Il regolamento è costruito sul principio della responsabilizzazione (accountability) di titolari e responsabili del trattamento, il che si traduce in una serie di comportamenti proattivi da parte di chi tratta dati personali. L’intervento delle autorità di protezione dati è soprattutto ex post, non ex ante; non ci sono più obblighi di notifica preventiva o autorizzazione preventiva da parte dell’autorità. Il bilanciamento di interessi (rispetto all’interesse legittimo del titolare) spetta al titolare stesso, assistito da linee-guida delle autorità europee, ma che opera autonomamente”.

Con il Regolamento UE 2016/679 il titolare deve tenere un registro delle attività svolte sotto la propria responsabilità: nel registro vanno inseriti i trattamenti che l'azienda svolge. In questo registro, fra le altre informazioni, devono essere riportate le misure di sicurezza tecniche ed organizzative adottate.
Qualora si svolgono trattamenti diversi rispetto a quelli previsti, il titolare prima di procedere con il trattamento è tenuto ad effettuare una valutazione di impatto; sulla medesima dovranno essere evidenziati anche i rischi e le misure previste per affrontarli, descrivendo le misure di sicurezza adottate per proteggere i diritti e gli interessi legittimi degli interessati.

Il principio dell’accountability richiede che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al GDPR. Per raggiungere tale obiettivo, misurato sulla valutazione del rischio, occorre dotarsi di infrastrutture che possano sostenere l’Onere della Prova. La formazione ai propri dipendenti è obbligatoria al fine della gestione dell'adeguato processo di privacy.

Le novità introdotte dal GDPR, con riferimento all’analisi del rischio digitale, sono moltissime.
A seconda della tipologia di attività e trattamento effettuati dall’Organizzazione, il Titolare ha l’obbligo di individuare adeguate misure di sicurezza relative ai dati personali da essa trattati.
Esiste un vincolo di obbligatorietà per tutte le aziende che trattano DATI personali. Oltre a tale obbligo vi sono una serie di sanzioni che nascono dall’aver equiparato il trattamento dei DATI personali ad una attività di tipo pericolosa. Le sanzioni per la non conformità sono enormi e dipendono dall’infrazione.

Il Titolare del Trattamento è dotato di un potere decisionale in ordine alle tecniche da adottare ed alle misure organizzative, al fine di garantire la conformità al Regolamento delle operazioni di trattamento dei dati.
Il Responsabile esterno del Trattamento / Amministratore di Sistema, ora chiamato Joint Controller o Co-responsabile del trattamento anche in outsourcing.
Il responsabile della sicurezza dei dati, ora chiamato Data Protection Officer (DPO), diventa obbligatorio nominarlo per le PA e per aziende che trattano dati particolari E/o in quantità notevoli.

Obbligatorio in questi casi:

• Amministrazioni ed enti pubblici, fatta eccezione per le autorità giudiziari;
• Tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il controllo regolare e sistematico degli interessati;
• Tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici.

Deve essere nominato in base alla qualità professionali:

• Può essere un membro del personale o un fornitore di servizi esterno
• Riporta direttamente al più alto livello manageriale
• Non deve svolgere eventuali ulteriori compiti.
• Può essere una figura esterna alla scuola.