A far data dal 25 maggio 2018, il nuovo Regolamento Europeo 2016/679 sulla protezione dei dati personali, meglio conosciuto come GDPR (General Data Protection Regulation), è ufficialmente in vigore, in in tutti gli Stati membri.
Nato dalla constatazione della sempre maggiore attenzione alla privacy, avvertita dai cittadini comunitari e per fornire, allo stesso tempo, certezze giuridiche e snellezza nel trasferimento dei dati personali dall'Unione Europea verso altre parti del mondo, il GDPR è da considerarsi una risposta, apparsa a tutti necessaria ed urgente, alle sfide lanciate dall'innovazione tecnologica e dai nuovi modelli di crescita economica. Questi elementi, però, in fatto di uniformità, vanno in contrasto con le disposizioni che sostanzialmente consentono agli Stati membri di legiferare in autonomia, al fine di fornire linee guida circa gli adempimenti effettivamente da porre in essere.
Tutto ciò avviene perché la nuova normativa, avendo valenza anche per le imprese extra-Ue purché forniscano servizi o prodotti nel mercato europeo, si applica a tutte le aziende, ovunque esse siano localizzate e che ora, per il principio della responsabilità, rischiano sanzioni molto pesanti in caso di inosservanza.
Questo decreto intende armonizzare il Codice della Privacy (L. 196/2003) alla normativa europea ed è stato emanato in attuazione dell'articolo 13 della Legge di delegazione europea 2016-2017 (Legge 25 ottobre 2017, 163). Comunque, il Codice della Privacy non viene completamente abrogato, come si era ipotizzato in una prima formulazione del decreto. Infatti, resta in vigore, anche se con le modifiche volte ad armonizzarlo ai principi fissati nel Regolamento Generale sulla protezione dei dati, primo fra tutti a quello di accountability.
Con il provvedimento si prevede che il Garante della privacy definisca modalità semplificate di adempimento degli obblighi del titolare del trattamento per quanto riguarda le micro, piccole e medie imprese. I provvedimenti del Garante della privacy, quindi, continueranno ad applicarsi, in quanto compatibili con il GDPR e con lo stesso decreto.
Per i primi otto mesi dalla data di entrata in vigore del decreto, il Garante della privacy dovrà comunque tener conto, ai fini dell'applicazione, delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del GDPR, della fase di prima applicazione delle disposizioni sanzionatorie.
Approfondimenti: Decreto Legislativo 10 Agosto 2018 n°101 (pdf)
Ogni impresa potrà, dunque, rivolgersi al Garante Privacy del proprio Paese allo scopo di avere chiarimenti e istruzioni circa quelle che possono essere definite priorità operative:
L'eccezione in tal senso è costituita dai quei dati, tipo le anagrafiche, contenuti in archivi di interesse pubblico, relativamente ai quali detto diritto non potrà essere esercitato.
Allo stesso modo, viene vietato il trasferimento di dati personali verso Paesi extra Ue o organizzazioni internazionali che, in materia di tutela, non rispondono agli standard di sicurezza.
Ciò consentirà, tramite la creazione di nuovi servizi, ad esempio il passaggio da un provider a un altro.
Il primo adempimento da mettere in atto per le imprese italiane è senz'altro l'adozione del Registro dei trattamenti di dati personali.
In caso di eventuale violazione dei dati che minacci i diritti e le libertà delle persone, il titolare avrà l'obbligo di informare in modo chiaro, semplice e immediato anche tutti gli interessati offrendo loro contestualmente indicazioni su come intende limitare i danni.
Invece, potrà decidere di non farlo se riterrà che la violazione non comporti un rischio elevato per i loro diritti, oppure laddove possa essere dimostrato di avere già adottato misure di sicurezza.
Altra eccezione è rappresentata dall'eventualità in cui l'informare gli interessati comporterebbe uno sforzo sproporzionato rispetto al rischio. In questo caso dovrà essere effettuata una comunicazione pubblica. L'ultima parola spetterà comunque all'Autorità Garante che avrà la facoltà di imporre al titolare del trattamento di informare gli interessati sulla base di una propria valutazione dei rischi, correlati alla violazione commessa.
Avrà il compito di assicurare una corretta gestione dei dati personali nelle imprese e negli enti, riferirà direttamente al vertice e sarà indipendente.
Per quanto la nuova normativa pone al centro del sistema sempre il titolare del trattamento, il DPO è certamente una figura rilevante: deve possedere una competenza specifica della "normativa e delle prassi in materia di dati personali, nonché delle norme e delle procedure amministrative che caratterizzano il settore. Allo stesso tempo, deve avere qualità professionali adeguate alla complessità del compito da svolgere, autonomia decisionale ed essere estraneo rispetto alla definizione delle finalità, nonché delle modalità del trattamento dei dati.
Di fatto le incombenze previste richiedono sforzi economici, e non solo, per tutte le imprese che dovranno adeguare il sistema di trattamento dei dati sia internamente, sia sui mezzi di comunicazione con l'esterno, tra i quali ovviamente assumono importanza i siti web.
