Regolamento GDPR: una guida per non fare errori

Che cos’è il regolamento GDPR

Il Regolamento Generale sulla Protezione dei Dati (GDPR) è una normativa dell’Unione Europea entrata in vigore il 25 maggio 2018. Il suo obiettivo principale è proteggere i dati personali e la privacy degli individui all’interno dell’UE, armonizzando le leggi sulla protezione dei dati tra gli Stati membri e dando maggior controllo agli individui sui propri dati personali. Inoltre il regolamento GDPR semplifica il quadro normativo per le imprese internazionali.

Il ruolo del Garante della Privacy nel regolamento GDPR

Il Garante della Privacy è un’autorità indipendente che supervisiona l’applicazione del regolamento GDPR, fornendo consulenza su questioni riguardanti la protezione dei dati, e collaborando a livello internazionale con altre autorità per garantire un’armonizzazione globale delle normative. Inoltre, il Garante può condurre indagini su potenziali violazioni, emettere sanzioni e raccomandare modifiche alle pratiche di trattamento dei dati delle aziende.

Per facilitare la conformità delle aziende al regolamento GDPR, il Garante della Privacy emette periodicamente linee guida che delineano i passi necessari da seguire. Questi includono:

• Valutazioni d’Impatto sulla Privacy (DPIA) ovvero procedure per valutare i rischi associati al trattamento dei dati e definire misure di mitigazione.
• notifica delle violazioni ovvero le indicazioni per la segnalazione delle violazioni di dati personali entro 72 ore dalla loro scoperta (data breach)
• diritti degli individui ossia le istruzioni su come garantire che i diritti degli individui, come il diritto all’oblio e il diritto alla portabilità dei dati, siano rispettati.

Seguendo queste linee guida, le aziende possono ridurre significativamente il rischio di sanzioni e garantire una maggiore protezione dei dati personali dei loro clienti.

Quando si applica il regolamento GDPR

Il regolamento GDPR si applica nei seguenti casi:

• Organizzazioni con sede nell’UE: Il trattamento dei dati personali viene effettuato da un’organizzazione con sede nell’UE, indipendentemente dal luogo in cui si trovano i dati. Questo include qualsiasi entità che opera all’interno dei confini dell’Unione Europea, garantendo che i dati personali dei cittadini siano protetti secondo gli standard del GDPR.
• Individui nell’UE: Il trattamento dei dati personali riguarda individui che si trovano nell’UE, anche se l’organizzazione che tratta i dati non ha sede nell’UE. Questo significa che ogni azienda, anche se situata fuori dall’UE, deve conformarsi alle normative del GDPR se gestisce dati di residenti nell’UE.
• Offerta di beni o servizi: I dati personali sono trattati in relazione all’offerta di beni o servizi a cittadini dell’UE o al monitoraggio del comportamento all’interno dell’UE. Ciò include attività come e-commerce, marketing online o qualsiasi altro servizio destinato ai residenti dell’UE, assicurando che i loro dati siano utilizzati in modo trasparente e sicuro.

Quando NON si applica il regolamento GDPR

Il regolamento GDPR non si applica nei seguenti casi:

• Attività personali o domestiche: Il trattamento dei dati è effettuato da un individuo per attività esclusivamente personali o domestiche, come ad esempio la gestione delle finanze familiari o la conservazione di un album fotografico privato.
• Dati anonimi: I dati trattati sono resi completamente anonimi, in modo tale che l’individuo non possa essere identificato direttamente o indirettamente, garantendo così la piena tutela della privacy.
• Organizzazioni fuori dall’UE: Le organizzazioni hanno sede al di fuori dell’UE e non trattano dati relativi a individui all’interno dell’UE, escludendo ogni forma di raccolta, elaborazione o conservazione di informazioni personali che riguardano cittadini europei.

Basi giuridiche del trattamento dei dati

Le basi giuridiche per il trattamento dei dati personali secondo il regolamento GDPR includono:

1. Consenso dell’interessato – Il trattamento dei dati è lecito solo se l’interessato ha fornito il proprio consenso libero, specifico, informato e inequivocabile.
2. Esecuzione di un contratto – I dati possono essere trattati quando è necessario per l’esecuzione di un contratto di cui l’interessato è parte o per l’esecuzione di misure precontrattuali adottate su richiesta dello stesso.
3. Obblighi legali – Il trattamento è consentito quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.
4. Protezione degli interessi vitali dell’interessato o di un’altra persona – I dati possono essere trattati se è necessario per proteggere gli interessi vitali dell’interessato o di un’altra persona fisica.
5. Esecuzione di un compito di interesse pubblico o esercizio di pubblici poteri – Il trattamento è lecito quando è necessario per l’esecuzione di un compito svolto nel pubblico interesse o nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
6. Interessi legittimi perseguiti dal titolare del trattamento o da terzi – Il trattamento è lecito se è necessario per il perseguimento dei legittimi interessi del titolare del trattamento o di terzi, a meno che su tali interessi non prevalgano i diritti e le libertà fondamentali dell’interessato.

