Trattamenti

Censimento, configurazione e monitoraggio delle banche dati dell'organizzazione in qualità di Titolare (Art. 30 par. 1 GDPR).

La sezione **Trattamenti** è il cuore operativo di GDPRLab. Qui vengono censite le “banche dati” – ovvero i singoli trattamenti di dati personali effettuati dall’organizzazione – con tutte le informazioni necessarie per il Registro dei Trattamenti ex art. 30 GDPR e per la valutazione del rischio.

GDPRLab adotta un approccio **Data-Centric**: si parte dal dato (la banca dati) per costruire progressivamente tutta la struttura di compliance. Ogni trattamento censito alimenta il Registro Trattamenti, il Compliance Score della Dashboard e le valutazioni di rischio.

Si accede cliccando su **Trattamenti** nel menu laterale sinistro.

---

### 1. Pagina principale – Dati Personali
La pagina è intitolata *Dati Personali* e mostra:
* **Card KPI Totale Dati** – numero di banche dati censite.
* **Pannello Grado di protezione trattamenti** – media e distribuzione del livello di protezione. Cliccando su una barra si accede al dettaglio e ai suggerimenti per migliorare la percentuale.
* **Grafico a barre sulla destra** (si popola con i trattamenti censiti).
* **Lista delle banche dati censite** nella parte inferiore.

Quando non sono ancora presenti trattamenti, la pagina mostra il messaggio *"Nessun dato personale censito"* con il pulsante **+ Crea Primo Trattamento**. Il pulsante principale in alto a destra è **+ Nuovo Trattamento**.

---

### 2. Il wizard "Nuovo Trattamento" – panoramica
La creazione di un trattamento avviene tramite un wizard multi-step guidato, composto da **10 passi sequenziali**:

> **Attenzione:** Il trattamento viene salvato **SOLO allo step 10** cliccando su **Salva Dato**. Se si abbandona il wizard prima del completamento, i dati inseriti andranno irrimediabilmente persi. Non esiste alcun salvataggio automatico intermedio.

---

### 3. Step 1 – Banca Dati
Il primo step definisce l’identità del trattamento e i dati che vengono elaborati:

Dopo la selezione dei *Campi Trattati*, la piattaforma mostra automaticamente un box **Calcolo Automatico** con la *Categoria Rischio* calcolata in base ai tipi di dati selezionati (es. *BASSA* per dati personali comuni).

> **Nota operativa:** Il Nome Banca Dati viene riportato nel Registro Trattamenti, nei report e nella Dashboard. Scegliere nomi chiari e immediatamente comprensibili. Il campo Campi Trattati determina il livello di rischio iniziale: selezionare con precisione solo i campi effettivamente trattati.

---

### 4. Step 2 – Tipologia di Dati
Questo step classifica nel dettaglio le categorie di dati personali trattati nella banca dati. È possibile selezionare più opzioni (checkbox multiple). Ogni categoria riporta il proprio livello di rischio associato:

In fondo allo step compare il riepilogo *Tipi Selezionati* con i tag delle categorie scelte (es. *Dati Personali Comuni*, *Relativo alla Salute*, *Orientamento Sindacale*).

> **Nota operativa:** La classificazione in questo step determina le misure di sicurezza richieste dal GDPR e il livello di protezione che la piattaforma calcola per il trattamento. I Dati Particolari (art. 9 GDPR) e i dati relativi a condanne penali (art. 10) richiedono misure rafforzate e possono far scattare l’obbligo di DPIA.

---

### 5. Step 3 – Forma del Dato
Specifica il formato fisico di memorizzazione dei dati. Sono disponibili tre opzioni (selezione singola):

Quando si seleziona *Cartaceo*, la piattaforma mostra un avviso: *“I backup digitali non saranno disponibili. Verranno considerati rischi fisici (fuoco, acqua, accessi).”*

> **Nota operativa:** La scelta del formato condiziona gli step successivi del wizard: un dato Cartaceo non avrà lo step di selezione dispositivi ma avrà indicazioni specifiche sulle protezioni fisiche degli archivi (armadi ignifughi, antincendio, ecc.) configurate nella sezione Uffici.

