Trattamenti DPE

Censimento, configurazione e monitoraggio dei trattamenti effettuati in qualità di Data Processor Esterno (art. 28 e art. 30 par. 2 GDPR).

Il modulo **Trattamenti DPE** di GDPRLab è dedicato al censimento, alla configurazione e al monitoraggio dei trattamenti di dati personali che l'organizzazione effettua in qualità di **Data Processor Esterno (DPE)**, ovvero di Responsabile del Trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR).

Questo modulo è nettamente distinto dal modulo *Trattamenti* standard (che copre invece i trattamenti effettuati in veste di Titolare) e alimenta in tempo reale il *Registro Trattamenti DPE*, il documento formale richiesto dall'art. 30 par. 2 GDPR.

Si accede cliccando su **Trattamenti DPE** nel menu laterale sinistro.

---

### 1. Introduzione e contesto normativo
Un'organizzazione assume il ruolo di Data Processor Esterno ogni volta che tratta dati personali per conto di un altro soggetto (il Titolare del Trattamento), seguendo rigorosamente le istruzioni di quest'ultimo. Esempi tipici nel contesto GDPRLab:
* Studi medici o strutture sanitarie che gestiscono dati di pazienti per conto di società terze.
* Agenzie di marketing che trattano dati di clienti altrui per campagne pubblicitarie.
* Società di informatica che erogano assistenza tecnica accedendo ai sistemi del cliente.
* Società di amministrazione che gestiscono dati di dipendenti per conto di altre aziende.

> **Nota:** La distinzione tra Titolare e Responsabile del Trattamento ha rilevanza giuridica diretta: il DPE deve essere nominato formalmente dal Titolare con un atto scritto (*Nomina a Responsabile del Trattamento*, art. 28 GDPR). In GDPRLab la gestione delle nomine avviene nella sezione "Nomine".

---

### 2. Vista principale — Panoramica
La pagina principale si compone di tre aree: la barra KPI in alto, i filtri di ricerca e la griglia delle card trattamenti.

#### 2.1 Barra KPI
In cima alla pagina sono presenti quattro indicatori numerici che offrono una visione immediata dello stato del modulo:

> **Nota:** I KPI si aggiornano automaticamente al variare dello stato di configurazione e compliance dei singoli trattamenti. Un trattamento appena creato contribuisce al totale ma non ancora ai contatori *Compliant* o *Attenzione* fino al completamento della configurazione.

#### 2.2 Filtri di ricerca
Sotto i KPI sono presenti tre filtri a tendina e un campo di testo per la ricerca:
* **Tipo Dato:** filtra i trattamenti per categoria di dato trattato (Personale Comune, Relativo alla Salute, Genetico, ecc.). Default: 'Tutti i tipi'.
* **Formato:** filtra per modalità di conservazione del dato (Digitale, Cartaceo, o entrambi). Default: 'Tutti i formati'.
* **Stato Compliance:** filtra per stato di conformità del trattamento. Default: 'Tutti'.
* **Cerca per nome:** campo testuale per la ricerca libera per nome del trattamento DPE.

> **Suggerimento:** La combinazione dei filtri è additiva: è possibile applicarne più di uno contemporaneamente per restringere la visualizzazione (es. solo trattamenti Digitali + Relativo alla Salute + Non Compliant).

#### 2.3 Griglia delle card trattamenti
Ogni card riporta le informazioni essenziali del trattamento e consente le azioni principali senza dover aprire il dettaglio:

| Elemento | Descrizione |
| :--- | :--- |
| **Nome trattamento** | Titolo del trattamento DPE, in grassetto. Il nome completo è visibile nel dettaglio. |
| **Badge tipo dato** | Etichette colorate che indicano le categorie di dati trattati (es. 'Personale Comune' in blu, 'Relativo alla Salute' in verde, 'Genetico' in arancione). |
| **Formato** | Icona e testo che indicano la modalità di conservazione (es. Digitale, Cartaceo). |
| **Collocazione** | Ambiente o sede in cui i dati sono fisicamente o logicamente conservati (es. Studio Operativo, Amministrazione, Direzione Sanitaria). |
| **Titolare associato** | Se presente, mostra il Titolare del Trattamento per conto del quale viene effettuato il trattamento DPE (es. *'Trattamento MSCOMPANY SRLS'*). |
| **Compliance** | Badge in fondo alla card che mostra lo stato di compliance del trattamento (N/D = non disponibile, Compliant, Non Compliant, Attenzione). |
| **Icone azioni** | Quattro icone in alto a destra della card: Dettaglio (occhio), Copia, Modifica (matita), Elimina (cestino). |

