GDPR: il nuovo Regolamento Europeo per la protezione dei dati

Dallo scorso 25 maggio 2019 è operativo il nuovo Regolamento Europeo in materia di privacy, il n. 679/2016, conosciuto anche con l’acronimo GDPR.

Composto da 99 articoli, è il regolamento con il quale la Commissione europea si pone l’obiettivo di tutelare e rafforzare la protezione dei dati personali dei cittadini Ue. In Italia, il quadro normativo è novellato dal D.lgs 101/2018.

Con il GDPR:

• si introducono regole più chiare su informative e consenso;
• vengono definiti i limiti al Trattamento dei dai personali;
• vengono stabiliti rigorosi criteri per il trasferimento dei dati personali al di fuori dell’Ue;
• vengono fissate norme più rigide per i casi di violazione dei dati (Data Breach).

Sono tre gli obblighi principali per l’esecuzione del nuovo Regolamento:

• la figura obbligatoria del Responsabile dei dati;
• il registro delle attività del Trattamento (nel quale sono riportati i trattamenti messi in atto e le misure di sicurezza adottate dall’ente);
• l’obbligo di effettuare una valutazione d’impatto sulla protezione dei dati.

Quindi, il Regolamento ridisegna le figure del Titolare e del Responsabile del Trattamento, affidandogli maggiori obblighi e introducendo il principio dell’accountability, dall’inglese “responsabilizzazione”. Il Titolare del Trattamento non è più solo un esecutore di un elenco di misure imposte da una norma, ma diviene esecutore di misure tecnico-organizzative conformi alla normativa della privacy e deve saper dimostrare quanto messo in atto.

Di seguito una panoramica dei principali punti che le le imprese e i soggetti pubblici devono tener presente:

• per i dati “sensibili”, il consenso deve essere esplicito;
• il consenso dei minori è valido a partire dai 14 anni, prima di tale età deve essere chiesto il consenso ai genitori;
• il consenso tacito e\o presunto non è ammesso;

I contenuti delle informative sono elencati in maniera indiscutibile:

• il Titolare del Trattamento è obbligato a specificare i contatti del DPO e la base giuridica del trattamento;
• il Titolare deve specificare il periodo di conservazione dei dati e il diritto di presentare un eventuale reclamo;
• l’informativa deve essere CONCISA, TRASPARENTE, INTELLEGIBILE per l’interessato e facilmente ACCESSIBILE;
• l’informativa è data per iscritto e, preferibilmente, in formato elettronico e deve essere fornita all’interessato prima di effettuare la raccolta dati;
• il termine per la risposta all’interessato è di un mese, estendibile a 3 mesi in casi di particolare complessità;
• l’interessato può avvalersi del “diritto all’oblio”, ovvero alla cancellazione dei propri dati personali. Si prevede anche l’obbligo del Titolare di informare della richiesta di cancellazione gli altri Titolari che trattano gli stessi cancellati.

Per quanto riguarda l’ambito relativo alla nomina del Titolare, del Responsabile e dell’incaricato del Trattamento, l’informativa:

• fissa in modo dettagliato l’atto con il quale il Titolare designa il Responsabile del Trattamento e i suoi relativi compiti;
• consente la nomina di sub-responsabili del Trattamento per specifiche attività;
• il Responsabile del Trattamento ha il compito di tenere un registro dei trattamenti svolti e la designazione di un DPO.

Dopo un’indagine avviata nel maggio 2017, rivolta ad accademici del settore delle telecomunicazioni e dell’editoria, l’Agcom, il Garante per la privacy e l’Agcm hanno stilato 11 linee guida sui big data, per rafforzare la cooperazione in materia di privacy e volte ridurre  i rischi legati all’utilizzo intensivo dei dati.
In materia di codici di condotta in materia creditizia e delle informazioni commerciali, alcuni approfondimenti sono stati trattati il 25 giugno 2019 dai rappresentanti della Banca Mondiale e delle Banche Centrali.
Si è, inoltre, accennato alla necessità che Agcom e Antitrust ottengano alcuni dei poteri forniti al Garante Privacy dal regolamento GDPR, nello specifico quelli di «acquisizione delle informazioni al di fuori dei procedimenti istruttori», con «la possibilità di irrogare sanzioni amministrative in caso di rifiuto o ritardo nel fornire le informazioni richieste o in presenza di informazioni ingannevoli od omissive».

In conclusione, con questo nuovo Regolamento europeo, i vantaggi puntato ad armonizzare le norme relative alla tutela della privacy, raggiungere una condizione di parità per tutte le imprese dell’Ue e, soprattutto, si hanno delle norme adattabili ai cambiamenti tecnologici e ai futuri scenari economici.

Facebook

Twitter

Linkedin

email