Cada plazo está anclado a la normativa.
Nada de intervalos inventados.

• ›Art. 12 GDPR (modalità informazioni trasparenti)
• ›Linee Guida WP260 rev. 01 EDPB sulla trasparenza

Informazioni da fornire all'interessato. Aggiornamento richiesto al variare del trattamento; verifica annuale per accountability art. 5.2.

• ›Provv. Garante 26 marzo 2020 (designazione persone autorizzate)

Designazione e istruzioni alle persone autorizzate al trattamento. Verifica annuale o al variare dell'organigramma.

• ›Linee Guida WP243 rev. 01 EDPB
• ›FAQ Garante sul registro dei trattamenti

Registro delle attività di trattamento. Obbligatorio per >250 dipendenti o trattamenti non occasionali/rischio. Aggiornamento tempestivo + revisione semestrale per accountability.

• ›Decisione UE 2021/915 (Standard Contractual Clauses art. 28)
• ›Provv. Garante n. 134/2019 sulle clausole tipo

Contratti con i responsabili del trattamento (DPA). Devono contenere gli elementi obbligatori art. 28.3. Verifica annuale clausole, sub-resp. autorizzati e trasferimenti extra-UE.

• ›Schrems II (CGUE C-311/18) per trasferimenti extra-UE
• ›Standard Contractual Clauses 2021/914

Sub-responsabili autorizzati. Va mantenuta una lista aggiornata accessibile al titolare. Verifica annuale anche per garanzie sui trasferimenti extra-UE.

• ›Linee Guida WP248 rev. 01 EDPB
• ›Provv. Garante n. 467/2018 (lista trattamenti soggetti a DPIA)

Valutazione d'impatto per trattamenti ad alto rischio. Riesame al variare del rischio (art. 35.11) e comunque ogni 2-3 anni per best practice EDPB.

• ›Linee Guida WP250 rev. 01 EDPB sui data breach
• ›Provv. Garante n. 157/2019 (template notifica breach)

Violazioni dei dati personali. Notifica al Garante entro 72h se rischio per i diritti (art. 33). Comunicazione agli interessati se rischio elevato (art. 34). Registro interno obbligatorio.

• ›Art. 122 D.Lgs. 196/2003 · ePrivacy Directive 2002/58/CE
• ›Linee Guida EDPB 2/2023 su consent banners

Cookie e tracciamenti online. Consenso preventivo per cookie non strettamente necessari. Cookie policy e banner conformi al provvedimento 231/2021. Aggiornamento annuale e ad ogni modifica.

• ›Art. 4 L. 300/1970 (accordo sindacale per controllo lavoratori)
• ›Linee Guida EDPB 3/2019 sulla videosorveglianza

Impianti di videosorveglianza. Durata conservazione max 24-48h (salvo specifiche esigenze). Informativa e accordo sindacale/autorizzazione ITL se lavoratori coinvolti.

• ›Provv. Garante n. 232/2017 (geolocalizzazione veicoli aziendali)
• ›Provv. Garante n. 53/2018 (smartphone aziendali)

Geolocalizzazione di veicoli o dispositivi mobili usati dai lavoratori. Richiede accordo sindacale o autorizzazione ITL. Informativa specifica art. 4.3 Stat. Lav. Verifica annuale.

• ›Linee Guida WP243 rev. 01 EDPB sul ruolo del DPO
• ›Art. 32 GDPR (misure di sicurezza adeguate al rischio)

Sensibilizzazione e formazione del personale autorizzato al trattamento. Compito del DPO. Piano formativo annuale con sessioni periodiche e registro presenze.

• ›Art. 12 GDPR (tempi e modalità di risposta)
• ›Linee Guida EDPB 1/2022 sui diritti dell'interessato

Esercizio dei diritti dell'interessato (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, art. 22). Risposta entro 30 giorni, prorogabili a 90 per richieste complesse.

• ›ISO/IEC 27001 (revisione annuale SGSI)
• ›Linee Guida WP243 EDPB sul ruolo del DPO (controllo applicazione)

Audit privacy interno o esterno. Verifica conformità misure tecniche e organizzative. Cadenza annuale (best practice ISO 27001), o più frequente per realtà ad alto rischio.

• ›Artt. 11-12 AI Act (documentazione tecnica sistemi alto rischio)
• ›Art. 22 GDPR (decisioni automatizzate)
• ›Linee Guida EDPB su AI e protezione dati (in corso di adozione)

Documentazione sistemi di Intelligenza Artificiale. Per sistemi ad alto rischio: documentazione tecnica completa (art. 11), registrazione log (art. 12), DPIA combinata con FRIA (Fundamental Rights Impact Assessment).