**Icone azioni sulla card:**
* **Dettaglio (occhio):** apre la modale di dettaglio del trattamento in sola lettura.
* **Copia:** duplica il trattamento DPE creando una nuova voce con gli stessi parametri, pronta per essere personalizzata. Utile quando più trattamenti hanno struttura simile.
* **Modifica (matita):** apre il wizard di configurazione per modificare i dati del trattamento esistente.
* **Elimina (cestino):** rimuove definitivamente il trattamento DPE dopo conferma.

> **Attenzione:** L'eliminazione di un trattamento DPE rimuove anche il relativo record dal Registro Trattamenti DPE. Prima di eliminare un trattamento, verificare che non sia collegato a nomine attive o a DPIA in corso.

#### 2.4 Pulsante Nuovo Trattamento DPE
Il pulsante verde **+ Nuovo Trattamento DPE** posizionato in alto a destra della pagina avvia il wizard guidato per la creazione di un nuovo trattamento DPE.

---

### 3. Dettaglio del trattamento DPE
Cliccando sull'icona di dettaglio si apre la modale **'Dettaglio Trattamento DPE'** strutturata in più blocchi informativi.

#### 3.1 Intestazione e azioni
In cima alla modale sono visibili:
* Il titolo completo del trattamento DPE.
* Il pulsante 'Modifica' (verde): apre il wizard di configurazione per la modifica del trattamento.
* I pulsanti 'Chiudi' o 'X': chiudono la modale senza apportare modifiche.

#### 3.2 Stato Compliance e Sicurezza Complessiva

| Campo | Descrizione |
| :--- | :--- |
| **Stato Compliance** | Badge che indica lo stato di conformità del trattamento: 'Compliant' (verde), 'Non Compliant' (rosso), 'Attenzione' (giallo). |
| **Sicurezza Complessiva** | Valore percentuale (es. 58%) con barra grafica colorata. Calcolata sulla base di protezioni ufficio, dispositivi, backup e misure di sicurezza configurate. |

> **Nota:** La percentuale di sicurezza è un indicatore aggregato e dinamico: aumenta man mano che vengono configurate le misure di protezione (backup, antivirus, crittografia, ecc.) nei moduli Sicurezza Informatica e Dispositivi Medici. Non è un valore inserito manualmente.

#### 3.3 Informazioni Base
Il blocco 'Informazioni Base' riporta i dati fondamentali del trattamento:
* **Tipi Dato:** badge colorati per ogni categoria di dato (es. *Personale Comune*, *Relativo alla Salute*).
* **Formato:** modalità di conservazione (es. *Digitale*).
* **Stato:** stato operativo del trattamento (es. *'attivo'*).

#### 3.4 Collocazione
Il blocco 'Collocazione' indica la sede fisica o logica in cui i dati vengono conservati (es. *Studio Operativo*, *Amministrazione*, *Direzione Sanitaria*). Corrisponde all'ambiente selezionato durante la configurazione del trattamento.

#### 3.5 Data Handler
Il blocco 'Data Handler' identifica il soggetto interno o esterno responsabile della gestione operativa del dato nell'ambito del trattamento DPE. Sotto il nominativo del Data Handler sono presenti tre indicatori di stato (rosso o verde):
* **Nominato:** indica se il Data Handler ha ricevuto formale nomina scritta.
* **Formato:** indica se il Data Handler ha completato la formazione prevista.
* **Onboarding:** indica se il Data Handler ha completato il processo di onboarding sulla piattaforma.

