di danni
    • I criteri di valutazione della responsabilità extra contrattuale
    • I principi civilistici
    • Focus sul D. Lgs. 196/2003
11. Il data processing nell’ambito del Telemarketing (1 ora)
    • Le basi giuridiche
    • Focus sul ‘consenso’
    • Il registro delle opposizioni
    • I ruoli e le responsabilità
    • Le best practice operative
12. Gli Amministratori di Sistema (2 ore)
    • Il ruolo e le responsabilità dell’AdS nel contesto aziendale
    • I criteri di nomina
    • La segregazione dei compiti e la gestione degli accessi privilegiati
    • Il tracciamento delle attività e la conservazione dei log
    • Le misure tecniche e organizzative di sicurezza nella gestione dei sistemi informativi
    • I controlli interni, gli audit periodici e le verifiche sul corretto operato degli AdS
    • Le responsabilità e le sanzioni
13. La disciplina applicabile al trattamento dei dati personali dei minori (1 ora)
    • Il quadro normativo di riferimento
    • Il consenso digitale: soglie di età e responsabilità genitoriale
    • Gli obblighi del titolare del trattamento: informativa e verifica dell’età
    • I divieti e le limitazioni: profilazione e marketing diretto
    • Le misure di sicurezza e protezione: privacy by design e by default
    • I diritti dei minori e gli strumenti di tutela
    • Il regime sanzionatorio
14. I codici di condotta e le certificazioni previste dal GDPR (1 ora)
    • I fondamenti normativi e l’inquadramento sistematico
    • I codici di condotta: natura, contenuti e ambito di applicazione
    • La procedura di approvazione e gli organismi di monitoraggio
    • I codici di condotta approvati in Italia e a livello europeo
    • I meccanismi di certificazione: il sigillo europeo per la protezione dei dati personali
    • I vantaggi dell’adesione ai codici di condotta e dell’utilizzo delle certificazioni
    • Il regime sanzionatorio e le conseguenze della non conformità
15. La regolamentazione in tema di AI e machine learning (4 ore)
    • Il quadro normativo europeo: l’architettura e i principi fondamentali
    • La classificazione dei sistemi di IA: l’approccio basato sul rischio
    • Il processo decisionale automatizzato e la profilazione
    • Gli obblighi di trasparenza e comprensibilità degli algoritmi
    • Gli obblighi dei fornitori e dei deployer: le responsabilità nell’ambito del life cycle
    • Le valutazioni d’impatto: DPIA e FRIA a confronto
    • La governance, la supervisione umana e il regime sanzionatorio
16. Il regime sanzionatorio in materia di violazioni di dati personali (1 ora)
    • Il quadro normativo e i principi generali in tema di sanzioni
    • Le tipologie di violazioni sanzionabili e le relative fattispecie
    • I criteri di determinazione delle sanzioni amministrative
    • La procedura di accertamento e di contestazione delle violazioni
    • Il ruolo e le responsabilità delle autorità di controllo
    • Gli effetti delle sanzioni sulla reputazione e sulla compliance aziendale
    • Le misure correttive e gli strumenti di tutela
17. La normativa privacy e di protezione dei dati applicata ai settori di specializzazione (2 ore)
    • Il settore sanitario: la protezione dei dati sensibili e il segreto professionale
    • Il settore finanziario e bancario: antiriciclaggio vs. privacy
    • Il settore scolastico: la protezione dei minori e la gestione dei dati sensibili
    • Il settore dell’E-commerce: i cookie di profilazione e il trattamento dei dati dei clienti
    • Il settore della PA: trasparenza vs. protezione dei Dati
    • Il settore assicurativo: il trattamento di dati particolari e la gestione dei sinistri
    • Il settore della comunicazione e del marketing: i social media e le agenzie di marketing