A tal proposito è importante evidenziare che il GDPR di fatto non modifica le norme nazionali ma si preoccupa, invece, di chiarire l'assenza di un rapporto di contraddizione, in quanto i valori di trasparenza e di tutela efficace della riservatezza sono considerati entrambi meritevoli di efficace protezione.
Di fatto è la possibilità di richiedere a un titolare la cancellazione di dati che abbia reso pubblici.
In tale circostanza il titolare avrà l'obbligo di trasmettere la cancellazione a tutti coloro che utilizzano i dati oggetto della richiesta.
Nato dalla constatazione della sempre maggiore attenzione alla privacy, avvertita dai cittadini comunitari e per fornire, allo stesso tempo, certezze giuridiche e snellezza nel trasferimento dei dati personali dall'Unione Europea verso altre parti del mondo, il GDPR è da considerarsi una risposta, apparsa a tutti necessaria ed urgente, alle sfide lanciate dall'innovazione tecnologica e dai nuovi modelli di crescita economica. Questi elementi, però, in fatto di uniformità, vanno in contrasto con le disposizioni che sostanzialmente consentono agli Stati membri di legiferare in autonomia, al fine di fornire linee guida circa gli adempimenti effettivamente da porre in essere.
Cosa cambia con il GDPR e come adeguarsi
In estrema sintesi, il GDPR introduce regole più chiare su informativa e consenso, definisce contestualmente i limiti al trattamento dei dati personali fornendo elementi di base per l'esercizio dei nuovi diritti, stabilisce le modalità per il trasferimento dei dati personali fuori dall'Ue e fissa sanzioni importati per i casi di violazione del regolamento.Tutto ciò avviene perché la nuova normativa, avendo valenza anche per le imprese extra-Ue purché forniscano servizi o prodotti nel mercato europeo, si applica a tutte le aziende, ovunque esse siano localizzate e che ora, per il principio della responsabilità, rischiano sanzioni molto pesanti in caso di inosservanza.
Il Gdpr e la normativa italiana
Dopo la sua entrata in vigore del 25 Maggio 2018, in data 4 settembre 2018 è stato pubblicato in Gazzetta Ufficiale il decreto legislativo 10 agosto 2018 n. 101 di adeguamento della normativa nazionale alle disposizioni del Regolamento (Ue) 2016/679, che di fatto entrerà poi in vigore il 19 settembre 2018.Questo decreto intende armonizzare il Codice della Privacy (L. 196/2003) alla normativa europea ed è stato emanato in attuazione dell'articolo 13 della Legge di delegazione europea 2016-2017 (Legge 25 ottobre 2017, 163). Comunque, il Codice della Privacy non viene completamente abrogato, come si era ipotizzato in una prima formulazione del decreto. Infatti, resta in vigore, anche se con le modifiche volte ad armonizzarlo ai principi fissati nel Regolamento Generale sulla protezione dei dati, primo fra tutti a quello di accountability.
Con il provvedimento si prevede che il Garante della privacy definisca modalità semplificate di adempimento degli obblighi del titolare del trattamento per quanto riguarda le micro, piccole e medie imprese. I provvedimenti del Garante della privacy, quindi, continueranno ad applicarsi, in quanto compatibili con il GDPR e con lo stesso decreto.
Per i primi otto mesi dalla data di entrata in vigore del decreto, il Garante della privacy dovrà comunque tener conto, ai fini dell'applicazione, delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del GDPR, della fase di prima applicazione delle disposizioni sanzionatorie.
Approfondimenti: Decreto Legislativo 10 Agosto 2018 n°101 (pdf)
Lo sportello unico (One stop shop)
Considerando la mole di cambiamenti previsti dalla nuova normativa, al fine di risolvere eventuali difficoltà, semplificare il processo di gestione dei trattamenti e garantire approcci uniforme, è stato introdotto lo "sportello unico" (one stop shop).Ogni impresa potrà, dunque, rivolgersi al Garante Privacy del proprio Paese allo scopo di avere chiarimenti e istruzioni circa quelle che possono essere definite priorità operative:
- l'individuazione e la nomina del Responsabile della protezione dei dati;
- l'istituzione e le modalità di tenura del Registro delle attività di trattamento;
- la notifica dei data breach.
Portabilità dei dati
Una delle principali novità introdotte dal nuovo Regolamento è rappresentata dal diritto alla "portabilità" dei propri dati personali da un titolare del trattamento a un altro.L'eccezione in tal senso è costituita dai quei dati, tipo le anagrafiche, contenuti in archivi di interesse pubblico, relativamente ai quali detto diritto non potrà essere esercitato.
Allo stesso modo, viene vietato il trasferimento di dati personali verso Paesi extra Ue o organizzazioni internazionali che, in materia di tutela, non rispondono agli standard di sicurezza.
