Il Regolamento UE 2016/679 (d'ora in poi “GDPR”) ha introdotto dei principi che le aziende devono rispettare per garantire la protezione dei dati personali. Infatti, ai sensi dell'articolo 5, il GDPR impone l'obbligo della cosiddetta “accountability” e della “privacy by design” (ossia l'obbligo di includere in ogni processo, a partire dalla fase di progettazione, gli strumenti e le impostazioni corrette per proteggere i dati personali) che si concretizzano nei seguenti oneri a carico dell’azienda, nella sua qualità di titolare del trattamento:

a) analisi dell’azienda e individuazione delle attività di trattamento: innanzitutto, ogni azienda deve identificare quali attività di trattamento dei dati personali vengono svolte e quali tipi di dati vengono trattati nell'ambito delle sue operazioni. Questa analisi preliminare è essenziale per individuare la strategia adeguata a garantire la protezione dei dati;

b) la tenuta di un “registro delle attività di trattamento”: non tutte le aziende sono obbligate a tenere un registro delle attività di trattamento di dati personali. In particolare, i soggetti obbligati sono:

1. imprese o organizzazioni con almeno 250 dipendenti;
2. qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischi...