Compliance Integrata

Prefazione
di Alberto Calcagno

1 Il GDPR e i modelli privacy, di Marialaura Arabia, Anna Dalla Benetta e Giulio Monga

1 Il Regolamento (UE) 2016/679

2 I ruoli privacy: titolare, contitolare e responsabile
2.1 Il titolare del trattamento
2.2 Il contitolare del trattamento
2.3 Il responsabile del trattamento

3 I principi fondamentali del trattamento
3.1 Liceità, correttezza e trasparenza
3.2 Limitazione della finalità
3.3 Minimizzazione
3.4 Esattezza e limitazione della conservazione
3.5 Integrità e riservatezza
3.6 Responsabilizzazione

4 Le basi giuridiche del trattamento
4.1 Il consenso dell’interessato (art. 6, par. 1, lett. a) GDPR)
4.2 L’esecuzione di un contratto o di misure precontrattuali (art. 6, par. 1, lett. b) GDPR)
4.3 L’adempimento di un obbligo legale (art. 6, par. 1, lett. c) GDPR)
4.4 La salvaguardia degli interessi vitali (art. 6, par. 1, lett. d) GDPR)
4.5 L’esecuzione di un compito di interesse pubblico o l’esercizio di pubblici poteri (art. 6, par. 1, lett. e) GDPR)
4.6 L’interesse legittimo del titolare del trattamento o di un terzo (art. 6, par. 1, lett. f) GDPR)
4.7 Conclusioni sulle basi giuridiche del trattamento

5 Il Registro delle attività di trattamento

6 Le informative
6.1 Contenuto essenziale dell’informativa
6.2 Tempistiche da rispettare
6.3 Modalità e forma
6.4 Eccezioni all’obbligo di fornire l’informativa

7 Nomina del responsabile del trattamento
7.1 Forma, contenuto e pubblicità dell’atto di nomina
7.2 La designazione di un sub-responsabile

8 Nomine delle persone autorizzate e designazioni interne
8.1 Definizione e inquadramento delle persone autorizzate
8.2 La designazione dei soggetti autorizzati: un atto sostanziale di accountability

9 Misure di sicurezza tecniche ed organizzative, privacy by design e by default
9.1 Misure di sicurezza tecniche ed organizzative
9.1.1 L’art. 24 GDPR e la correlazione tra accountability e sicurezza dei dati
9.1.2 L’art. 32 GDPR e l’obbligo di adottare misure di sicurezza adeguate al rischio
9.1.3 Esempi di misure di sicurezza e best practice
9.2 Privacy by design e by default
9.2.1 La privacy by design: protezione dei dati personali sin dalla progettazione
9.2.2 La privacy by default: protezione dei dati personali per impostazione predefinita
9.2.3 Meccanismi di certificazione e Linee guida 4/2019 dell’EDPB

10 Valutazione d’impatto sulla protezione dei dati personali
10.1 Caratteristiche generali della DPIA
10.2 Quando è obbligatorio svolgere una DPIA
10.2.1 Le indicazioni del Gruppo di lavoro Articolo 29
10.2.2 L’elenco dei trattamenti da sottoporre a DPIA pubblicato dal Garante
10.3 La consultazione degli interessati e la consultazione preventiva con l’autorità di controllo
10.4 Come svolgere una DPIA in pratica

11 Gestione delle richieste di esercizio dei diritti degli interessati
11.1 I diritti dell’interessato
11.2 Modalità di esercizio dei diritti

12 Gestione dei data breach
12.1 Classificazione dei data breach
12.2 La notifica dei data breach alle autorità di controllo
12.3 La comunicazione dei data breach agli interessati
12.4 La valutazione dei rischi connessi al data breach
12.5 Esempi di violazioni sottoposte all’obbligo di notifica o di comunicazione
12.6 Documentazione delle violazioni e registro dei data breach

13 Trasferimenti dati extra-EU

14 Aspetti sanzionatori
14.1 I poteri correttivi delle autorità di controllo
14.2 Le sanzioni amministrative pecuniarie
14.2.1 I criteri per l’irrogazione delle sanzioni amministrative pecuniarie
14.2.2 La nozione di “impresa” da prendere in considerazione per calcolare il “fatturato totale annuo”
14.3 Il risarcimento dei danni per violazione delle norme del GDPR
14.4 Sanzioni penali

2 Il decreto legislativo 8 giugno 2001, n. 231: fondamento del Sistema di Compliance Aziendale in Italia, di Daniele Saporiti, Francesca Longo, Matteo Maria Morelli e Luca Libutti

