Scarica GDPR - general data protection regulation e più Sintesi del corso in PDF di Diritto Dell'informazione solo su Docsity!
Il prossimo 25 maggio (fra pochi giorni), gli Stati Membri dell’Unione europea (quindi anche l’Italia), dovranno obbligatoriamente applicare il nuovo regolamento europeo in materia di protezione dei dati personali: il Regolamento Ue 2016/679, meglio conosciuto con l’acronimo inglese GDPR, “General Data Protection Regulation”.
Relativo alla protezione delle persone siche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE, è stato, infatti, pubblicato in Gazzetta U ciale Europea il 4 maggio 2016 ed entrato in vigore il 25 maggio dello stesso anno, e diventerà direttamente applicabile in tutti gli Stati Ue a partire dal 25 maggio di quest’anno.
GDPR: punti fondamentali della riforma
Innanzitutto, bisogna sicuramente evidenziare che la strada sarà molto più facile per coloro i quali (imprese, enti privati e pubblici, professionisti), si sono sempre adoperati per garantire il massimo rispetto della normativa già esistente in materia di riservatezza e protezione dei dati personali – non solo il D.lgs. 196/03, ma anche i numerosi Provvedimenti del Garante – che dovranno soro implementare alcune regole.
Tra cui, quelle minime che devono necessariamente essere adottate:
de nizione di una politica di conservazione dei dati. aggiornamento delle informative ai sensi dell’art. 13 del GDPR. veri ca delle condizioni di liceità dei trattamenti e delle fattispecie per cui è necessario richiedere il consenso(artt. da 6 a 10). revisione dei rapporti con tutti i responsabili esterni dei trattamenti (con ritrattazione degli obblighi previsti all’art. 28). revisione/aggiornamento dell’analisi dei rischi per la de nizione di misure di sicurezza adeguate (art. 32). per gli enti pubblici (e per i privati qualora ricorrano le condizioni di cui all’art. 37.1), l’obbligo di individuare e nominare un Data Protection O cer.
GDPR in sintesi
Vediamo, ora, nel dettaglio alcuni rilevanti novità della nuova disciplina.
GDPR: chi riguarda?
Il GDPR è destinato a tutte quelle aziende che raccolgono e/o elaborano dati personali di cittadini europei e ha effetto anche se le imprese che possiedono i dati hanno sede al di fuori dei con ni dell’UE, offrono servizi o prodotti all’interno del mercato unico (come ad esempio gli USA, dove sono collocate la maggior parte delle società informatiche).
La nuova normativa, insomma si applica a tutte le aziende, ovunque stabilite, al ne di offrire una tutela diretta ai cittadini e prevedendo che sia compito delle aziende adeguarsi alla nuova disciplina.
GDPR: i dati personali
Con l’entrata in vigore del GDPR viene ampliata la de nizione di dato personale e sensibile, con cui non si farà più riferimento solo ai classici dati sensibili come indirizzo o numero di telefono, ma anche agli identi cativi online come cookie, indirizzi IP, geolocalizzazione ed email.
Il Regolamento, infatti, non si limita a parlare solo di dati personali, ma individua quattro macro-categorie di interesse:
dati personali: qualsiasi informazione che possa identi care la persona, incluso nome, cognome, caratteristiche siche e anche identi cativi online; dati genetici: dati ottenuti tramite analisi di DNA o RNA da un campione biologico; dati biometrici: qualsiasi caratteristica sica identi cativa della persona, come l’impronta digitale, l’iride o l’immagine facciale; dati sulla salute: qualsiasi dato relativo alla salute, tanto sica quanto mentale, presente, passato o futuro.
Al ne di garantire un approccio uniforme alla nuova disciplina e dirimere le di coltà iniziali, è stato introdotto lo “sportello unico” (one stop shop). le le imprese che operano in più Stati Ue avranno a che fare con una sola Autorità di vigilanza (Garante Privacy), cioè quella del paese dove hanno la sede principale, piuttosto che con le autorità di 28 Stati europee.
GDPR: raccolta e trattamento dei dati
La norma trova un eccezione nei casi i cui si tratta di dati contenuti in archivi di interesse pubblico (come ad esempio le anagra ): in questo caso il diritto non potrà essere esercitato.