Consenso e Registro dei consensi

Il consenso deve essere libero, cioè privo di qualsiasi forma di coercizione o pressione; specifico, relativo a ogni singola finalità del trattamento dei dati; informato, basato su una comprensione completa delle informazioni fornite; e inequivocabile, espresso in maniera chiara e indiscutibile senza ambiguità.

Esempio di best practice: Implementare un modulo di consenso dettagliato con checkbox non preselezionati per ogni tipo di trattamento dei dati.

Le organizzazioni inoltre devono tenere traccia dei consensi raccolti, registrando chi ha dato il consenso, quando, come e per quali finalità, creando quindi un Registro dei consensi.

In questo caso un esempio di best practice è utilizzare un sistema automatizzato per la gestione e l’archiviazione dei consensi con timestamp e dettagli sul trattamento autorizzato.

I diritti degli utenti

Gli utenti hanno diritti specifici in base al regolamento GDPR, tra cui:

1. Diritto di accesso

Gli utenti possono richiedere di vedere quali dati personali vengono trattati e ottenere una copia di questi dati. Questo diritto garantisce trasparenza e permette agli utenti di verificare la legittimità del trattamento.

2. Diritto di rettifica

Gli utenti hanno il diritto di correggere i propri dati personali se risultano inesatti o incompleti. Questo assicura che le informazioni siano sempre aggiornate e accurate.

3. Diritto alla cancellazione (diritto all’oblio)

Gli utenti possono richiedere la cancellazione dei propri dati personali in determinate circostanze, come quando i dati non sono più necessari per gli scopi per cui sono stati raccolti. Questo diritto contribuisce alla protezione della privacy degli utenti.

4. Diritto di limitazione del trattamento

Gli utenti possono chiedere di limitare il trattamento dei propri dati personali in determinate situazioni, ad esempio quando contestano l’accuratezza dei dati. La limitazione permette di conservare i dati senza utilizzarli fino alla risoluzione della questione.

5. Diritto alla portabilità dei dati

Gli utenti possono ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterli a un altro titolare del trattamento. Questo diritto facilita la migrazione dei dati tra diversi servizi.

6. Diritto di opposizione

Gli utenti possono opporsi al trattamento dei propri dati personali per motivi legati alla loro situazione particolare. Ad esempio, possono opporsi al trattamento per finalità di marketing diretto. Questo diritto offre un controllo maggiore sugli usi dei propri dati.

7. Diritto di non essere sottoposto a decisioni automatizzate

Gli utenti hanno il diritto di non essere soggetti a decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o simili, come la profilazione. Questo diritto protegge gli utenti dagli impatti negativi delle decisioni automatizzate senza intervento umano.

Trasferimento di dati all’estero

Il trasferimento di dati personali al di fuori dell’UE è consentito solo se il paese destinatario offre un livello adeguato di protezione dei dati.
Questo può essere garantito attraverso meccanismi come le clausole contrattuali standard, che stabiliscono obblighi rigorosi per il trattamento dei dati, o il Privacy Shield, un accordo che facilita il flusso sicuro di informazioni tra l’UE e gli Stati Uniti.
Questi strumenti assicurano che i dati personali siano protetti anche quando vengono trasferiti oltre i confini europei.

Privacy by design e privacy by default secondo il Regolamento GDPR

Il regolamento GDPR richiede che la protezione dei dati sia integrata fin dalla fase di progettazione dei processi aziendali, noto come “privacy by design”. Questo significa che le misure di sicurezza devono essere considerate e implementate fin dall’inizio dello sviluppo di un prodotto o servizio, anziché essere aggiunte successivamente. L’obiettivo è garantire che la privacy sia una componente fondamentale del progetto, riducendo al minimo i rischi e proteggendo i dati personali degli utenti sin dal principio.

Inoltre, il regolamento GDPR impone l’adozione di impostazioni predefinite che rispettino la privacy, conosciute come “privacy by default”. Questo implica che, per impostazione predefinita, solo i dati strettamente necessari per ogni specifica finalità devono essere raccolti e trattati. Le impostazioni di privacy più restrittive devono essere adottate di default, offrendo agli utenti la possibilità di modificare tali impostazioni soltanto se lo desiderano. In questo modo, si assicura che la protezione dei dati sia sempre garantita, anche senza intervento dell’utente.

