Il GDPR nell’ambito dell’erogazione di sovvenzioni: come gli enti finanziatori trattano i dati personali dei richiedenti nel rispetto della legge

In che modo il GDPR si applica ai programmi di sovvenzioni?

Il Regolamento generale sulla protezione dei dati (GDPR) si applica ogni volta che un programma di sovvenzioni raccoglie dati personali relativi a soggetti residenti nell’UE o nel SEE. Ciò riguarda gran parte delle informazioni contenute in una domanda: nomi dei richiedenti, recapiti, curriculum vitae, informazioni finanziarie e, talvolta, dati appartenenti a categorie particolari, quali informazioni sanitarie o demografiche.

Il suo campo di applicazione è ampio. Un ente finanziatore che tratta i dati personali di persone residenti nell’UE è soggetto al GDPR indipendentemente dalla sede in cui ha sede lo stesso ente; pertanto, gli enti finanziatori internazionali raramente esulano dal suo campo di applicazione semplicemente perché hanno sede altrove.

‍

Cosa richiede il GDPR a un finanziatore?

La base giuridica costituisce il fondamento legale per il trattamento dei dati. Ai sensi dell’articolo 6, un finanziatore deve essere in grado di indicare una base giuridica valida, che nella maggior parte dei casi è il consenso del richiedente, la necessità contrattuale o un obbligo di legge, e dovrebbe identificare e documentare quale base si applica prima di raccogliere i dati, anziché dare per scontato che il consenso copra ogni aspetto.

Oltre alla base giuridica, il GDPR richiede la minimizzazione dei dati (raccogliendo solo ciò che è realmente necessario), la trasparenza sulle modalità di utilizzo dei dati, periodi di conservazione ben definiti e il rispetto dei diritti degli interessati, compresa la possibilità di cancellare i dati personali su richiesta.

‍

In che modo il GDPR si differenzia dalla due diligence?

È facile confondere i due concetti, ma essi riguardano aspetti opposti. Il GDPR riguarda la tutela del richiedente: le modalità di raccolta, protezione e conservazione dei suoi dati personali. La due diligence consiste invece nell’esaminare attentamente il richiedente: verificare che il potenziale beneficiario sia legittimo e idoneo a ricevere il finanziamento.

Un programma ha bisogno di entrambi, ma questi due aspetti possono andare in direzioni opposte. La due diligence potrebbe richiedere di raccogliere maggiori informazioni su un candidato, mentre il GDPR spinge a raccogliere solo i dati necessari: è proprio questo il tipo di tensione che una politica sui dati ben documentata è chiamata a risolvere.

‍

Integrazione della conformità al GDPR in una piattaforma per le sovvenzioni

Gestire questi obblighi manualmente è rischioso. Una piattaforma software per la gestione delle sovvenzioni integra tali funzionalità: i limiti di accesso basati sui ruoli determinano chi può visualizzare i dati dei richiedenti, le regole di conservazione dei dati possono essere applicate automaticamente e ogni azione viene registrata nella traccia di audit; in questo modo, la conformità diventa una caratteristica intrinseca del sistema piuttosto che una questione di disciplina individuale.