Rischi, misure di sicurezza e documentazione · Vai alle date di quest’area

1. I fattori di rischio e le minacce sui dati (2 ore)
   • I principi e criteri del risk management in ambito privacy
   • Le tipologie di minacce ai dati
   • Le minacce alla riservatezza, integrità e disponibilità dei dati personali
   • Gli errori umani, le vulnerabilità organizzative e gli attacchi informatici
   • Il Ruolo e le responsabilità del privacy officer
   • Il privacy officer/DPO nella governance aziendale
   • Il monitoraggio, la consulenza e la sorveglianza sul sistema privacy
   • L’analisi e valutazione del rischio
   • L’identificazione di minacce, fonti di rischio, danni potenziali e misure di sicurezza
   • I criteri per stimare probabilità, impatto e livello di rischio residuo
   • La DPIA e altri strumenti di gestione
   • Integrazione tra analisi dei rischi e DPIA
   • Uso della documentazione (registri, policy, piani di sicurezza)
   • Il data breach e la gestione degli incidenti
   • Le minacce specifiche che possono sfociare in violazioni di dati personali
   • Il ruolo del privacy officer nei processi di rilevazione, gestione e notifica dei data breach
   • La cultura del rischio e la formazione interna
   • Sensibilizzazione del personale sui comportamenti a rischio e sulle buone prassi
   • Progettazione di percorsi formativi mirati per ruoli chiave
2. Le misure di sicurezza (1 ora)
   • Focus sull’art. 32 del GDPR
   • Le misure tecniche: cifratura, pseudonimizzazione e backup
   • Le misure organizzative: policy interne e gestione delle procedure
   • Il controllo degli accessi e la gestione delle credenziali
   • La sicurezza fisica e la protezione degli archivi cartacei
   • La formazione e consapevolezza del personale come misura di sicurezza
   • Il monitoraggio, gli audit periodici e l’aggiornamento delle misure di sicurezza
3. La Privacy by design e by default (2 ore)
   • I sette principi ‘cardine’
   • Gli obiettivi della privacy by design
   • La privacy by default: minimizzazione e impostazioni predefinite
   • L’integrazione della privacy nel ciclo di vita dei processi e dei sistemi
   • Il ruolo del privacy officer nella progettazione dei trattamenti
   • Gli strumenti operativi: DPIA, registri e check-list di progetto
   • La verifica, l’audit e il miglioramento continuo delle ‘soluzioni’ privacy
4. Gli adempimenti documentali (2 ore)
   • La mappatura dei rischi
   • Focus sull’analisi dei rischi
   • Focus sulla DPIA
   • Focus sulla consultazione preventiva
   • Il registro dei trattamenti
   • Le nomine degli autorizzati
   • La nomina del responsabile e sub responsabile
5. Atti dell’UE in materia di sicurezza dei dati personali (1 ora)
   • I dati personali
   • Il Regolamento (UE) 2016/679 (GDPR)
   • La Direttiva (UE) 2016/680 sul trattamento dei dati personali da parte delle autorità competenti in materia penale
   • L’E-communications e il tracciamento
   • La Direttiva 2002/58/CE su privacy e sicurezza nelle comunicazioni elettroniche
   • La cybersecurity e le reti
   • La Direttiva (UE) 2016/1148 (NIS1) sulla sicurezza delle reti e dei sistemi informativi,
   • La Direttiva (UE) 2022/2555 (NIS2), che sostituisce NIS1
   • La resilienza digitale con impatti sulla sicurezza
   • Il Regolamento (UE) 2022/2554 (DORA) sulla resilienza operativa digitale del settore finanziario
   • Il Regolamento (UE) 2023/2854 (Data Act), che disciplina l’accesso e la condivisione dei dati in specifici contesti

Sistemi di gestione, integrazione e audit · Vai alle date di quest’area

1. I sistemi di gestione basati sulla prevenzione dei rischi
   • High Level Structure
   • Focus sulla ISO 31000
   • ISO 27001, 9001, 14001, etc
   • Il sistema armonizzante ISO 37301
2. L’adeguamento del sistema GDPR ai sistemi qualità
   • L’analisi del contesto
   • La mappatura dei processi
   • Il risk management
   • Le analogie tra GDPR e Sistema ISO 9001
   • L’integrazione del GDPR con il sistema ISO 9001
3. La norma ISO 27701 (il sistema di gestione dei dati personali) (2 ore)
   • Le tecniche di audit secondo la ISO 19011
4. Brevi cenni alle tecniche di impostazione delle Linee guida ISO 27400
   • Brevi cenni in merito ai controlli di sicurezza delle informazioni ex ISO 27002
   • Focus sulla ISO 27001
   • Brevi cenni in merito alla responsabilità ex D. lgs. 231/2001 ed alle sue connessioni con il GDPR