Responsabilizzazione
Altra novità introdotto riguarda la responsabilizzazione dei titolari del trattamento (accountability) per mezzo di un approccio che ponga particolare attenzione ai rischi, per i diritti e le libertà degli interessati, connessi a un non corretto trattamento di dati personali.Ciò consentirà, tramite la creazione di nuovi servizi, ad esempio il passaggio da un provider a un altro.
Data breach Gdpr
Con il GDPR viene stabilito che il dovere di comunicare eventuali violazioni dei dati personali al Garante spetta, ora, direttamente al titolare del trattamento. Ne consegue l'importanza di fare un'opera di sensibilizzazione che possa far percepire a tutti il valore e l'importanza dei dati, nonché degli eventuali ingenti danni economici che la loro perdita può causare.Il primo adempimento da mettere in atto per le imprese italiane è senz'altro l'adozione del Registro dei trattamenti di dati personali.
In caso di eventuale violazione dei dati che minacci i diritti e le libertà delle persone, il titolare avrà l'obbligo di informare in modo chiaro, semplice e immediato anche tutti gli interessati offrendo loro contestualmente indicazioni su come intende limitare i danni.
Invece, potrà decidere di non farlo se riterrà che la violazione non comporti un rischio elevato per i loro diritti, oppure laddove possa essere dimostrato di avere già adottato misure di sicurezza.
Altra eccezione è rappresentata dall'eventualità in cui l'informare gli interessati comporterebbe uno sforzo sproporzionato rispetto al rischio. In questo caso dovrà essere effettuata una comunicazione pubblica. L'ultima parola spetterà comunque all'Autorità Garante che avrà la facoltà di imporre al titolare del trattamento di informare gli interessati sulla base di una propria valutazione dei rischi, correlati alla violazione commessa.
Responsabilità e sanzioni per le aziende
In caso di violazione delle norme GDPR sono previste diverse tipologie di sanzioni che vanno dalla diffida amministrativa, per arrivare a sanzioni pecuniarie fino a 20 milioni di euro in funzione della gravità dell'inadempienza.Il Data Protection Officer (DPO)
E' la nuova figura introdotta, nei casi in cui è previsto, dal nuovo Regolamento.Avrà il compito di assicurare una corretta gestione dei dati personali nelle imprese e negli enti, riferirà direttamente al vertice e sarà indipendente.
Per quanto la nuova normativa pone al centro del sistema sempre il titolare del trattamento, il DPO è certamente una figura rilevante: deve possedere una competenza specifica della "normativa e delle prassi in materia di dati personali, nonché delle norme e delle procedure amministrative che caratterizzano il settore. Allo stesso tempo, deve avere qualità professionali adeguate alla complessità del compito da svolgere, autonomia decisionale ed essere estraneo rispetto alla definizione delle finalità, nonché delle modalità del trattamento dei dati.
Quanto costa adeguarsi
Sono stimati costi di adeguamento a carico delle aziende italiani di circa 200 milioni di euro, ma secondo alcune fonti, si potrebbe arrivare fino a ben 2 miliardi di euro.Di fatto le incombenze previste richiedono sforzi economici, e non solo, per tutte le imprese che dovranno adeguare il sistema di trattamento dei dati sia internamente, sia sui mezzi di comunicazione con l'esterno, tra i quali ovviamente assumono importanza i siti web.
I dodici nuovi diritti per il cittadino con il Gdpr
Ecco di seguito l'elenco dei nuovi diritti per il cittadino introdotti con il GDPR:- la richiesta del consenso
- tutele sulla prestazione del consenso
- divieto di trattare alcune categorie di dati personali
- il diritto di accesso dell'interessato
- il dovere di fornire le informazioni richieste
- la possibilità di proporre reclamo/ricorso
- il diritto di rettifica
- la revoca del consenso
- il diritto all'oblio
- il diritto di limitazione del trattamento
- il diritto alla portabilità dei dati
- il diritto di opporsi al trattamento dei dati personali
I poteri dell'autorità di controllo (Garante privacy)
All'autorità di controllo, nel nostro ordinamento il Garante Privacy, sono conferiti poteri di indagine, correttivi, autorizzativi e consultivi, oltre al potere di infliggere sanzioni amministrative pecuniarie.Privacy e Trasparenza con il GDPR
Tra le molte novità, nel GDPR è trattato il rapporto tra privacy e trasparenza, anche in relazione all'attività dei soggetti privati che svolgono funzioni di pubblico interesse.A tal proposito è importante evidenziare che il GDPR di fatto non modifica le norme nazionali ma si preoccupa, invece, di chiarire l'assenza di un rapporto di contraddizione, in quanto i valori di trasparenza e di tutela efficace della riservatezza sono considerati entrambi meritevoli di efficace protezione.
GDPR e diritto all'oblio
Si tratta della principale novità del GDPR, ovvero il diritto all'oblio.Di fatto è la possibilità di richiedere a un titolare la cancellazione di dati che abbia reso pubblici.
In tale circostanza il titolare avrà l'obbligo di trasmettere la cancellazione a tutti coloro che utilizzano i dati oggetto della richiesta.