> **Attenzione:** Se uno o più indicatori del Data Handler risultano con segno rosso (non completato), il trattamento non raggiungerà lo stato 'Compliant'. È necessario procedere con la nomina, la formazione e l'onboarding del soggetto attraverso i relativi moduli di GDPRLab.

#### 3.6 Protezioni
Il blocco 'Protezioni' indica se sono state configurate misure di protezione per i dispositivi associati al trattamento. Il link *'Protezioni configurate sui dispositivi'* è cliccabile e rimanda direttamente alla sezione di gestione delle protezioni dispositivi.

#### 3.7 Backup Digitale
Il blocco 'Backup Digitale' riepiloga la configurazione del backup per il trattamento:
* **Sistema Backup:** nome del sistema utilizzato (es. *Backup AWS*).
* **Esecuzione:** politica di retention e Recovery Point Objective (es. *Retention: 30 giorni; RPO: 30 min; Cifrato*).
* **Tipologia:** badge *'cloud'* o *'locale'*.
* **Frequenza:** cadenza del backup (es. *giornaliera*).

#### 3.8 Protezioni Dispositivi
Il blocco 'Protezioni Dispositivi' elenca i dispositivi configurati per il trattamento DPE:
* Nome e modello del dispositivo (es. *PC Amministrazione*, *NAS*).
* **Compliance Score:** percentuale di compliance del dispositivo con badge colorato (es. 50% Bassa, 52% Bassa).
* Misure di sicurezza attive: icone verdi per le misure abilitate (es. *Backup, Antivirus, Crittografia*).

> **Suggerimento:** Il Compliance Score di ciascun dispositivo contribuisce al calcolo della Sicurezza Complessiva del trattamento. Per aumentare la percentuale di sicurezza è necessario abilitare ulteriori misure di protezione sui dispositivi dalla sezione 'Sicurezza Informatica' o 'Dispositivi Medici'.

#### 3.9 Trattamenti Associati
Il blocco 'Trattamenti Associati' in fondo alla modale mostra il collegamento del trattamento DPE con i trattamenti presenti nel modulo Trattamenti standard (registro del Titolare). Ogni voce riporta il nome del trattamento associato e una descrizione sintetica delle tipologie di dati e formato.

---

### 4. Wizard — Nuovo Trattamento DPE
Il wizard di creazione guidata si articola in **10 step progressivi**, navigabili tramite la barra di avanzamento in cima alla pagina:

#### 4.1 Step 1 — Banca Dati (dettaglio)
Il primo step richiede:
* **Nome Banca Dati (obbligatorio):** denominazione della fonte dati (es. *'Anagrafica Clienti'*, *'Gestione Marketing e Campagne'*).
* **Descrizione:** campo testuale libero per descrivere in dettaglio la natura e le modalità operative della banca dati.
* **Campi Trattati (obbligatorio):** selezione specifica dei campi di dati personali trattati.

> **Suggerimento:** Per i 'Campi Trattati' si consiglia di essere il più specifici possibile: selezionare solo i campi effettivamente trattati nel contesto del rapporto DPE, evitando di aggiungere campi per eccesso. La precisione in questo step impatta direttamente il contenuto del Registro Trattamenti DPE e la sua conformità all'art. 30 par. 2 GDPR.

---

### 5. Flusso operativo consigliato

| Step | Azione | Note operative |
| :--- | :--- | :--- |
| **1** | **Verifica prerequisiti** | Verificare che il Titolare per cui si opera sia già censito nel sistema e che la relativa Nomina a Responsabile (art. 28 GDPR) sia presente nella sezione Nomine. |
| **2** | **Creazione del trattamento** | Avviare il wizard con **+ Nuovo Trattamento DPE**. Compilare tutti i 10 step con accuratezza, prestando particolare attenzione allo step 1 e allo step 4. |
| **3** | **Configurazione dispositivi** | Verificare che i dispositivi associati abbiano le protezioni adeguate (antivirus, backup, crittografia) e che il sistema di backup digitale sia correttamente impostato. |
| **4** | **Assegnazione Data Handler** | Associare al trattamento il Data Handler responsabile. Verificare che siano completati Nomina, Formazione e Onboarding per portare il trattamento allo stato Compliant. |
| **5** | **Verifica compliance** | Controllare la Sicurezza Complessiva e lo Stato Compliance dalla card o dal dettaglio. Intervenire sui punti critici segnalati. |
| **6** | **Aggiornamento Registro** | Una volta configurato correttamente, il trattamento sarà visibile nel Registro Trattamenti DPE. Generare il documento ufficiale dalla sezione 'Registro Trattamenti DPE'. |

