Privacy 2018, il nuovo approccio: la “responsabilizzazione” dei titolari e responsabili
Il 27 marzo 2018 il Garante Privacy ha pubblicato una guida aggiornata all’applicazione del GDPR. Il maggior cambiamento riguarda l’accountability. In generale, una delle principali novità del regolamento è la “responsabilizzazione” o accountability di titolari e responsabili cioè “l’adozione di comportamenti attivi che dimostrino la concreta adozione di misure finalizzate alla corretta applicazione del regolamento privacy”. Si tratta di una grande novità per la protezione dei dati in quanto viene affidato ai titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali – nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel regolamento, tra cui:
- “data protection by default and by design”: prevede di configurare a monte il trattamento prevedendo fin dall’inizio le garanzie indispensabili “al fine di soddisfare i requisiti” del regolamento e tutelare i diritti degli interessati.
- rischio inerente al trattamento: rischio di impatti negativi sulle libertà e i diritti degli interessati che dovranno essere analizzati attraverso un apposito processo di valutazione tenendo conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative anche di sicurezza che il titolare ritiene di dover adottare per mitigare tali rischi.
- l’intervento delle autorità di controllo sarà principalmente “ex post”, ossia si collocherà successivamente alle determinazioni assunte autonomamente dal titolare.
Alle autorità di controllo, e in particolare al “Comitato europeo della protezione dei dati” (l’erede dell’attuale Gruppo “Articolo 29”) spetterà un ruolo fondamentale al fine di garantire uniformità di approccio e fornire ausili interpretativi e analitici: il Comitato è chiamato, infatti, a produrre:
- linee-guida
- documenti di indirizzo per garantire quegli adattamenti che si renderanno necessari alla luce dello sviluppo delle tecnologie e dei sistemi di trattamento dati.
Il registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante. Tutti i titolari e i responsabili di trattamento, devono tenere un registro delle operazioni di trattamento tranne gli organismi con meno di 250 dipendenti che non effettuano trattamenti a rischio.
Anche la designazione di un “responsabile della protezione dati” (RPD, ovvero DPO se si utilizza l’acronimo inglese: Data Protection Officer) riflette l’approccio responsabilizzante che è proprio del regolamento essendo finalizzata a facilitare l’attuazione del regolamento da parte del titolare/responsabile. In particolare, in merito al Responsabile della Protezione dei Dati il 26 marzo il Garante della Privacy ha pubblicato la risposta alle FAQ più comuni per gli organismi privati.