Recita l’art. 32.4 del GDPR: "chiunque abbia accesso a dati personali, non tratti tali dati se non è istruito in tal senso dal titolare del trattamento”. Inoltre, in base all’art. 39.1.b, tra i compiti del DPO (Data Protection Officer) vi è quello di “sorvegliare l’osservanza […] delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi […] la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo".
E’ chiaro, dunque, come, ancora una volta, il GDPR preveda aspetti culturali e organizzativi, che affiancano, non essendone da meno, quelli tecnologici e normativi: un personale formato e culturalmente predisposto è la chiave per processi aziendali veramente efficaci.
A tale obbligo di formazione, però, in genere viene data scarsa attenzione e pochissimo rilievo anche dalle principali fonti di informazione del settore, sebbene siano previste sanzioni amministrative pecuniarie che potrebbero essere anche rilevanti. E’ importante, invece, comprendere come soltanto un personale adeguatamente formato sia in grado, ad esempio, di illustrare agli interessati le finalità e l’utilizzo dei loro dati, evitare errori nella scelta delle password o mitigare il rischio di possibili data breach.
Per noi di Infoteam la formazione rappresenta il punto di partenza e la base su cui costruire l’adeguamento al GDPR dei nostri clienti con l’obiettivo primario di creare una vera cultura della privacy all’interno di un’organizzazione. Vediamo come.
Coinvolgimento del personale
Ogni lavoratore deve comprendere il proprio ruolo da protagonista e le proprie responsabilità nella tutela dei dati e nella salvaguardia dei sistemi e degli apparati di sicurezza, nonché del futuro dell’azienda stessa.
Formazione puntuale, precisa e pertinente
La formazione dovrebbe attenersi alle sole procedure in cui il personale è coinvolto, senza spaziare e includere la logica di ogni singolo processo o scelta aziendale.
Formazione smart
Sessioni formative brevi e accattivanti, con esempi pratici e coerenti con la realtà aziendale, proiezione di slide con molte immagini per alleggerire un argomento spesso ostico e catturare l’attenzione dei partecipanti.
Formazione in due fasi
Nella prima parte degli incontri formativi analizziamo i caratteri e i principi generali, i ruoli, le responsabilità e i processi che sono alla base del nuovo Regolamento, soffermandoci anche sugli aspetti specifici della singola azienda e approfondendo le procedure legate ai trattamenti attuati al suo interno. Nella seconda fase si affrontano gli aspetti più specifici della sicurezza informatica, sempre riportando concetti, all’apparenza astratti e teorici, a situazioni concrete e legate alla vita di tutti i giorni.
In conclusione, il nostro piano di formazione mette al centro il lavoratore, colui che tutti i giorni utilizza strumenti e tratta dati, con focus su un concetto fondamentale: il rispetto del Regolamento visto come opportunità di crescita personale, piuttosto che come noioso obbligo.