Il Principio di Accountability: Il titolare del trattamento dei dati deve essere in grado di dimostrare di aver adottato in modo proattivo, nell'espletamento delle attività svolte dall'azienda, un sistema complessivo di misure di protezione dei dati personali.

I ruoli dei soggetti che possono trattare i dati sono stati ampliati rispetto al passato:

Il titolare del trattamento deve obbligatoriamente redigere il Registro dei Trattamenti e tenerlo aggiornato con le informazioni riguardo:

Il Data Breach - È previsto l'obbligo di dare comunicazione all'autorità di controllo competente (e in alcuni casi ai diretti interessati), di eventuali attacchi informatici con violazioni dei dati personali entro il tempo massimo di 72h.

Privacy Impact Assessment - Nel caso di trattamenti con rischi elevati per i diritti e le libertà dell’individuo, il Titolare dei Dati deve procedere ad un Privacy Impact Assessment, cioè una valutazione dell’impatto dei trattamenti sulla privacy che effettuerà prima dell’inizio dei trattamenti con le figure più opportune del proprio organigramma Privacy.

Per essere a norma il Titolare del Trattamento dei Dati lo Studio Medico deve:

effettuare una Gap-Analysis (Assessment vs. GDPR), che evidenzi le discrepanze fra la propria situazione documentale/amministrativa e operativa e le prescrizioni GDPR;

definire ed adottare le misure prescritte;

mantenere in maniera proattiva ed aggiornata la fotografia dello stato GDPR;

definire i Ruoli (interni, ma soprattutto esterni) e le Deleghe;

dare comunicazione agli organi preposti in caso di Data Breach;

dimostrare, in caso di controlli o eventi accidentali (perdita di dati o intrusione nei propri archivi a causa di virus informatici, cause intentate dai Pazienti o altri soggetti, perdita di dati, …), che sono stati condotti atteggiamenti proattivi per la gestione della sicurezza e della privacy nella gestione della propria attività.

Entro il 25 maggio 2018 quindi professionisti, aziende, enti e pubbliche amministrazioni dovranno essere conformi alle nuove regole. Le funzioni di controllo delle Autorità garanti saranno chiamate a una collaborazione più stretta e a esercitare poteri di vigilanza stringenti a garanzia dei diritti del cittadino.

Chi non si adeguerà entro questa data potrà incorrere in sanzioni con multe fino a 20 milioni di euro o fino al 4% del fatturato annuo globale (art. 83 paragrafo 5).