---

### 6. Step 4 – Registro Trattamenti GDPR
Questo step raccoglie le informazioni obbligatorie per il Registro dei Trattamenti ex art. 30 GDPR. All’ingresso la piattaforma propone automaticamente un testo tipo con ragione sociale e nome banca dati, liberamente adattabile.

| Campo | Obbligatorio | Contenuto atteso / Note |
| :--- | :--- | :--- |
| **Finalità del Trattamento** | Sì ★ | Descrizione della finalità per cui i dati vengono trattati. La piattaforma precompila un testo tipo con i riferimenti normativi del principio di limitazione (art. 5 GDPR). |
| **Durata del trattamento** | Sì ★ | Periodo di conservazione dei dati. Precompilato in base ai termini di conservazione previsti dagli obblighi civilistici e fiscali. |
| **Base Giuridica** | Sì ★ | Menu a tendina – selezionare la base giuridica del trattamento ex art. 6 GDPR (es. *Obbligo legale*, *Contratto*, *Consenso*, ecc.). |
| **Categoria Interessati** | Sì ★ | Campo testo: indicare le categorie di soggetti i cui dati vengono trattati (es. *Clienti*, *Fornitori*, *Dipendenti*). |
| **Trasferimenti Extra UE** | No | Checkbox: spuntare se i dati vengono trasferiti fuori dall’Unione Europea. Abilita campi per specificare destinazione e garanzie adottate. |

> **Nota operativa:** I campi Finalità e Durata vengono precompilati dalla piattaforma con testi tipo: è fondamentale adattarli alla realtà specifica del trattamento prima di procedere. Un testo generico non compilato vanifica la qualità del Registro Trattamenti generato.

---

### 7. Step 5 – Valutazione Rischi
Questo step è completamente automatico: la piattaforma calcola i rischi intrinseci del trattamento sulla base dei dati inseriti negli step precedenti (tipologia, formato, quantità). Non richiede alcun inserimento manuale.

Vengono calcolati e visualizzati due indicatori di rischio:

Sotto i due indicatori compare la nota: *“Questi rischi vengono calcolati automaticamente. Le mitigazioni che aggiungerai nei prossimi step ridurranno questi rischi.”*

> **Nota operativa:** Il Rischio Perdita Dati può risultare *CRITICO* per i dati cartacei senza backup digitale (come nel caso dell’Archivio cartaceo): è un valore atteso e corretto, che segnala l’assenza di misure di ridondanza. Le mitigazioni nei passi successivi (protezioni fisiche, uffici configurati) ridurranno il punteggio finale.

---

### 8. Step 6 – Backup
Il comportamento di questo step varia in base al formato selezionato nello step 3:

#### Per dati Cartacei
La piattaforma mostra due sezioni informative:
* **Solo cartaceo:** non serve selezionare dispositivi. La collocazione fisica (sede e ufficio) viene indicata nello step successivo Sedi e Uffici.
* **Protezioni documenti cartacei:** le protezioni fisiche (armadi chiusi, armadi ignifughi, antincendio, estintori) si configurano in Spazi e Uffici. Il link *Apri Spazi e Uffici* (in una nuova scheda) permette di configurare le protezioni senza uscire dal wizard.

#### Per dati Digitali
Questo step permette di associare un piano di backup alla banca dati, selezionando tra quelli configurati nella sezione Sicurezza Informatica.

---

### 9. Step 7 – Collocazione dei Dati
Questo step si comporta diversamente in base al formato:

* **Per dati Cartacei:** La piattaforma mostra il messaggio informativo: *“Per il solo cartaceo i dispositivi non sono richiesti. La collocazione fisica (sede e ufficio) la indichi nello step successivo Sedi e Uffici. Puoi andare avanti con Avanti.”* Non richiede alcun inserimento.
* **Per dati Digitali:** Permette di selezionare i dispositivi (asset IT) che contengono la banca dati, tra quelli censiti nella sezione Asset Management. È possibile selezionare più dispositivi se i dati sono distribuiti su più sistemi.

