Come possiamo garantire la conformità al GDPR quando le domande di sovvenzione contengono dati personali?

Le domande di sovvenzione contengono molti dati personali, spesso più di quanto i team si rendano conto. Come minimo, nomi e recapiti. Ma spesso anche curriculum, referenze, informazioni finanziarie e, talvolta, dati appartenenti a categorie particolari, come quelli relativi alla salute, nei casi in cui il progetto riguardi l’assistenza o la disabilità.

Quando tali informazioni sono archiviate su unità condivise, nelle caselle di posta in arrivo e in un foglio di calcolo di monitoraggio, il programma è esposto a un rischio concreto in materia di GDPR senza che vi sia un modo chiaro per gestirlo.

Le domande che mettono in luce questa lacuna sono semplici:

• Chi ha accesso a questi dati, e ne hanno tutti bisogno?
• Su quale base giuridica lo stiamo trattenendo?
• Per quanto tempo lo terremo?
• Cosa succede quando un richiedente ci chiede di cancellare i propri dati?

In un sistema basato su cartelle e casella di posta in arrivo, nessuno è in grado di rispondere con certezza a queste domande. Una singola richiesta di accesso ai dati personali o di cancellazione si trasforma in una ricerca manuale che coinvolge più sistemi.

Notiamo che i team attenti alla conformità, soprattutto nei settori regolamentati e all’interno di organizzazioni composte da più entità, spingono affinché i dati personali siano gestiti dalla piattaforma stessa:

• Accesso basato sui ruoli, in modo che gli utenti vedano solo ciò che è necessario per lo svolgimento delle loro mansioni.
• Periodi di conservazione prestabiliti che impongono la cancellazione automatica.
• Consenso acquisito al momento della presentazione della domanda.

L'obiettivo è fare in modo che il GDPR sia integrato nel sistema fin dalla sua progettazione, anziché dipendere dal fatto che ogni membro del team si ricordi di agire nel modo corretto.