1 La responsabilità amministrativa dell’ente
1.1 Ambito di applicazione
1.2 Principi fondamentali
1.3 Sistema sanzionatorio
1.4 Società operanti nel settore pubblico: cosa cambia?
1.5 I reati presupposto: evoluzione e panoramica dal 2001 ad oggi

2 Il risk assessment ai sensi del d.lgs. 231/2001
2.1 La legge Severino e i decreti esecutivi: piani di prevenzione della corruzione
2.2 Il decreto legislativo 8 giugno 2001, n. 231: i Modelli organizzativi
2.3 Le fasi del risk assessment

3 Modelli organizzativi: struttura e requisiti chiave
3.1 Come si struttura un Modello ai sensi del d.lgs. 231/2001
3.2 Elementi chiave del Modello
3.3 Key Officer: chi sono, come e perché nominarli?
3.4 Aggiornamento periodico del Modello
3.5 Violazioni del Modello

4 L’Organismo di Vigilanza: chi è e come agisce?
4.1 Requisiti, composizione e nomina
4.2 Ruoli e responsabilità
4.3 Modalità operative nello svolgimento dei propri compiti
4.4 La relazione tra l’OdV, il CRO ed il CCO
4.5 I flussi informativi all’OdV
4.6 Le attività di verifica ai sensi d.lgs. 231/2001 e l’integrazione con il Piano di Audit della Società

3 Whistleblowing: uno strumento per una compliance efficace, di Daniele Saporiti, Francesca Longo e Tarcisio Giampetraglia

1 Introduzione al whistleblowing: natura, funzione e contesto normativo
1.1 Le leggi internazionali e nazionali sul whistleblowing
1.1.1 EMEA (Europa, Medio Oriente, Africa)
1.1.2 LATAM (America Latina)
1.1.3 USA (Stati Uniti)
1.1.4 India

2 L’importanza del whistleblowing nel contesto della compliance

3 L’implementazione di un sistema di whistleblowing nei Gruppi multinazionali: quali sfide?

4 Gli elementi fondamentali di un sistema di whistleblowing efficace
4.1 Riservatezza e protezione dell’identità del whistleblower
4.2 Canali di segnalazione: telefonici, digitali e fisici
4.3 Organi preposti alla gestione delle segnalazioni

5 Gestire e rispondere alle segnalazioni
5.1 Ricezione e analisi della segnalazione
5.2 Indagine interna
5.3 Reporting, archiviazione e monitoraggio
5.4 Formazione, informazione e sensibilizzazione

6 Il whistleblowing come strumento di prevenzione e miglioramento continuo

4 Sostenibilità: tra strategia e compliance, di Deborah Ravasi, Francesca Meozzi, Mario Cigno e Amalia Serena Scimè

1 Il contesto regolatorio europeo negli ultimi 10 anni e trend futuri

2 Il reporting di sostenibilità nell’era della CSRD
2.1 Dalla NFRD alla CSRD: cosa cambia e perché?
2.2 I nuovi standard europei di rendicontazione (ESRS): sfide ed opportunità
2.3 L’analisi di doppia materialità
2.4 Il processo di reporting

3 La governance della sostenibilità

4 La CSDDD e l’attenzione alla value chain
4.1 La gestione delle terze parti: principali sfide e opportunità per le aziende
4.2 L’informativa sulla value chain nel reporting di sostenibilità

5 Equità e trasparenza retributiva: la risposta europea ad una esigenza sociale

5 Sistemi di Governance e Organizzazione, di Valentina Paduano e Selina Zipponi

1 Il Three-Lines Model
2 Il ruolo del Chief Risk Officer (CRO)
3 Il ruolo del Chief Compliance Officer (CCO)
4 Il ruolo del Chief Sustainability Officer (CSO)
5 Il ruolo del Data Protection Officer (DPO)
6 Il ruolo del Chief Audit Executive (CAE)
7 L’integrazione del sistema di controllo interno e gestione dei rischi e il coordinamento tra linee


6 Integrazione dei Modelli e sinergie, di Selina Zipponi e Valentina Paduano

1 Come il modello di gestione dei rischi diventa il risk-thinking aziendale
1.1 Compliance risk assessment: la verticale sulla privacy
1.2 Processi decisionali risk-based (es. trasferimento dati extra EU)

2 La compliance integrata
2.1 La valutazione dei fornitori ed i controlli integrati
2.2 Aspetti privacy della gestione del whistleblowing
2.3 Reporting di sostenibilità e data protection come responsabilità sociale
2.4 Il reporting integrato: flussi informativi tra OdV, management e ESG
2.5 Sinergie ed integrazione tra le attività di audit

Appendice – Articolazioni degli ESRS in temi, sottotemi e sotto-sottotemi
Gli Autori