Il 25 maggio del 2018 è entrato in vigore in tutti gli stati membri della comunità europea il regolamento Ue 2016/679 meglio conosciuto come GDPR (General Data Protection Regulation) relativo al trattamento dei dati e alla loro conservazione, regolamento che di fatto abroga il decreto legislativo 196 del 2003.
Il GDPR è una normativa a livello europeo che definisce le regole a cui società e organizzazioni devono attenersi nella gestione dei dati personali degli utenti.
Di fatto possiamo dire che è l’iniziativa più importante in materia di protezione dei dati degli ultimi 15 anni, con rilevanti implicazioni, non solo per le società europee ma per tutte le realtà del mondo che si rivolgono al mercato europeo.
Il nuovo regolamento tiene conto degli importanti cambiamenti avvenuti nell’ambito digitale e cerca di dare una risposta alle nuove opportunità che gli sviluppi tecnologici hanno aperto.
La parte più innovativa del nuovo GDPR è la parte che trasforma in legge il concetto della “Privacy by Design”: a questo punto diventa fondamentale che l’aspetto della protezione dei dati venga considerato a partire dalla fase di progettazione dei prodotti e dei servizi stessi, e non venga inserito in fasi successive come un elemento aggiuntivo.
Il GDPR di fatto introduce:
- nuove regole inerenti l’informativa e il consenso
- norme rigorose riguardo le violazioni e l’inasprimento delle relative sanzioni
- i limiti per il trattamento dei dati tramite sistemi automatizzati dei dati personali
- le regole per la portabilità dei dati
- le basi per futuri sviluppi nel trattamento dei dati
Nel GDPR troviamo norme specifiche e comuni a tutti i cittadini europei sulle modalità del trattamento dei dati, sui dei diritti degli interessati, sull’attribuzione delle responsabilità e sulle sanzioni.
Gli aspetti più innovativi del nuovo regolamento si concentrano su sette aspetti fondamentali:
- il consenso
- extraterritorialità
- le sanzioni
- l’accessibilità ai dati
- il diritto all’oblio
- la portabilità
- la figura del DPO (Data Protection Officer)
Il consenso
Il nuovo regolamento introduce il concetto di responsabilità della società per quello che riguarda la raccolta dei dati e la chiarezza dell’informativa rilasciata agli utenti: devono essere spiegati in modo modo molto chiaro e semplice con un linguaggio comprensibile a tutti i cittadini i termini e le condizioni che regolano la raccolta dei dati e il loro successivo trattamento .
La società deve anche dichiarare come verranno elaborati i dati lasciati dagli utenti.
La fase di acquisizione dei consensi deve essere registrata a comprova che il consenso sia stato realmente rilasciato da parte degli utenti.
La raccolta dei dati non è consentita in alcun caso senza un consenso preventivo.
Extraterritorialità
Il GDPR introduce il concetto di Extraterritorialità : il nuovo regolamento si applica ai dati di tutti i cittadini europei a prescindere dalla nazionalità delle società che stanno trattando i dati o dal paese in cui vengono elaborati.
Sanzioni
Il GDPR inasprisce le sanzioni economiche per le aziende che non rispettano il regolamento.
Le nuove sanzioni possono ammontare fino al 4% del fatturato annuo globale o a 20.000.000 €.
L’accessibilità ai dati
Le società che raccolgono i dati devono garantire agli utenti il diritto di sapere se i loro dati sono stati raccolti, dove sono archiviati e lo scopo della raccolta. Inoltre, se richiesti, devono fornire tutti i dati raccolti e la fonte della raccolta in modo gratuito e in formato elettronico.
Il diritto all’oblio
Con una semplice richiesta gli utenti hanno diritto alla cancellazione dei propri dati personali.
Portabilità dei dati
Per agevolare la portabilità dei dati gli utenti hanno diritto di ricevere i propri dati personali in un “formato leggibile da una macchina”.
La figura del DPO (Data Protection Officer)
A tutela degli utenti nel GDPR è stata prevista la figura del “Responsabile della protezione dei dati” (Data Protection Officer o DPO). Il DPO è responsabile nell’assicurare una gestione corretta dei dati personali nelle imprese e negli enti.
Conclusioni
Gli ultimi dati dicono che a 9 mesi dall’entrata in vigore del nuovo regolamento una percentuale importante di aziende italiane non è ancora in regola per il GDPR.
Considerando anche l’ammontare delle sanzioni mettersi in regola è sicuramente una delle priorità di ogni azienda.
Merlin Wizard ha aiutato diverse aziende a intraprendere un processo virtuoso sino alla messa in regola delle varie tipologie di trattamenti dei dati personali.
Commenti recenti