Nomina, indipendenza, relazioni e compiti · Vai alle date di quest’area

1. Il ruolo di DPO e l’individuazione delle circostanze di fatto che impongono la sua nomina
   • Il Responsabile della protezione dei dati (cd ‘Data Protection Officer’)
   • La nomina del DPO (obbligatoria e facoltativa)
   • Il concetto di autorità pubblica o organismo pubblico
   • Il concetto di attività principale
   • Il concetto di larga scala
   • Il concetto di monitoraggio regolare e sistematico
2. Il DPO: criteri di individuazione, capacità professionali e modalità di designazione
   • La designazione di un unico DPO per più organismi
   • L’accessibilità e la localizzazione del DPO
   • Le conoscenze e competenze del DPO (le conoscenze specialistiche; le qualità professionali; la capacità di assolvere i propri compiti). Il DPO dipendente del titolare o del responsabile del trattamento
   • Il DPO ‘esterno
   • La designazione del DPO mediante contratto di servizi
   • Gli obblighi di pubblicazione e comunicazione dei dati di contatto del DPO
3. Il DPO e le sue interrelazioni con tutti i soggetti operanti in ambito privacy
   • Il rapporto tra DPO e il soggetto titolare o responsabile del trattamento che lo ha designato.
   • Il concetto di ‘risorse necessarie
   • L’indipendenza del DPO
   • Le modalità di rimozione o penalizzazione del DPO in relazione al rapporto con il soggetto designante.
   • Il concetto di ‘conflitto d’interessi
   • I compiti del DPO
   • Il ruolo del DPO in relazione alla Valutazione d’impatto
4. Il DPO: alcuni compiti fondamentali
   • L’attività di cooperazione del DPO nei confronti dell’autorità di controllo
   • L’approccio risk based thinking caratterizzante l’attività del DPO
   • Il ruolo del DPO nella tenuta del registro dei trattamenti

Comunicazione efficace e cultura del rischio · Vai alle date di quest’area

1. Il DPO: un abile ed efficace comunicatore
   • Cenni in merito agli aspetti teorici della comunicazione in tema di rischi
   • Il DPO: leader in grado di esercitare una comunicazione assai efficace
   • Gli aspetti caratterizzanti una comunicazione ‘educativa’: il processo comunicativo relazionale
   • Cosa significa comunicare: analisi del feedback nel processo di comunicazione
   • Gli assiomi della comunicazione
   • Le interferenze (psicologiche, semantiche, fisiche)
   • La comunicazione verbale, paraverbale e non verbale
   • La comunicazione nell’ambito organizzativo (fronte interno e fronte esterno)
   • La ‘comunicazione efficace’ presuppone la capacità di motivare l’ascoltatore
   • La dimensione fondamentale dell’ascolto
2. La comunicazione nell’ambito delle attività di data processing
   • La contestualizzazione e personalizzazione della comunicazione in tema di rischi connessi al data processing
   • La percezione del rischio insito nel trattamento dei dati e la formazione al comportamento sicuro: le euristiche cognitive (disponibilità, rappresentatività, giudizio)
   • Comunicare la ‘sicurezza’ in relazione al trattamento dei dati personali:
   • non esiste ‘sicurezza’ nel data processing senza ‘consapevolezza’ da parte di tutti gli ‘attori’
   • tecniche di trasmissione della capacità di percezione e comprensione del rischio ‘privacy’ da parte dell’ascoltatore
   • Le interferenze e le difficolta nella comunicazione dei rischi relativi al data processing
   • Gli obiettivi della comunicazione nel settore del data processing:
   • Il coinvolgimento proattivo del gruppo
   • La creazione all’abitudine alla valutazione e gestione del ‘rischio’
   • La professionalizzazione dei soggetti coinvolti nel trattamento dei dati