Formazione GDPR per il personale: cosa si aspettano la legge britannica e l'ICO

La formazione sulla protezione dei dati è quella che la maggior parte delle aziende considera "un requisito GDPR". La legge è meno diretta di così, ma le aspettative dell'ICO sono specifiche. Questo è ciò che dicono il GDPR del Regno Unito e l'ICO, citati da legislation.gov.uk e ico.org.uk il 19 ottobre 2026. L'ICO osserva che queste pagine sono in fase di revisione dopo il Data (Use and Access) Act. Si tratta di un riassunto, non di un consiglio legale.

Punti chiave

• Non c'è un articolo autonomo "formazione di tutto il personale", ma i doveri di sicurezza del GDPR nel Regno Unito lo rendono la strada prevista.
• Induzione prima dell'accesso: l'ICO si aspetta formazione prima che il personale gestisca le informazioni personali.
• Ripasso a intervalli appropriati; nessun numero fisso.
• Un controllo di conoscenza con un voto minimo di superamento, dice l'ICO.
• Tutti, inclusi dirigenti senior, personale temporaneo e a contratto.

Cosa dice il GDPR del Regno Unito

L'articolo 32(4) stabilisce che il responsabile e il responsabile "devono adottare misure per garantire che qualsiasi persona fisica che agisca sotto l'autorità del responsabile o del processore che abbia accesso ai dati personali non li tratti se non su istruzioni del responsabile". Quando si ha un responsabile della protezione dei dati, l'articolo 39 elenca tra i loro compiti il monitoraggio della conformità, "inclusa l'assegnazione delle responsabilità, la sensibilizzazione e la formazione del personale coinvolto nelle operazioni di elaborazione". La guida ICO alla sicurezza dei dati afferma: "Dovreste fornire una formazione iniziale e di aggiornamento adeguata".

Cosa si aspetta l'ICO all'introduzione

Il kit di strumenti di audit dell'ICO sulla formazione all'induzione avverte che "permettere al personale di iniziare a lavorare con le informazioni personali prima di seguire la formazione di induzione aumenta notevolmente il rischio di violazione dei dati personali. Ciò potrebbe violare gli articoli 5(1)(f) e 32 del GDPR nel Regno Unito." Le sue aspettative includono:

• "Assicuratevi che il personale abbia completato l'addestramento di introduzione prima di poter elaborare informazioni personali."
• "Richiedere a tutti i gradi, inclusi i dirigenti senior, di completare la formazione di introduzione."
• "Fornire formazione di introduzione a tutto il personale, inclusi volontari, temporanei e a contratto."
• Trattano "gestione delle richieste, condivisione dei dati, sicurezza delle informazioni, violazioni dei dati personali e gestione dei documenti".

Addestramento di aggiornamento e dimostrazione

Durante la formazione di aggiornamento, il toolkit dice di "Richiedere al personale di completare la formazione di aggiornamento a intervalli appropriati" e "Documentare l'ultima data in cui il personale ha ricevuto la formazione di aggiornamento mantenendo registri completi e aggiornati." Entrambe le pagine dicono anche: "Valuta la comprensione del personale della formazione tramite un controllo delle conoscenze con un voto minimo di superamento."

Quindi le prove che un auditor cerca sono semplici: chi ha completato quale modulo, quando e se ha superato.

Trasforma le tue diapositive sulla protezione dei dati in un corso

Reigniter trasforma il tuo attuale deck di protezione dei dati in un breve modulo interattivo: una voce fuori campo, le tue slide e una domanda a ogni passaggio, come "un cliente manda una mail chiedendo i suoi dati: cosa fai?", con ramificazioni per risposte sbagliate. Il tuo primo modulo è gratuito e condiviso tramite link. Nei piani di prezzo a pagamento, gli studenti accedono, imposti un voto di approvazione e vedi il risultato e il certificato di ciascuna, che è il record descritto dall'ICO; vedi la formazione senza LMS.

Per la sicurezza antincendio, schermi espositivi, maneggevolezza manuale, COSHH e induzione, consulta cosa richiede la formazione della legge britannica.