Il 25 maggio 2018 è entrato in vigore il nuovo regolamento europeo in materia di protezione dei dati personali: il Regolamento Ue 2016/679, ormai da tutti conosciuto con l’acronimo inglese GDPR - General Data Protection Regulation.
A chi si rivolge il GDPR?
Il GDPR è destinato a tutte quelle aziende che raccolgono e/o elaborano dati personali di cittadini europei e ha effetto anche se le imprese che possiedono i dati hanno sede al di fuori dei confini dell’UE, offrono servizi o prodotti all’interno del mercato unico. La nuova normativa si applica quindi a tutte le aziende, ovunque stabilite, al fine di offrire una tutela diretta ai cittadini e prevedendo che sia compito delle aziende adeguarsi alla nuova disciplina.
Quali sono le principali novità introdotte dal GDPR?
Con l’entrata in vigore del GDPR viene ampliata la definizione di dato personale e sensibile, con cui non si farà più riferimento solo ai classici dati sensibili come indirizzo o numero di telefono, ma anche agli identificativi online come cookie, indirizzi IP, geolocalizzazione ed email.
Il Regolamento, infatti, non si limita a parlare solo di dati personali, ma individua quattro macro-categorie di interesse:
- dati personali: qualsiasi informazione che possa identificare la persona, incluso nome, cognome, caratteristiche fisiche e anche identificativi online;
- dati genetici: dati ottenuti tramite analisi di DNA o RNA da un campione biologico;
- dati biometrici: qualsiasi caratteristica fisica identificativa della persona, come l’impronta digitale, l’iride o l’immagine facciale;
- dati sulla salute: qualsiasi dato relativo alla salute, tanto fisica quanto mentale, presente, passato o futuro.
Per adeguarsi al nuovo regolamento, nel raccogliere i dati, le aziende devono seguire innanzitutto questi punti specifici:
- permettere all’utente di fornire il proprio consenso in modo esplicito e tracciabile;
- predisporre un’informativa sul trattamento dei dati personali che sia trasparente, chiara e facilmente accessibile;
- garantire che i dati raccolti siano pertinenti, adeguati e limitati alle finalità per cui vengono richiesti e trattati.
Pertanto, al fine di trattare i dati personali, le società dovranno ricevere esplicito consenso degli utenti (salvo alcune eccezioni, come ad esempio la richiesta da parte delle forze dell’ordine).
Nella richiesta di consenso, la società deve esprimere chiaramente quali sono le finalità del trattamento dei dati e se questi vengono utilizzati da società terze (ad esempio per fini pubblicitari).
La richiesta, quindi, deve essere chiara, comprensibile e deve essere presentata in una schermata facilmente riconoscibile. Inoltre, bisogna garantire all’utente il diritto di revocare il proprio consenso in qualsiasi momento e di esprimere nuovamente il consenso esplicito in caso di modifica del trattamento dei dati, o di implemento con nuovi servizi o funzioni del sito web, app o programma adoperato e che prevede l’utilizzo dei dati personali degli utenti. Inoltre, viene introdotta un principio di responsabilizzazione per le aziende, nel processo di adeguamento al GDPR e per le misure adottate, dovendo garantire la massima sicurezza dalla fase di raccolta sino a quella di elaborazione e conservazione dei dati.
Nel Regolamento viene introdotto il diritto alla “portabilità” dei propri dati personali, con cui si è inteso dare la possibilità a qualsiasi utente di trasferire i dati da un titolare del trattamento a un altro. Il cittadino deve, infatti, poter ottenere facilmente una copia dei propri dati personali, in un formato leggibile e facilmente trasferibile.
Inoltre, in un’ottica garantista, viene anche vietato il trasferimento di dati personali verso Paesi extra Ue o organizzazioni internazionali che non rispondono agli standard di sicurezza in materia di tutela della privacy.
Con il nuovo regolamento, sono stati ampliati gli obblighi in materia di tutela dei dati personali in capo al Titolare e al Responsabile del trattamento. Non dovranno solo garantire il rispetto delle regole fissate per il trattamento dei dati personali, ma dovranno adottare, e dimostrare di aver adottato, una serie di misure giuridiche, organizzative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi, adeguati al settore di interesse in cui svolge la propria attività.
È stato disciplinato l’obbligo, in capo al titolare del trattamento, di comunicare eventuali violazioni di dati personali (data breach) all’ Autorità Garante e, in alcuni casi, anche ai soggetti interessati. Il mancato o ritardato adempimento della comunicazione espone alla possibilità di sanzioni amministrative.
Tra i principali obblighi previsti dal nuovo regolamento europeo sulla privacy c’è quello, per alcune società, di adeguare il proprio organigramma privacy inserendo all’interno dello stesso la figura del DPO, acronimo di Data Protection Officer. Il compito principale del DPO è l’osservazione, la valutazione e la gestione del trattamento dei dati personali allo scopo di far rispettare le normative europee e nazionali in materia di privacy.
Si richiede che abbia anche “qualità professionali adeguate alla complessità del compito da svolgere” e, specialmente in settori delicati come quello della sanità, possa dimostrare di avere anche competenze specifiche rispetto ai tipi di trattamento posti in essere al titolare.
Il diritto all’oblio, può essere definito come il diritto si ciascuna persona “ad essere dimenticata”. Più precisamente, il diritto all’oblio è il diritto a non restare esposti, per un tempo infinito, alle conseguenze dannose, che possono derivare all’onore e alla reputazione, da fatti commessi in passato o nei quali si è rimasti in qualche modo coinvolti e che furono oggetto di cronaca.
Pertanto, con tale espressione, si fa riferimento ad una particolare forma di garanzia che prevede la non diffondibilità, senza particolari motivi, di precedenti pregiudizievoli per l’onore di una persona. Di conseguenza deve essere garantito all’interessato il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali, qualora non siano più necessari per le finalità per le quali sono stati raccolti e trattati.
21/03/2023 