La notifica del data breach

In base al regolamento GDPR, le organizzazioni devono notificare all’autorità di controllo competente eventuali violazioni dei dati personali entro 72 ore dal momento in cui ne vengono a conoscenza, se la violazione presenta un rischio per i diritti e le libertà delle persone. Questa notifica deve includere informazioni dettagliate sulla natura della violazione, le categorie e il numero approssimativo di interessati, le possibili conseguenze della violazione e le misure adottate o proposte per rimediare alla violazione e mitigare i possibili effetti negativi.

Il Responsabile per la Protezione dei Dati (DPO) nel regolamento GDPR

Il Responsabile per la Protezione dei Dati (DPO) è una figura obbligatoria per le organizzazioni che trattano dati personali su larga scala, come aziende, enti pubblici e grandi organizzazioni. Il DPO ha il compito di monitorare la conformità al regolamento GDPR, garantendo che tutte le operazioni di trattamento dei dati siano svolte nel rispetto delle normative vigenti. Questo include:

• la valutazione delle attività di trattamento dei dati,
• la conduzione di audit periodici
• e la sensibilizzazione del personale sull’importanza della protezione dei dati personali.

Inoltre, il DPO funge da punto di contatto per le autorità di controllo, come il Garante per la Protezione dei Dati Personali, e per gli interessati, offrendo consulenza e supporto su tutte le questioni relative alla privacy e alla protezione dei dati. Il DPO deve inoltre collaborare con altre funzioni aziendali, come il dipartimento legale e quello IT, per assicurarsi che le misure di sicurezza siano adeguate e aggiornate.

Il Registro del Trattamento

Il Registro del Trattamento è un documento obbligatorio che deve contenere tutte le attività di trattamento dei dati effettuate dall’organizzazione. Questo registro deve includere informazioni dettagliate sulle categorie di dati trattati, le finalità del trattamento, i destinatari dei dati, e le misure di sicurezza adottate per proteggere i dati stessi. Inoltre, deve essere aggiornato regolarmente per riflettere qualsiasi cambiamento nelle attività di trattamento e reso disponibile alle autorità di controllo su richiesta, garantendo così la trasparenza e la conformità alle normative sulla protezione dei dati.

Il Data Protection Impact Assessment (DPIA)

Il Data Protection Impact Assessment (DPIA) è una valutazione obbligatoria per i trattamenti di dati che possono presentare un rischio elevato per i diritti e le libertà degli individui. La DPIA aiuta a identificare e mitigare i rischi associati al trattamento dei dati, esaminando attentamente tutte le fasi del processo di trattamento. Questo include la raccolta, l’elaborazione, la conservazione e la condivisione dei dati. L’obiettivo è garantire che le misure di sicurezza appropriate siano implementate per proteggere i dati personali e ridurre al minimo le potenziali violazioni e i danni agli interessati.Le conseguenze del mancato adeguamento

Le sanzioni previste dal regolamento GDPR

Il regolamento GDPR prevede sanzioni significative per le organizzazioni che non rispettano le normative sulla protezione dei dati. Le sanzioni possono essere di natura amministrativa e pecuniaria e variano in base alla gravità della violazione. Ecco alcune delle principali tipologie di sanzioni previste:

1. Ammende amministrative
   Le ammende possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale dell’organizzazione, a seconda di quale sia superiore, per violazioni meno gravi come la mancata notifica di una violazione dei dati, l’insufficienza delle misure di sicurezza o la mancata designazione di un DPO quando necessario.
2. Ammende pecuniarie
   Per le violazioni più gravi, come la mancata adesione ai principi fondamentali del trattamento dei dati, la non conformità ai diritti degli interessati, o il trasferimento illecito di dati personali verso paesi terzi, le ammende possono raggiungere fino a 20 milioni di euro o il 4% del fatturato annuo globale dell’organizzazione, a seconda di quale sia superiore.
3. Sanzioni correttive
   Oltre alle multe pecuniarie, le autorità di controllo possono imporre sanzioni correttive come ordini di cessazione del trattamento dei dati, richieste di rettifica o cancellazione dei dati, e imposizione di limitazioni temporanee o definitive sul trattamento.

In questa guida abbiamo illustrato gli aspetti fondamentali da cui non puoi prescindere per essere compliance con il regolamento GDPR. E ricorda che proteggere i dati personali e la privacy degli individui, oltre a evitare pesanti sanzioni, aiuterà la tua organizzazione a costruire la fiducia con i tuoi clienti.