---

### 10. Step 8 – Accessi – Incaricati al Trattamento
Questo step definisce chi ha accesso ai dati della banca dati e con quali permessi specifici. È uno degli step più articolati del wizard.

#### Selezione degli incaricati
La piattaforma mostra la lista di tutte le persone presenti nell’organigramma. Per ogni persona è possibile selezionarla o deselezionarla spuntando il relativo checkbox.

#### Permessi granulari per persona
Per ogni persona selezionata, la piattaforma espande la card mostrando i permessi configurabili su questa banca dati:

I pulsanti disponibili in cima alla lista incaricati sono:
* **Copia permessi su tutti** – copia la configurazione di permessi di un incaricato su tutti gli altri selezionati.
* **+ Crea Nuovo** – crea un nuovo incaricato direttamente da questo step.

> **Nota operativa:** Per default, tutti i permessi di ogni incaricato selezionato sono spuntati. Rimuovere i permessi che l’incaricato NON deve avere su questa specifica banca dati. Applicare il principio del minimo privilegio: ogni incaricato deve avere solo i permessi strettamente necessari al proprio ruolo.

---

### 11. Step 9 – Ambienti – Collocazione Fisica
Questo step indica dove fisicamente si trovano i dati, specificando sede e ambiente/ufficio.

| Campo | Obbligatorio | Contenuto atteso / Note |
| :--- | :--- | :--- |
| **Sedi** | Sì ★ | Menu a tendina: selezionare una o più sedi tra quelle censite. Il pulsante *+ Crea Nuova* permette di aggiungere una sede senza uscire dal wizard. |
| **Ambiente/Ufficio** | Sì ★ | Menu a tendina: selezionare uno o più ambienti/uffici per la sede selezionata. Il pulsante *+ Crea Nuovo* permette di aggiungere un ufficio senza uscire dal wizard. |

---

### 12. Step 10 – Risultato Finale
L’ultimo step mostra il riepilogo completo del trattamento e i documenti pronti per essere salvati.

#### Riepilogo Dato
Mostra in forma sintetica tutte le informazioni inserite nel wizard:
* **Banca Dati:** nome del trattamento.
* **Tipi Dato:** categorie selezionate nello step 2 (con tag colorati).
* **Formato:** Digitale / Cartaceo / Entrambe.
* **Rischio Perdita:** livello calcolato (es. *CRITICO* in rosso).
* **Rischio Accesso:** livello calcolato (es. *BASSO* in verde).

#### Documenti Pronti
La piattaforma indica i documenti che verranno generati e salvati al momento del salvataggio:

Il pulsante finale è **Salva Dato** – cliccare per completare la creazione del trattamento e salvare tutti i dati e documenti nel sistema.

---

### 13. Navigazione del wizard

---

### 14. Workflow consigliato
1. Raccogliere preventivamente tutte le informazioni sul trattamento (finalità, base giuridica, campi trattati, responsabili, misure di sicurezza).
2. Verificare che Sedi, Uffici, Asset Management e Organigramma siano già configurati.
3. Avviare il wizard da **+ Nuovo Trattamento**.
4. **Step 1:** inserire nome descrittivo e selezionare i campi trattati con precisione.
5. **Step 2:** classificare tutte le categorie di dati realmente presenti.
6. **Step 3:** selezionare il formato corretto – la scelta condiziona gli step successivi.
7. **Step 4:** adattare i testi precompilati di finalità e durata alla realtà specifica.
8. **Step 5:** verificare i rischi calcolati automaticamente.
9. **Step 6:** configurare il backup o verificare le protezioni fisiche (per il cartaceo).
10. **Step 7:** associare i dispositivi (solo per dati digitali).
11. **Step 8:** selezionare gli incaricati e configurare i permessi con il principio del minimo privilegio.
12. **Step 9:** indicare sede e ambiente/ufficio di collocazione fisica.
13. **Step 10:** verificare il riepilogo e cliccare **Salva Dato**.

---

### 15. Relazioni con altre sezioni