Inoltre, in un’ottica garantista, viene anche vietato il trasferimento di dati personali verso Paesi extra Ue o organizzazioni internazionali che non rispondono agli standard di sicurezza in materia di tutela della privacy.
Il principio accountability nel GDPR
Con il nuovo regolamento, sono stati ampliati gli obblighi in materia di tutela dei dati personali in capo al Titolare e al Responsabile del trattamento.
Non dovranno solo garantire il rispetto delle regole ssate per il trattamento dei dati personali, ma dovranno adottare, e dimostrare di aver adottato, una serie di misure giuridiche, organizzative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di speci ci modelli organizzativi, adeguati al settore di interesse in cui svolge la propria attività.
Il principio di accountability, è stato tradotto in italiano con il termine “responsabilizzazione”: con la responsabilizzazione del titolare del trattamento, si richiede non solo il rispetto degli obblighi iniziali previsti nel Regolamento, ma anche una continua attività di controllo e veri ca delle proprie attività di trattamento.
Data breach e GDPR
È stato disciplinato l’obbligo, in capo al titolare del trattamento, di comunicare eventuali violazioni di dati personali (data breach) all’ Autorità Garante e, in alcuni casi, anche ai soggetti interessati. Il mancato o ritardato adempimento della comunicazione espone alla possibilità di sanzioni amministrative.
È fondamentale, per le aziende adoperarsi per garantire il corretto funzionamento di questo meccanismo: il primo adempimento da porre in essere per le imprese italiane è senz’altro l’adozione del Registro dei trattamenti di dati personali.
Il titolare, poi, dovrà informare in modo chiaro, semplice e immediato anche tutti gli interessati e offrire indicazioni su come intende limitare i danni. Tuttavia, potrà decidere di non informarli qualora ritenga che la violazione non comporti un rischio elevato per i loro diritti; o se dimostrerà di avere già adottato misure
di sicurezza; o ancora, nell’eventualità in cui informare gli interessati potrebbe comportare uno sforzo sproporzionato al rischio.
In ogni caso, l’Autorità Garante potrà imporre al titolare del trattamento di informare gli interessati, sulla base di una propria valutazione dei rischi correlati alla violazione commessa.
Il Data Protection O cer (DPO)
Tra i principali obblighi previsti dal nuovo regolamento europeo sulla privacy c’è quello, per alcune società, di adeguare il proprio organigramma privacy inserendo all’interno dello stesso la gura del DPO, acronimo di Data Protection O cer
Il Responsabile della protezione dei dati personali, incaricato di assicurare una gestione corretta dei dati personali nelle imprese e negli enti e individuato in funzione delle qualità professionali e della conoscenza specialistica della normativa e della prassi in materia di protezione dati, tra personale interno o esterno all’azienda.
Il compito principale del DPO è l’osservazione, la valutazione e la gestione del trattamento dei dati personali allo scopo di far rispettare le normative europee e nazionali in materia di privacy.
Il DPO è una gura professionale, con particolari competenze in campo informatico, giuridico, di valutazione del rischio e di analisi dei processi e dotato di conoscenze specialistiche della normativa e delle prassi in materia di protezione dati, nonché delle norme e delle procedure amministrative che caratterizzano il settore in cui opera.
Si richiede che abbia anche “qualità professionali adeguate alla complessità del compito da svolgere” e, specialmente in settori delicati come quello della sanità, possa dimostrare di avere anche competenze speci che rispetto ai tipi di trattamento posti in essere al titolare.
Importante è garantire l’autonomia decisionale e l’estraneità del DPO rispetto alla determinazione delle nalità e delle modalità del trattamento dei dati: nessuno può dargli alcuna istruzione circa l'esecuzione dei suoi compiti e il responsabile della protezione dati non può svolgere altre mansioni o compiti in con itto di interessi con quelle proprie del DPO, essendo tenuto in ogni caso al
La normativa comunitaria non modi ca direttamente le norme nazionali in materia di accesso ai documenti amministrativi (né quelle attualmente applicate alle innumerevoli istituzioni europee). Ma sottolinea l’assenza di un rapporto di contraddizione tra i due aspetti/diritti, in quanto tanto i valori di “trasparenza”, quanto quelli di “tutela e cace della riservatezza” sono considerati meritevoli di e cace protezione.