---

### 6. Domande frequenti (FAQ)

#### Qual è la differenza tra Trattamenti e Trattamenti DPE?
Il modulo Trattamenti copre i trattamenti effettuati dall'organizzazione come Titolare del Trattamento (art. 30 par. 1 GDPR). Il modulo Trattamenti DPE copre invece i trattamenti effettuati come Responsabile Esterno per conto di Titolari terzi (art. 30 par. 2 GDPR).

#### Il badge Compliance 'N/D' sulla card cosa significa?
'N/D' (Non Disponibile) indica che il trattamento non ha ancora tutti i parametri configurati per poter calcolare uno stato di compliance. Di norma appare quando il wizard è stato completato solo parzialmente o quando mancano informazioni fondamentali come il Data Handler o le protezioni dispositivi.

#### Posso avere più trattamenti DPE per lo stesso Titolare?
Sì. Un'organizzazione può effettuare più tipologie di trattamenti per conto dello stesso Titolare (es. gestione HR e gestione marketing per la stessa azienda cliente). Ogni trattamento va censito separatamente e apparirà nel Registro Trattamenti DPE con il riferimento al Titolare associato.

#### Come aumentare la percentuale di Sicurezza Complessiva?
La percentuale dipende dalle misure di sicurezza configurate per i dispositivi associati al trattamento. Per aumentarla: abilitare Antivirus e Backup su tutti i dispositivi nella sezione Sicurezza Informatica, configurare la crittografia dei supporti di memorizzazione, completare l'onboarding e la formazione dei Data Handler, e configurare un sistema di backup regolare con retention e RPO adeguati.

#### Il trattamento DPE viene aggiornato automaticamente quando cambio le protezioni dei dispositivi?
Sì. La Sicurezza Complessiva e il badge di compliance della card si aggiornano dinamicamente ogni volta che vengono modificate le configurazioni di sicurezza nei moduli collegati (Dispositivi, Sicurezza Informatica, Backup). Non è necessario riaprire o modificare manualmente il trattamento DPE.

---

### 7. Riferimenti normativi e relazioni con altri moduli

| Riferimento / Modulo | Relazione con Trattamenti DPE |
| :--- | :--- |
| **Art. 28 GDPR** | Disciplina il contratto tra Titolare e Responsabile del Trattamento. La Nomina a Responsabile deve precedere l'operatività del trattamento DPE. |
| **Art. 30 par. 2 GDPR** | Obbligo di tenuta del registro per il Responsabile del Trattamento. Il modulo Trattamenti DPE alimenta direttamente tale registro. |
| **Nomine (GDPRLab)** | La nomina formale del DPO da parte del Titolare deve essere presente nella sezione Nomine prima di operare come Responsabile. |
| **Registro Trattamenti DPE** | Il documento ufficiale generabile dalla sezione Registro Trattamenti DPE aggrega tutti i trattamenti configurati in questo modulo. |
| **Sicurezza Informatica** | Le configurazioni di protezione e backup incidono direttamente sulla Sicurezza Complessiva e sullo Stato Compliance di ciascun trattamento DPE. |
| **Organigramma / Onboarding** | I Data Handler sono soggetti censiti nell'organizzazione. Lo stato di nomina, formazione e onboarding è verificato in tempo reale nel dettaglio del trattamento. |

> **Uso Interno:** Documento riservato ad uso interno dei partner e consulenti GDPRLab. Non distribuire a soggetti non autorizzati. Per supporto tecnico o chiarimenti operativi, contattare il proprio referente s-mart.biz.